L’intelligence artificielle générative pose une question simple en apparence, mais redoutable en pratique : les données utilisées pour entraîner ou faire fonctionner un outil d’IA sont-elles vraiment anonymes ? Le Comité européen de la protection des données (CEPD) vient d’apporter une réponse structurée, avec deux textes adoptés le 7 juillet 2026.
Anonymisation : trois critères, pas un de moins
Le CEPD fixe un test en trois vérifications cumulatives pour qu’une donnée soit considérée comme réellement anonyme : l’absence du risque d’individualisation (fait de pouvoir isoler une personne dans le jeu de données), l’absence du risque de corrélation (faitde pouvoir relier des enregistrements concernant la même personne), et l’absence du risque d’inférence (fait de pouvoir déduire des informations sur une personne). Si l’un de ces trois risques subsiste, la donnée reste une donnée à caractère personnel — et le RGPD continue de s’appliquer, quel que soit le nom donné au traitement.
Le moissonnage de données (web scraping) dans le viseur
Le second texte s’attaque à une pratique centrale de l’entraînement des IA génératives : la collecte automatisée de contenus disponibles en ligne. Le CEPD rappelle un point souvent négligé : les catégories particulières de données — santé, opinions politiques, religieuses, orientation sexuelle (article 9 du RGPD) — restent en principe interdites de traitement, y compris lorsqu’elles sont collectées automatiquement sur le web plutôt que directement auprès des personnes.
Une consultation publique reste ouverte jusqu’au 30 octobre 2026 sur ces deux textes : les entreprises et fédérations professionnelles peuvent encore faire remonter leurs observations avant l’adoption définitive.
Pourquoi cela concerne votre structure
Que vous développiez un outil d’IA en interne, que vous utilisiez une solution du marché entraînée sur des données ouvertes, ou que vous envisagiez simplement d’intégrer un assistant IA à vos processus, ces textes deviennent la référence pour évaluer vos risques. Deux questions à se poser sans attendre :
- Les données utilisées par vos outils d’IA (internes ou fournisseurs) sont-elles réellement anonymes au sens des 3 critères du CEPD, ou seulement pseudonymisées ?
- Si un outil d’IA a été entraîné sur des données collectées par moissonnage, l’information due aux personnes concernées (article 14 du RGPD) a-t-elle été respectée par le fournisseur ?
Ce sont des questions que l’on intègre désormais systématiquement dans nos audits de conformité IA.
Vous déployez ou envisagez des outils d’intelligence artificielle dans votre structure ? L’Agence RGPD peut vous aider à sécuriser ces usages avant qu’ils ne deviennent un point de non-conformité.
