Le 7 juillet 2026, le Comité européen de la protection des données a adopté ses premières lignes directrices consacrées au moissonnage dans le contexte de l’IA générative. Le texte ne ferme pas la porte à la constitution de corpus d’entraînement, mais il impose une méthode : base juridique établie, finalité circonscrite, sources fiables, horodatage, validation avant usage. La consultation publique court jusqu’au 30 octobre 2026.
Trois textes le même jour
La séance plénière du 7 juillet 2026 a produit un paquet de trois documents. Deux sont des versions initiales soumises à consultation, le troisième est finalisé.
- Des lignes directrices sur le moissonnage (web scraping) dans le contexte de l’IA générative, qui clarifient la conformité au RGPD de ces opérations, la base juridique mobilisable et les conditions de traitement des catégories particulières de données.
- Les lignes directrices 02/2026 sur l’anonymisation, qui actualisent l’avis 05/2014 du groupe de travail Article 29 à la lumière de la jurisprudence récente de la Cour de justice de l’Union européenne.
- La version finale des lignes directrices sur le traitement de données personnelles au moyen des technologies de chaîne de blocs, adoptée après consultation publique.
Les deux premiers textes sont ouverts aux observations jusqu’au 30 octobre 2026. Le troisième est accompagné, fait notable, d’un rapport de consultation et d’une version comparée des modifications, au titre du dialogue renforcé avec les parties prenantes engagé par la déclaration d’Helsinki.
Pour les éditeurs et les acteurs du search, le premier document est celui qui compte. Il donne pour la première fois une lecture d’ensemble, par le régulateur européen des données, de la pratique qui alimente l’intégralité des modèles génératifs.
Le RGPD s’applique dès la collecte
Le point de départ est sans ambiguïté. Le CEPD décrit le moissonnage comme un processus automatisé d’extraction de données à grande échelle qui opère le plus souvent sans que les personnes concernées en aient conscience, et qui peut présenter des risques importants pour la protection de leurs données personnelles.
Le RGPD s’applique dès lors que l’opération inclut des traitements de données personnelles, et le comité énumère explicitement les opérations visées : la collecte, le stockage, l’organisation et l’extraction. Autrement dit, le déclenchement n’attend pas la phase d’entraînement. Le simple fait de constituer et de conserver un corpus suffit.
Cette précision compte parce qu’une partie de l’argumentaire des fournisseurs de modèles reposait sur l’idée que l’entraînement, transformant les données en paramètres statistiques, effacerait la question en amont. Le comité déplace le point de contrôle vers la constitution du corpus, là où les opérations sont les plus visibles et les plus vérifiables.
Finalité et transparence en premier
Deux principes du RGPD sont mis en avant comme prioritaires lorsqu’on s’appuie sur le moissonnage : la limitation des finalités (les données ne peuvent être collectées que pour des objectifs déterminés, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible) et la transparence (l’information des personnes sur le traitement de leurs données).
Le comité admet toutefois un tempérament. Selon la conception précise du traitement, le responsable pourrait ne pas avoir à informer individuellement les personnes concernées si cela s’avère impossible ou exige des efforts disproportionnés. C’est l’application classique du régime de la collecte indirecte, transposé à un contexte où l’identification nominative de millions de personnes serait matériellement irréalisable.
Cette souplesse n’est pas une exonération. Elle déplace l’obligation vers des mesures d’information générale : publication d’une politique, mise à disposition d’un canal d’exercice des droits, description des sources.
Exactitude : sources fiables, horodatage, validation
C’est le passage le plus opérationnel du texte, et celui qui parlera le plus directement aux professionnels du web.
Au titre du principe d’exactitude (les données doivent être exactes et, si nécessaire, tenues à jour), le CEPD recommande trois pratiques concrètes :
- N’extraire que depuis des sources fiables.
- Enregistrer l’horodatage de la collecte.
- Valider les données avant leur utilisation dans un processus d’entraînement.
Ces trois exigences forment ensemble une obligation de traçabilité du corpus. Un fournisseur qui les respecte sait d’où vient chaque élément et à quelle date il a été capté. Un fournisseur qui ne les respecte pas se trouve dans l’incapacité de répondre à une demande d’effacement ou de rectification, ce qui constitue en soi un manquement.
Les lignes directrices détaillent également les mesures attendues au titre du principe de minimisation des données, qui impose de limiter la collecte à ce qui est strictement nécessaire à la finalité poursuivie. Sur un corpus web généraliste, la démonstration est délicate.
Intérêt légitime, un terrain qui reste fragile
Sur la base juridique, le comité s’appuie sur son avis 28/2024 relatif à certains aspects du traitement de données personnelles par les modèles d’IA. Les nouvelles lignes directrices apportent des précisions et des exemples supplémentaires sur le recours à l’intérêt légitime (base juridique de l’article 6.1.f du RGPD, qui permet un traitement sans consentement lorsque l’intérêt du responsable ne prévaut pas sur les droits et libertés des personnes concernées) dans le contexte spécifique du moissonnage pour l’entraînement.
Il faut rester mesuré sur la portée de ces éclaircissements. L’intérêt légitime appliqué au moissonnage massif de données publiques demeure un terrain juridique instable, et le test de mise en balance qu’il suppose reste à conduire cas par cas. Le comité fournit une grille, pas un blanc-seing.
Les données sensibles restent interdites par principe
Le CEPD rappelle que le traitement de catégories particulières de données personnelles (origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données de santé, données génétiques et biométriques, orientation sexuelle) est en principe interdit. Si le moissonnage implique de telles données, il faut cumuler une base légale au titre de l’article 6 et une exception au titre de l’article 9, paragraphe 2.
Le comité suggère que le raisonnement de la Cour de justice dans l’arrêt GC et autres (C-136/17) peut être pertinent pour la collecte accessoire ou résiduelle de données sensibles, celle qui survient inévitablement quand on aspire du contenu web généraliste. Deux conditions : que le responsable agisse dans le cadre de ses responsabilités, pouvoirs et capacités, et qu’il mette en œuvre des mesures techniques et organisationnelles appropriées pour empêcher la collecte et la diffusion de ces données.
La formulation finale ne laisse aucune marge d’interprétation extensive : il n’existe pas d’exemption générale aux exigences de l’article 9, et chaque situation doit être appréciée individuellement pour déterminer si le raisonnement de la Cour s’applique.
L’anonymisation refondue en trois critères
Le second texte du paquet intéresse indirectement le moissonnage, puisque la qualification d’un jeu de données comme anonyme fait sortir le traitement du champ du RGPD.
Les lignes directrices 02/2026 tiennent compte de l’arrêt de la Cour de justice C-413/23 P, CEPD contre CRU, du 4 septembre 2025, et d’autres décisions récentes. Elles posent qu’une personne est identifiée ou identifiable si elle peut être distinguée des autres dans un contexte donné, par des moyens raisonnablement susceptibles d’être utilisés d’une manière permettant de la traiter différemment. La question du caractère anonyme peut donc recevoir une réponse différente selon l’entité concernée.
Le cadre pratique repose sur trois critères cumulatifs :
- Pas d’individualisation des enregistrements.
- Pas de corrélation.
- Pas d’inférence.
Si les trois sont remplis, les données peuvent être tenues pour anonymes. Si l’un manque, une analyse complémentaire s’impose. Le comité propose deux façons d’appliquer ce cadre : une approche contextuelle, qui évalue les différences de capacités entre les entités susceptibles d’identifier la personne et reflète toutes les nuances de la norme juridique, et une approche simplifiée, qui ignore ces différences par souci de praticité et peut conduire un responsable à traiter comme non anonymes des données qui le seraient effectivement pour certaines entités.
Ce que cela change côté éditeurs
Il faut résister à la tentation de lire ce texte comme une réponse au pillage des contenus. Deux régimes coexistent et ne se recouvrent pas.
La propriété littéraire et artistique protège les œuvres et les objets protégés par les droits voisins. Elle relève de la directive de 2019, de l’exception de fouille de textes et de données, de l’opt-out et, en France, du code de la propriété intellectuelle. Le RGPD protège les données personnelles, quelle que soit leur qualification au regard du droit d’auteur. Un article de presse peut relever des deux régimes, pour des raisons différentes et devant des autorités différentes.
Concrètement, les lignes directrices du 7 juillet donnent aux éditeurs un levier supplémentaire, pas un levier de substitution. Un crawler d’IA qui aspire des pages contenant des données personnelles identifiables, sans base juridique établie ni traçabilité, s’expose désormais à un cadre d’appréciation nettement plus précis qu’auparavant. Cela ne dit rien de la licéité de l’usage de ces mêmes pages au titre du droit d’auteur.
La consultation reste ouverte jusqu’au 30 octobre 2026, et les textes sont susceptibles d’évoluer. Les principes qu’ils reformulent, en revanche, sont des obligations RGPD déjà en vigueur, indépendamment de leur mise en forme par le comité.
Bibliographie
- Lignes directrices du CEPD sur le moissonnage dans le contexte de l’IA générative, PDF en anglais
- Lignes directrices 02/2026 sur l’anonymisation, PDF en anglais
- Communiqué du CEPD relayé et traduit par la CNIL, 9 juillet 2026
- Communiqué original du CEPD, en anglais
- Consultation publique sur les lignes directrices relatives au web scraping
- Avis 28/2024 du CEPD sur certains aspects de protection des données liés aux modèles d’IA
- Arrêt GC et autres, CJUE, affaire C-136/17
Ce contenu vous a plu ?
Inscrivez-vous gratuitement à notre newsletter et recevez chaque semaine l’actualité du SEO directement dans votre boîte email. Vous pouvez vous désabonner à tout moment !