Les intelligences artificielles génératives ont, et continuent d'avaler des milliards de pages web pour apprendre à produire du texte, des images ou du son. Mais derrière cette prouesse technique se cache une question embarrassante : nos données personnelles (photos, articles, commentaires, publications) sont-elles récoltées sans que nous le sachions pour entraîner ces modèles ?
Le 7 juillet 2026, le Comité européen de la protection des données (CEPD) a publié deux séries de lignes directrices pour clarifier les règles du jeu : l'une sur le moissonnage de données dans le contexte de l'IA générative, l'autre sur l'anonymisation. L'objectif est de rappeler aux entreprises qui développent ces systèmes qu'elles doivent respecter le RGPD, même quand elles aspirent le web à grande échelle.
Pourquoi l'IA générative a besoin de tant de données
Pour fonctionner, une IA générative comme ChatGPT, Gemini ou Midjourney doit apprendre à partir de quantités colossales de contenus existants. Elle analyse des textes, des images, des vidéos publiés en ligne pour identifier des modèles, puis génère de nouveaux contenus sur cette base.
Ce processus repose sur une technique appelée moissonnage (ou web scraping en anglais) : des logiciels parcourent automatiquement des sites web, des forums, des réseaux sociaux pour aspirer massivement des données. Mais Ces données incluent souvent des informations personnelles : votre nom, vos photos, vos commentaires, vos publications. Et la plupart du temps, vous n'avez jamais consenti à ce que vos contenus servent à entraîner une IA.
Ce que disent les nouvelles lignes directrices
Le CEPD rappelle un principe simple : le RGPD s'applique dès qu'on traite des données personnelles, même récoltées automatiquement sur le web. Les entreprises doivent donc respecter plusieurs obligations :
- Transparence : en théorie, les personnes doivent être informées que leurs données sont collectées. Le CEPD admet toutefois qu'une information individuelle peut être impossible, mais recommande au minimum une communication publique claire.
- Minimisation et précision : ne récolter que ce qui est nécessaire, valider les données avant usage, enregistrer leur provenance et l'horodatage.
- Limitation de la finalité : les données aspirées pour un usage précis ne peuvent pas être réutilisées librement pour un autre.
Le CEPD publie aussi un cadre pour évaluer si des données sont vraiment anonymes, c'est-à-dire si elles ne permettent plus d'identifier une personne. Trois critères doivent être remplis : pas d'individualisation, pas de corrélation possible, pas d'inférence. Si l'un manque, les données restent personnelles et protégées par le RGPD.
Ce que cela change
- Un cadre juridique plus clair : les autorités disposent désormais d'un référentiel précis pour sanctionner les abus.
- Des recours possibles : si vos données ont été moissonnées sans base légale, vous pourrez plus facilement contester.
- Une pression accrue sur les géants de l'IA : Anthropic, Google, Meta et consorts devront justifier leurs pratiques de collecte.
Attention toutefois : ces lignes directrices sont en consultation publique jusqu'au 30 octobre 2026. Elles ne sont pas encore définitives, et leur application concrète prendra du temps.