IA générative : le CEPD encadre l'anonymisation et le moissonnage de données

Le 7 juillet 2026, le Comité européen de la protection des données (CEPD) a adopté des lignes directrices sur l'anonymisation et des lignes directrices sur le moissonnage (web scraping) dans le contexte de l'IA générative. La CNIL en a publié une traduction française le 9 juillet. Ce texte intéresse directement les organisations qui entraînent ou alimentent des systèmes d'IA à partir de corpus contenant des données personnelles. 

Sur l'anonymisation, les lignes directrices clarifient la notion de données anonymes en tenant compte de l'arrêt de la Cour de justice de l'Union européenne du 4 septembre 2025 (affaire C-413/23 P) : 

Les données sont anonymes si elles ne concernent pas une personne physique identifiée ou identifiable. Le cadre utilise trois critères pour tester si les données sont anonymes :

• pas d’individualisation des enregistrements,
• pas de corrélation,
• pas inférence.

Si les trois critères sont remplis, les données peuvent être considérées comme anonymes en toute sécurité. Si l'un de ces critères n'est pas satisfait, une analyse plus approfondie devrait être effectuée pour déterminer si les données peuvent être considérées comme anonymes. 

Sur le moissonnage, le CEPD rappelle d'abord que le RGPD s'applique dès lors que l'extraction automatisée porte sur des données personnelles (collecte, stockage, organisation, extraction). Les points concrets à retenir pour un responsable de traitement :
 

• une attention particulière doit être portée aux principes de limitation des finalités et de transparence, étant précisé que l'information individuelle des personnes n'est pas toujours requise lorsqu'elle est impossible ou exige des efforts disproportionnés.

Le CEPD recommande de n'extraire les données qu'à partir de sources fiables, de les horodater et de les valider avant tout usage pour l'entraînement d'une IA, au titre du principe d'exactitude, et donne des indications pour respecter la minimisation des données.

Le texte apporte aussi des précisions et des exemples sur le recours à l'intérêt légitime comme base juridique du moissonnage destiné à l'entraînement d'un modèle.

Enfin, point de vigilance majeur : le traitement de catégories particulières de données (données sensibles) reste en principe interdit. S’il y en a dans les données moissonnées, il faut à la fois une base légale au titre de l'article 6 et une exception au titre de l'article 9.2 du RGPD, et le CEPD souligne qu'il n'existe aucune exemption générale aux exigences de l'article 9.

Point d'attention pour les acteurs concernés : ces lignes directrices font l'objet d'une consultation publique ouverte jusqu'au 30 octobre 2026, fenêtre utile pour faire valoir ses observations.