IA et RGPD : ce que dit vraiment la CNIL, en clair
L'IA n'échappe pas au RGPD. Base légale, web scraping, vos droits sur les données utilisées pour l'entraînement : ce que dit la CNIL, sans jargon juridique.
Beaucoup d’entreprises pensent devoir choisir entre utiliser l’IA et respecter le RGPD. La CNIL a tranché la question depuis juillet 2025, avec ses premières recommandations sur le développement des systèmes d’IA : les deux ne s’opposent pas, mais l’IA ne bénéficie d’aucune exception. Voici ce que ça change concrètement, sans jargon juridique.
Le principe : l’IA n’échappe pas au RGPD
Un système d’IA qui traite des données personnelles reste soumis au RGPD, point final. La CNIL le rappelle explicitement dans ses recommandations : les principes du règlement s’appliquent pleinement, quel que soit le niveau de sophistication technique du système. Développer ou utiliser un modèle d’IA ne crée pas de zone de non-droit sur les données qu’il traite.
Quelle base légale pour entraîner une IA ?
La base légale la plus utilisée par les entreprises privées pour entraîner un modèle est l’intérêt légitime, et la CNIL en précise les conditions plutôt que de l’interdire. Pour être recevable, l’intérêt poursuivi doit remplir trois conditions cumulatives : être manifestement licite au regard du droit, être déterminé avec suffisamment de clarté et de précision, et être réel et présent — pas seulement hypothétique. En contrepartie, la CNIL exige des garanties fortes : exclusion de certaines catégories de données de la collecte, transparence renforcée envers les personnes concernées, et facilitation effective de l’exercice de leurs droits.
Le web scraping n’est pas interdit, mais il est encadré
Collecter des données publiques sur le web pour constituer un jeu d’entraînement — le « moissonnage » — reste possible, mais sous conditions précises. La CNIL a publié des critères spécifiques pour ce cas de figure dans le cadre de l’intérêt légitime : la collecte doit rester proportionnée à la finalité poursuivie, et les mêmes garanties de transparence et de droits s’appliquent. Ce n’est pas parce qu’une donnée est publique sur internet qu’elle échappe au RGPD une fois réutilisée pour entraîner un modèle.
Fournisseur ou simple utilisateur : des obligations très différentes
Comme pour l’AI Act, le RGPD n’impose pas le même niveau d’exigence à qui conçoit un système d’IA et à qui s’en sert au quotidien.
| Votre situation | Ce que ça implique |
|---|---|
| Vous développez un modèle ou un outil IA avec des données personnelles | Base légale à documenter (souvent intérêt légitime), triple test, garanties fortes, traçabilité dès la conception |
| Vous utilisez un outil IA existant (ChatGPT, Copilot, un assistant métier) | Vérifier les conditions de traitement de l’offre, informer vos équipes et vos clients si des données personnelles sont saisies, ne pas coller de données sensibles sans garantie |
| Vous êtes une personne concernée (vos données ont pu servir à un entraînement) | Droit d’accès, de rectification, d’opposition — la CNIL veille à ce que ces droits restent exerçables en pratique |
Ce que ça change pour votre entreprise, concrètement
Si vous développez un outil interne qui s’appuie sur des données personnelles — clients, salariés, candidats — la conformité RGPD doit être pensée dès la conception, pas ajoutée après coup : traçabilité des données, documentation des choix, procédure pour répondre à une demande d’accès. C’est le même réflexe que celui déjà nécessaire pour l’AI Act, entré pleinement en application le 2 août 2026 : les deux textes se cumulent et pointent dans la même direction, la supervision et la documentation. Si vous vous contentez d’utiliser des outils IA du marché, l’essentiel tient dans quelques réflexes simples au moment de saisir une donnée — voir les réflexes de confidentialité avant de coller vos données.
À retenir
Le RGPD ne freine pas l’IA, il l’encadre : intérêt légitime sous conditions, web scraping toléré mais documenté, droits des personnes préservés. Les obligations les plus lourdes visent ceux qui conçoivent des modèles ; les entreprises qui se contentent d’utiliser des outils du marché ont surtout un devoir de vigilance et de transparence. En cas de doute sur un projet précis, les fiches pratiques de la CNIL restent la référence à jour.
Sources
Questions fréquentes
Le RGPD s'applique-t-il à l'IA générative ?
Oui, sans exception. La CNIL est claire : les principes du RGPD restent pleinement applicables quel que soit le niveau de complexité du système d'IA, dès que des données personnelles sont en jeu, à l'entraînement ou à l'usage.
Une entreprise peut-elle entraîner une IA sans le consentement des personnes ?
Dans certains cas, oui, via la base légale de l'intérêt légitime — la plus utilisée par les organismes privés selon la CNIL. Elle est soumise à un triple test : intérêt licite, déterminé avec précision, et réel, avec des garanties fortes (transparence, exclusion de certaines données, facilitation des droits).
Le web scraping pour entraîner une IA est-il interdit ?
Non, mais il est encadré. La CNIL précise les conditions dans lesquelles la collecte de données publiques sur le web (moissonnage) peut s'appuyer sur l'intérêt légitime, avec des garanties sur l'usage qui en est fait.
Mes données ont-elles servi à entraîner ChatGPT, Claude ou Gemini ?
C'est possible si vous avez utilisé une offre grand public dont les conditions autorisent cet usage, ou si vos données publiques ont été collectées sur le web. Vous conservez un droit d'accès, de rectification et d'opposition : la CNIL insiste sur la facilitation de ces droits comme garantie centrale.
Quelles obligations pour une entreprise qui utilise (sans le développer) un outil IA ?
Documenter les usages, informer les personnes concernées quand des données personnelles sont traitées, et vérifier les garanties de l'offre utilisée (professionnelle vs grand public). Ce sont des obligations de premier niveau, bien plus légères que celles des concepteurs de modèles.