Scraping Web pour l'IA : Guide EDPB 03/2026 pour PME

Selon les lignes directrices 03/2026 de l'EDPB, les entreprises européennes ne peuvent pas considérer les données web publiques comme une ressource libre pour entraîner des modèles d'IA générative. L'ingestion de données personnelles en ligne pour l'entraînement, le fine-tuning ou la génération augmentée par récupération (RAG) exige un test d'intérêt légitime documenté en trois étapes selon l'article 6, paragraphe 1, point f) du RGPD, un filtrage rigoureux des données sensibles de l'article 9 et le respect des signaux d'opposition techniques.

De nombreuses équipes techniques supposent que les données accessibles sur Internet sont libres de droits réglementaires. Elles déploient des scrapers sur des forums, des annuaires et des réseaux professionnels, extraient des millions d'enregistrements et les intègrent dans des bases vectorielles. Les autorités européennes de protection des données ont formellement rejeté cette approche. Le Comité européen de la protection des données (EDPB) a adopté les lignes directrices 03/2026 pour préciser l'application du RGPD au moissonnage web destiné à l'intelligence artificielle générative.

Voici les éléments obligatoires que les fondateurs, directeurs techniques et DPO doivent documenter pour sécuriser leurs flux de données IA.

Qui est réellement concerné ?

Les lignes directrices 03/2026 s'appliquent à toute organisation privée qui collecte des données personnelles sur des sources web publiques pour entraîner, ajuster ou évaluer des modèles d'IA générative.

La responsabilité de traitement au sens du RGPD s'applique dans trois configurations techniques majeures :

• Développement de robots internes : L'exécution de crawlers et de scripts propriétaires sur des sites publics.
• Sous-traitance de collecte : Le recours à des prestataires ou agences externes spécialisés dans l'extraction de données web.
• Achat de jeux de données : L'acquisition de corpus de données web pré-assemblés auprès de courtiers ou le téléchargement de snapshots ouverts.

L'achat d'un jeu de données commercial n'exonère pas l'acheteur de ses obligations. En vertu de l'article 4, paragraphe 7 du RGPD, votre entreprise agit en qualité de responsable du traitement pour chaque donnée personnelle intégrée dans vos pipelines ou vos poids de modèle. Si un fournisseur a extrait des données en violation du RGPD, l'utilisation de ce corpus contamine directement la conformité de votre modèle.

Quelle documentation est requise pour l'intérêt légitime ?

Recueillir le consentement individuel de millions d'internautes est techniquement impossible lors d'un moissonnage web ouvert. La plupart des créateurs d'IA européens s'appuient donc sur l'intérêt légitime (article 6, paragraphe 1, point f) du RGPD).

Une simple affirmation verbale est irrecevable pour les autorités de contrôle. Les régulateurs exigent une évaluation formalisée de l'intérêt légitime (LIA) articulée autour d'un triple test avant tout lancement de crawler :

1. Le test de finalité : Vous devez démontrer un objectif commercial ou scientifique réel, légitime et précis. Une mention vague telle que « améliorer des modèles d'IA » sera immédiatement rejetée.
2. Le test de nécessité : Vous devez prouver que votre système d'IA ne peut pas atteindre son but avec des données synthétiques, des contenus sous licence ou des jeux de données anonymisés. Si le modèle peut fonctionner sur des données non personnelles, l'extraction de profils personnels échoue au test de nécessité.
3. Le test de mise en balance : Vous devez établir que vos intérêts économiques ne prévalent pas sur les libertés fondamentales et les attentes raisonnables des personnes concernées.

Toute opération de collecte doit figurer dans votre registre des activités de traitement (RAT). Si le pipeline d'IA traite des données personnelles à grande échelle, une analyse d'impact relative à la protection des données (AIPD) doit être menée conformément à l'article 35 du RGPD.

Comment gérer les données de l'article 9 et les signaux d'opposition ?

Les pages web publiques contiennent fréquemment des données sensibles. Les forums de discussion, les espaces de commentaires et les plateformes professionnelles révèlent souvent des opinions politiques, des convictions religieuses, des orientations sexuelles ou des données de santé.

En vertu de l'article 9 du RGPD, le traitement des catégories particulières de données est strictement interdit, sauf consentement explicite ou dérogation légale expresse. L'EDPB a formellement souligné qu'un message publié par un internaute sur un forum public ne signifie pas que ces données ont été « manifestement rendues publiques par la personne concernée » au sens de l'article 9, paragraphe 2, point e) pour un usage d'entraînement d'IA commerciale.

Les équipes d'ingénierie des PME doivent mettre en place des garde-fous techniques automatisés avant toute ingestion :

• Filtres de nettoyage automatisés : Déployer des scripts regex et des modèles de classification pour purger les attributs sensibles avant l'envoi vers les modèles d'embedding.
• Listes d'exclusion de domaines : Écarter des cibles de crawl les forums médicaux, les plateformes militantes et les sites d'avis sensibles.
• Respect des signaux d'opposition techniques : Paramétrer les robots pour respecter scrupuleusement les directives robots.txt et les en-têtes HTTP X-Robots-Tag: noindex, noarchive.
• Gestion du droit d'opposition (Article 21) : Mettre à disposition un canal simple et accessible permettant aux individus de s'opposer à l'utilisation de leurs données dans les itérations de modèles.

Quelles sanctions en cas de non-conformité ?

Les autorités européennes renforcent activement leurs contrôles sur les données d'entraînement des systèmes d'IA. La CNIL en France, le Garante en Italie, l'AEPD en Espagne et la DPC en Irlande ont ouvert de multiples enquêtes et prononcé des sanctions exemplaires.

En vertu de l'article 83, paragraphe 5 du RGPD, les infractions aux principes fondamentaux de traitement ou la violation de l'article 9 exposent les entreprises à des amendes administratives pouvant atteindre 20 000 000 EUR ou 4 % du chiffre d'affaires annuel mondial total.

Au-delà des sanctions financières, les autorités disposent de pouvoirs correcteurs prévus à l'article 58, paragraphe 2 du RGPD. Elles peuvent ordonner l'interdiction temporaire ou définitive du traitement, exiger la suppression immédiate des jeux de données moissonnés ou imposer la destruction pure et simple des poids de modèles entraînés sur des données illicites.

Lorsque l'application d'IA est déployée dans les ressources humaines, l'évaluation du crédit ou des services essentiels, la surveillance s'accentue sous le Règlement (UE) 2024/1689 sur l'IA. Si votre outil est qualifié de système d'IA à haut risque, des non-conformités sur les données d'entraînement peuvent déclencher des contrôles conjoints des autorités de protection des données et des autorités de surveillance du marché de l'IA.

Quelles sont les priorités d'action pour les PME ?

Les PME technologiques européennes doivent mener cinq actions prioritaires pour sécuriser leurs flux de données d'IA :

1. Cartographier les données ingérées : Répertorier chaque jeu de données externe, corpus web et index vectoriel utilisé dans vos pipelines.
2. Rédiger l'analyse d'intérêt légitime : Formaliser le triple test pour chaque cas d'usage d'entraînement ou de génération augmentée (RAG).
3. Vérifier le paramétrage des crawlers : S'assurer que vos outils d'extraction vérifient et respectent systématiquement le fichier robots.txt des sites sources.
4. Activer le filtrage de l'article 9 : Implémenter des contrôles automatisés pour éliminer toute donnée sensible avant le stockage dans vos bases d'apprentissage.
5. Évaluer les obligations croisées : Utiliser EuroComply pour identifier les exigences communes entre le RGPD, le Règlement IA et la Directive NIS 2.

Avertissement : EuroComply fournit des outils de préparation à la conformité et des projets de documentation probante. Ce guide est publié à des fins purement informatives et ne constitue pas un conseil juridique, réglementaire ou de conformité. Les documentations techniques et évaluations doivent être validées par des conseils juridiques qualifiés.