Moissonnage pour entraîner une IA : ce que le CEPD demande

Moissonnage : ce que le mot recouvre, et pourquoi le RGPD s'y applique

L'article de la CNIL du 9 juillet 2026, lu le 14 septembre 2026 — et qui précise être « traduit automatiquement à partir du communiqué du CEPD » — définit la pratique : « Le moissonnage (web scraping en anglais) est un processus automatisé d'extraction de données à grande échelle qui fonctionne souvent sans que les individus en soient conscients et qui peut présenter des risques importants pour la protection de leurs données personnelles. »

La règle d'application est nette : « Le RGPD s'applique au moissonnage lorsqu'il inclut des opérations de traitement de données à caractère personnel, telles que la collecte, le stockage, l'organisation et l'extraction. » Collecter suffit donc — il n'est pas nécessaire d'exploiter les données pour être dans le champ.

Les deux principes que le CEPD met en avant

« Lorsqu'on s'appuie sur le moissonnage, il convient d'accorder une attention particulière au principe de limitation de la finalité et au principe de transparence. » Limitation de la finalité : les données moissonnées pour un objet ne servent pas librement à un autre. Transparence : les personnes doivent savoir.

Le texte prévoit toutefois la limite pratique de cette seconde obligation : « en fonction de la conception précise du traitement des données, le responsable du traitement pourrait ne pas avoir à informer personnellement les personnes si cela s'avère impossible ou nécessite des efforts excessifs. » Ce n'est pas une dispense générale : c'est une exception à motiver.

Les trois gestes recommandés avant d'entraîner

C'est la partie la plus directement applicable, et elle concerne autant l'exactitude des résultats que la conformité : « Le CEPD recommande d'extraire les données uniquement à partir de sources fiables, d'enregistrer l'horodatage et de valider les données avant de les utiliser dans le cadre d'une formation à l'IA afin de garantir le respect du principe de précision. »

Trois gestes, trois conséquences concrètes pour une petite structure qui constitue un jeu de données : tenir la liste des sources, dater chaque collecte, et passer une étape de contrôle avant l'entraînement. L'horodatage, en particulier, se prête à une preuve opposable — voir l'horodatage électronique qualifié.

Les lignes directrices donnent aussi « des conseils sur les mesures que le responsable du traitement devrait mettre en œuvre pour se conformer au principe de minimisation ».

L'intérêt légitime, et les données sensibles

Sur la base légale, le CEPD ne part pas de zéro : « Sur la base de l'avis du comité européen de la protection des données sur les modèles d'IA, les lignes directrices fournissent des précisions et des exemples supplémentaires sur l'utilisation de la base juridique relative à l'intérêt légitime dans le contexte spécifique du moissonnage pour la formation à l'IA. »

Le second point traité est celui des données sensibles : le comité « clarifie divers aspects de la conformité du moissonnage au RGPD, y compris la base juridique de ces activités et les conditions dans lesquelles des catégories particulières de données peuvent être traitées dans ce contexte ». Autrement dit, ces données ne sont pas hors champ par principe, mais sous conditions.

Pour le cadre général de l'IA côté entreprise, voir nos bonnes pratiques et le calendrier du règlement européen.

Ce que cette page ne dit pas

Elle ne dit pas si un moissonnage donné est licite : cela dépend des sources, des finalités et de l'analyse d'intérêt légitime, qui appartient au responsable du traitement. Elle ne traite ni les conditions générales des sites moissonnés, ni le droit d'auteur, ni les mesures techniques d'opposition. Elle repose sur le compte rendu de la CNIL, issu d'une traduction automatique : les lignes directrices originales font foi. Article lu le 14 septembre 2026.