Le 19 juin 2025, la CNIL a publié des recommandations portant sur l’usage des données personnelles dans le développement de l’intelligence artificielle. L’autorité y détaille les conditions d’un traitement fondé sur l’intérêt légitime. Cela comprend aussi les règles à respecter pour utiliser le web scraping, sans violer les droits des personnes concernées.
À la suite d’une consultation publique impliquant divers acteurs, la CNIL a présenté un ensemble de recommandations destinées à encadrer l’usage de l’IA en lien avec les données personnelles. Ces orientations sont destinées aux structures qui conçoivent, fournissent ou exploitent des systèmes d’IA. L’objectif est d’assurer une conformité avec le Règlement général sur la protection des données.
Des règles précises concernant la collecte, l’utilisation et la conservation des informations sont établies. Le document fournit également une clarification attendue sur le recours au web scraping pour l’entraînement des IA. De plus, cela insiste sur les conditions strictes qui doivent accompagner cette pratique pour rester dans un cadre légal acceptable.
La collecte de données encadrée par le RGPD
Les recommandations de la CNIL s’adressent principalement aux entités qui participent au développement de systèmes d’IA, leur rappelant les principes fondamentaux du RGPD. Ainsi, chaque projet doit commencer par la définition d’une finalité claire : l’objectif poursuivi guide la sélection et la pertinence des données utilisées.
Responsables de traitement, coresponsables ou sous-traitants ? Les organisations impliquées sont invitées à préciser leur statut juridique selon leur implication effective dans le traitement des données. Cela peut également concerner des structures particulières comme une société de portage salarial telle que CEGELEM, dès lors qu’elle héberge un professionnel qui conçoit ou exploite un système IA.
La base légale invoquée pour traiter les données doit être soigneusement choisie. L’intérêt légitime peut être retenu à condition que :
- La nécessité du traitement soit démontrée ;
- Des garanties suffisantes sont mises en place.
Il convient également de s’assurer que la constitution des bases de données exploitées respecte les règles du RGPD. Il faut donc vérifier leur origine et les restrictions d’usage possibles.
Le principe de minimisation des données s’applique également : seules les informations strictement indispensables doivent être collectées. Cela concerne notamment lorsque celles-ci présentent un caractère sensible.
De même, la durée de conservation des données doit être définie en lien avec la finalité du traitement et communiquée de manière transparente. Par ailleurs, une analyse d’impact peut s’avérer nécessaire si des risques pour la vie privée sont identifiés.
Le web scraping toléré sous conditions strictes
Le recours au web scraping pour alimenter les systèmes d’IA fait l’objet d’une position nuancée de la CNIL. L’autorité accepte cette méthode de collecte automatisée, seulement si elle s’appuie sur l’intérêt légitime et qui respecte divers garde-fous essentiels. Les concepteurs doivent notamment veiller à :
- Ne pas intégrer de données sensibles ;
- Filtrer les contenus inutiles ;
- Tenir compte des dispositifs d’opposition techniques (comme fichiers robots.txt, CAPTCHA).
Il est également déconseillé de collecter des données issues de sites majoritairement composés d’informations personnelles. La transparence constitue un élément important de ce dispositif : la publication des sources utilisées pour le scraping est encouragée.
D’ailleurs, la mise en place des mesures techniques est requise pour réduire les risques, telles que l’anonymisation ou l’utilisation de données synthétiques.
La CNIL souligne aussi l’existence de limites juridiques extérieures au RGPD. Les droits d’auteur ou les conditions générales des sites peuvent restreindre voire interdire ces pratiques, malgré la conformité aux règles sur la protection des données. En l’absence de législation spécifique, la prudence reste donc de mise, surtout dans les environnements sensibles ou exposés.
Il est plausible que certains professionnels opérant une société de portage salarial, y compris CEGELEM, soient concernés. Ils doivent s’assurer que leurs pratiques respectent les obligations liées au statut et les restrictions juridiques encadrant le scraping.