Le 7 juillet 2026, le Comité européen de la protection des données a posé un jalon attendu par les éditeurs de modèles, les directions juridiques et les responsables conformité. Avec ses lignes directrices 03/2026 sur le web scraping appliqué à l’IA générative, le CEPD ne ferme pas la porte à la collecte de données en ligne, mais il en resserre nettement les conditions d’exploitation au regard de la RGPD.

Pour les entreprises actives dans l’IA, le message est clair : l’accessibilité d’une donnée sur internet ne suffit pas à rendre sa réutilisation licite. Le projet de texte, soumis à consultation publique jusqu’au 30 octobre 2026 à 23 h 59, heure de Bruxelles, détaille les garde-fous attendus lorsque des données personnelles sont collectées à grande échelle pour entraîner des modèles génératifs.

La RGPD face à l’IA générative : le CEPD recadre la collecte massive

Le document adopté par le CEPD vise une pratique largement répandue dans l’économie numérique : le web scraping, c’est-à-dire l’extraction automatisée de contenus disponibles sur des services web publics. Sont concernés aussi bien les portails d’open data que les réseaux sociaux, forums, médias en ligne ou registres publics.

Sur le plan économique, l’enjeu est majeur. Les acteurs de l’IA générative cherchent des volumes élevés de données pour améliorer la performance de leurs modèles. Mais le CEPD rappelle un principe qui intéresse directement les directions générales et les investisseurs : la logique de passage à l’échelle ne neutralise pas les obligations du droit des données personnelles.

Autrement dit, un contenu visible publiquement peut demeurer une donnée personnelle soumise au cadre européen. Ce point, loin d’être théorique, redéfinit la chaîne de valeur de l’IA générative : collecte, qualification des sources, filtrage, traçabilité et documentation deviennent des postes de risque à part entière.

Date à retenir pour les entreprises

La consultation publique sur les lignes directrices 03/2026 reste ouverte jusqu’au 30 octobre 2026 à 23 h 59, heure de Bruxelles. Pour les éditeurs de modèles, sociétés de data, plateformes et sous-traitants techniques, cette fenêtre constitue le dernier moment utile pour faire valoir des contraintes opérationnelles avant une éventuelle stabilisation du texte.

Collecte ciblée, minimisation, finalité : les critères qui changent la pratique

Le CEPD remet au premier plan des principes parfois relégués derrière l’argument technologique. Parmi eux, la limitation de la finalité et la minimisation des données. Le texte distingue à cet égard deux approches de collecte.

D’un côté, le scraping ciblé repose sur des critères définis en amont. De l’autre, le scraping non ciblé suit automatiquement des liens et augmente le risque de collecte vaste, indifférenciée et difficilement maîtrisable. Pour le régulateur européen, cette différence n’est pas purement technique : elle influe directement sur l’appréciation de la conformité.

En pratique, les concepteurs de systèmes d’IA sont incités à documenter leurs paramètres de collecte, à limiter les volumes au strict nécessaire et à exclure, lorsque c’est possible, certaines catégories particulièrement sensibles dans les usages. Le CEPD mentionne notamment les données de localisation et les données relatives aux mineurs.

Le texte pousse aussi vers une industrialisation du filtrage en amont. Cette orientation peut paraître contraignante, mais elle traduit une évolution de marché : la qualité juridique du corpus d’entraînement devient un facteur de robustesse produit, au même titre que la qualité technique.

  • Définition préalable de critères de collecte précis.
  • Réduction du périmètre aux données nécessaires à l’objectif poursuivi.
  • Mise en place de mécanismes d’exclusion ou de filtrage.
  • Réflexion sur l’usage de données synthétiques lorsque cela est faisable.

Le scraping ciblé permet de démontrer plus facilement la nécessité du traitement et sa proportionnalité. À l’inverse, une collecte non ciblée, qui explore largement les liens disponibles, accroît le risque d’aspirer des données sans rapport direct avec l’objectif annoncé. Pour une entreprise, cette différence pèse sur la documentation du traitement, l’analyse des risques et, en cas de contrôle, sur la capacité à justifier les choix opérés.

Intérêt légitime : une base juridique possible, mais sous forte pression probatoire

Pour les acteurs privés, la base juridique la plus fréquemment évoquée reste l’intérêt légitime, prévu à l’article 6, paragraphe 1, point f du RGPD. Les lignes directrices rappellent que cette base ne fonctionne qu’à trois conditions cumulatives.

  • L’entreprise doit poursuivre un intérêt légitime identifiable.
  • Le traitement doit être nécessaire pour atteindre cet objectif.
  • Les droits et libertés des personnes concernées ne doivent pas prévaloir après mise en balance.

Ce triptyque n’a rien de nouveau en droit. Ce qui change, c’est son application à la collecte automatisée à grande échelle pour l’IA générative. Le CEPD précise en particulier que la présence de mécanismes d’opposition, comme robots.txt, ai.txt ou des CAPTCHA, réduit les attentes raisonnables des personnes concernées et joue défavorablement dans le test de mise en balance.

Le signal envoyé au marché est net. Un site qui déploie des outils visant à limiter l’extraction automatisée ne peut pas être traité comme une simple source librement exploitable. Inversement, l’absence de tels mécanismes ne vaut pas consentement. Cette précision est décisive pour les entreprises qui avaient tendance à raisonner par défaut d’opposition visible.

Le CEPD recommande d’ailleurs d’exclure de la collecte les sites qui mettent en place ces protections. D’un point de vue opérationnel, cela implique une montée en sophistication des outils de cartographie des sources et des règles d’exclusion. D’un point de vue financier, cela alourdit les coûts de conformité, mais réduit aussi le risque de contentieux et d’atteinte réputationnelle.

Ce que robots.txt ou ai.txt changent réellement

Le CEPD ne traite pas ces fichiers comme de simples conventions techniques. Leur présence peut peser contre le responsable de traitement dans l’analyse de l’intérêt légitime. Pour une entreprise, ignorer ces signaux n’est donc pas seulement un choix d’ingénierie, mais un facteur de risque juridique documentable.

Externalisation, sous-traitance, chaîne de valeur : la responsabilité reste au sommet

Les lignes directrices apportent aussi un rappel particulièrement utile pour les groupes, éditeurs et donneurs d’ordre qui s’appuient sur des prestataires de collecte ou des fournisseurs de jeux de données. L’entreprise qui détermine les finalités et les moyens du traitement demeure responsable, même si l’exécution matérielle du scraping est confiée à un tiers.

Cette précision touche un angle sensible de l’économie de l’IA : beaucoup d’opérations de collecte sont compartimentées entre plusieurs intervenants, avec parfois une distance importante entre le développeur du modèle et l’origine exacte des données. Le CEPD réduit ici toute illusion de transfert du risque réglementaire.

L’externalisation peut, certes, limiter certains risques contractuels ou techniques. En revanche, elle n’efface pas les obligations de contrôle de la chaîne. Le responsable doit vérifier la conformité du dispositif dans son ensemble, de la source jusqu’à l’usage dans l’entraînement.

Pour les entreprises françaises, cette doctrine appelle plusieurs réflexes de gouvernance :

  • cartographier précisément les flux de données utilisés pour l’entraînement ;
  • encadrer contractuellement les prestataires de collecte ;
  • documenter les critères de sélection et d’exclusion des sources ;
  • prévoir des audits ou contrôles de conformité sur les corpus fournis.

Sur le terrain des affaires, cette exigence favorise les acteurs capables d’offrir une traçabilité élevée. À l’inverse, les modèles alimentés par des sources mal documentées s’exposent à une décote de confiance, tant auprès des clients grands comptes que des partenaires financiers.

La provenance des données n’est plus un sujet réservé aux juristes. Elle conditionne la capacité à répondre à une demande d’exercice de droits, à un audit client, à un contrôle d’autorité ou à une procédure contentieuse. Pour un fournisseur de solutions d’IA, disposer d’une chaîne documentaire solide peut devenir un avantage concurrentiel dans les appels d’offres et les négociations B2B.

Données sensibles, collecte fortuite et exactitude : le point de friction le plus délicat

Le passage le plus scruté des lignes directrices concerne les catégories particulières de données au sens de l’article 9 du RGPD. Le principe posé reste l’interdiction de traitement. Le CEPD s’attarde néanmoins sur l’hypothèse d’une collecte incidente ou résiduelle, sujet central pour des systèmes qui explorent de grands volumes de contenus hétérogènes.

Le texte renvoie à la jurisprudence de la Cour de justice dans l’affaire GC et autres, C-136/17. Il admet qu’une exception limitée puisse être examinée au cas par cas, à quatre conditions cumulatives.

  • La situation doit présenter une similitude avec l’activité d’un moteur de recherche.
  • La collecte doit être fortuite et non intentionnelle.
  • Il doit exister une difficulté réelle à détecter et prévenir en amont la présence de telles données.
  • Des mesures techniques et organisationnelles appropriées doivent empêcher leur diffusion.

Ce raisonnement est restrictif. Il ne constitue pas un blanc-seing pour absorber des données sensibles dans des corpus d’entraînement, puis traiter le sujet au stade aval. Il impose au contraire une logique de maîtrise sur l’ensemble du cycle de vie de la donnée.

Le CEPD insiste également sur l’exactitude et la fiabilité des sources. Les responsables sont invités à enregistrer les horodatages, à privilégier des sources robustes et à procéder à des validations avant l’entraînement. Pour les entreprises, ce point a un double effet : il relève du droit des données personnelles, mais aussi de la qualité industrielle du modèle.

Un corpus daté, mal sourcé ou inexact n’expose pas seulement à un grief réglementaire. Il peut aussi dégrader les performances du système, accroître les biais et compromettre la capacité à justifier les sorties du modèle dans un environnement professionnel.

Ce que le CEPD attend sur la transparence minimale

Même lorsque l’information individuelle des personnes concernées s’avère impraticable en raison des volumes traités, le CEPD exige une information publique accessible. Une politique de confidentialité doit notamment décrire les caractéristiques des robots utilisés et, dans la mesure du possible, les sources de données mobilisées.

Propriété intellectuelle, preuve et contentieux : un risque cumulé pour les modèles

Le chantier ne s’arrête pas à la RGPD. Les contenus collectés sur internet peuvent aussi être protégés par le droit d’auteur ou le droit des bases de données. Une extraction massive peut donc engager la responsabilité de l’entreprise qui exploite ces jeux de données, indépendamment des questions de données personnelles.

Le mouvement contentieux est déjà engagé. Des actions en contrefaçon ont été intentées contre plusieurs acteurs de l’IA, notamment OpenAI, Anthropic et Perplexity.

Cette dernière est notamment visée par CNN et Dow Jones pour l’exploitation de leurs contenus sans autorisation. Ces dossiers rappellent que la conformité ne se joue pas sur un seul front réglementaire.

Pour les directions juridiques, le principal écueil reste toutefois probatoire. Démontrer qu’un contenu déterminé a été utilisé par un modèle d’IA demeure complexe. Cette difficulté a déjà été signalée dans le rapport remis en 2024 au CSPLA sur l’AI Act. Elle nourrit les demandes de transparence renforcée à l’égard des fournisseurs de modèles et les réflexions sur l’accès à la preuve.

Pour les entreprises clientes, le sujet est loin d’être abstrait. Plus les obligations de traçabilité progressent, plus la question de la garantie contractuelle sur l’origine des données deviendra centrale dans les achats de solutions d’IA. Le risque contentieux pourrait ainsi se déplacer en partie vers la relation fournisseur-client, via des clauses de responsabilité, d’audit ou d’indemnisation.

Lorsqu’il est difficile d’établir qu’un contenu précis a alimenté un modèle, la défense comme l’action deviennent plus complexes. Cette zone grise favorise les débats sur la transparence technique, la conservation des journaux de traitement et l’accès aux informations de provenance. Elle influence aussi la valeur commerciale des solutions d’IA : un outil plus documenté peut rassurer davantage un client soumis à de fortes obligations de conformité.

Ce que les entreprises ont intérêt à sécuriser avant le 30 octobre 2026

Le projet du CEPD confirme un basculement. Le débat ne porte plus sur le point de savoir si des données disponibles en ligne peuvent être collectées, mais sur les conditions dans lesquelles cette collecte peut être justifiée, documentée et rendue conforme. Pour les éditeurs de modèles et les entreprises qui les utilisent, la réponse ne peut plus être improvisée à la fin du projet.

À court terme, les acteurs concernés ont intérêt à relire leurs pratiques à l’aune de quatre axes : base juridique, filtrage des sources, traitement des données sensibles et traçabilité documentaire. La consultation publique ouverte jusqu’au 30 octobre 2026 laisse encore une marge d’expression, mais le sens du texte est déjà lisible : la conformité des corpus d’entraînement devient un prérequis stratégique, pas une option de second rang (consultation publique jusqu’au 30 octobre 2026 à 23 h 59, heure de Bruxelles).

Pour l’IA générative, la prochaine frontière concurrentielle pourrait bien être moins la puissance de calcul que la qualité juridique des données.