RGPD et IA générative, ce que change l'avis de l'EDPB sur l'anonymisation et le web scraping

Le 8 juillet 2026, le Comité européen de la protection des données (EDPB) a adopté deux nouveaux textes qui concernent directement les organisations qui développent, entraînent ou déploient des systèmes d'IA générative. Ces lignes directrices sont ouvertes à consultation publique jusqu'au 30 octobre 2026, mais leur contenu donne déjà une indication claire de la direction que prend la régulation européenne.

Un cadre plus clair pour l'anonymisation

La première question que se posent beaucoup d'organisations qui manipulent de grands volumes de données est simple. Une donnée est elle encore une donnée personnelle une fois traitée, agrégée ou transformée ?

L'EDPB répond en s'appuyant notamment sur l'arrêt de la Cour de justice de l'Union européenne du 4 septembre 2025 (affaire C 413/23 P, EDPS contre CRU). Une donnée est considérée comme anonyme si elle ne se rapporte plus à une personne identifiée ou identifiable, selon des moyens raisonnablement susceptibles d'être utilisés pour distinguer cette personne dans un contexte donné.

Pour évaluer si une anonymisation est réussie, l'EDPB propose un cadre en trois critères.

Premièrement, l'absence d'isolement d'un enregistrement individuel. Deuxièmement, l'absence de corrélation possible entre plusieurs jeux de données. Troisièmement, l'absence d'inférence permettant de déduire une information sur une personne. Si ces trois critères sont réunis, la donnée peut être considérée comme anonyme.

Deux approches sont possibles pour appliquer ce cadre. Une approche dite contextuelle, qui prend en compte les capacités réelles des différents acteurs susceptibles de tenter une réidentification. Et une approche dite simplifiée, plus prudente et plus facile à mettre en œuvre, qui ne distingue pas ces capacités et traite la donnée avec un niveau d'exigence plus élevé par défaut.

Le web scraping mis sous surveillance

Le second texte s'attaque à une pratique centrale pour l'entraînement des modèles d'IA générative, la collecte automatisée de données sur le web à grande échelle.

L'EDPB rappelle que dès qu'une opération de scraping implique un traitement de données personnelles, que ce soit la collecte, le stockage, l'organisation ou l'extraction, le RGPD s'applique pleinement. Trois principes sont particulièrement mis en avant.

Le principe de limitation des finalités, qui impose de définir précisément pourquoi les données sont collectées. Le principe de transparence, avec une tolérance encadrée lorsque l'information individuelle des personnes concernées se révèle impossible ou disproportionnée. Et le principe d'exactitude, pour lequel l'EDPB recommande de ne collecter que des sources fiables, d'horodater les données et de les valider avant leur usage dans l'entraînement d'un modèle.

Sur la base légale, l'EDPB approfondit l'usage de l'intérêt légitime dans le contexte spécifique du scraping pour l'entraînement de l'IA, en s'appuyant sur son avis précédent relatif aux modèles d'IA (Opinion 28/2024).

Le point le plus délicat concerne les catégories particulières de données, celles relatives à la santé, aux opinions politiques, à l'orientation sexuelle ou à d'autres attributs sensibles. Leur traitement reste en principe interdit, sauf exception prévue à l'article 9 du RGPD. L'EDPB évoque la possibilité d'invoquer la collecte incidente ou résiduelle de ces données dans certaines conditions, en s'appuyant sur la jurisprudence GC e.a. (affaire C 136/17), mais insiste sur le fait qu'il n'existe aucune exemption générale et que chaque situation doit être évaluée individuellement.

Pourquoi ce texte concerne aussi votre conformité AI Act

Ces lignes directrices portent sur le RGPD, pas sur l'AI Act. Mais dans la pratique, les deux réglementations se croisent régulièrement pour les organisations qui développent ou déploient des systèmes d'IA.

La documentation technique exigée par l'annexe IV de l'AI Act, ou l'analyse d'impact sur les droits fondamentaux (FRIA) pour les systèmes à haut risque, doivent souvent aborder l'origine et la nature des données d'entraînement. Si ces données proviennent de scraping, la question de leur base légale RGPD et du traitement éventuel de catégories particulières de données devient un point d'attention direct pour documenter correctement ces obligations AI Act.

De la même façon, une politique de gouvernance des données solide, qui est l'un des cinq documents que les organisations doivent produire dans le cadre de leur conformité AI Act, gagne à intégrer une réflexion sur l'anonymisation, ne serait ce que pour distinguer ce qui relève encore du RGPD de ce qui n'en relève plus.

RGPD et AI Act ne sont pas deux chantiers séparés. Ce sont deux couches de conformité qui s'appliquent souvent aux mêmes données et aux mêmes systèmes. Notre outil se concentre sur l'AI Act, mais nous recommandons systématiquement de traiter ces deux textes de façon coordonnée plutôt qu'en silo.

Où en est votre conformité AI Act

Avant de vous pencher sur ces questions RGPD, encore faut il savoir précisément où vous en êtes sur l'AI Act. Deux outils gratuits DILAIG permettent de le vérifier en quelques minutes, sans inscription.

Le détecteur de pratiques interdites (article 5) indique si votre système IA relève d'un usage prohibé par le règlement. Testez le détecteur article 5

Le qualificateur GPAI détermine si votre modèle entre dans le champ des obligations spécifiques aux modèles d'IA à usage général (article 53). Testez le qualificateur GPAI

Si votre organisation déploie ou fournit un système à haut risque, l'audit complet DILAIG génère votre score de conformité sur 100 ainsi que les cinq documents réglementaires attendus, dont la FRIA et la politique de gouvernance des données évoquées plus haut. Démarrer l'audit complet