En bref. La CNIL exige une base légale, une collecte ciblée et des mesures de protection lors de la collecte de données personnelles accessibles publiquement pour le développement de l’IA.

Définition : Les recommandations de la CNIL sur le moissonnage web (web scraping) pour l’IA précisent les conditions de collecte des données personnelles accessibles publiquement en ligne pour développer des systèmes d’IA. Elles portent sur la base légale de la collecte, la minimisation des données, les restrictions imposées par les sites web et les mesures de protection des personnes concernées.

Points clés

Au 17 octobre 2026, les recommandations de la CNIL sur le développement de systèmes d’IA couvrent la conception des systèmes, la constitution des jeux de données et l’entraînement des modèles impliquant des données personnelles.
La fiche de la CNIL consacrée au moissonnage impose de définir les critères de collecte à l’avance et de supprimer les données non pertinentes.
Les recommandations de la CNIL sur l’intérêt légitime exigent un intérêt légitime, un traitement nécessaire et une mise en balance avec les droits et intérêts des personnes.
Les recommandations de la CNIL sur la transparence appliquent les obligations d’information aux données personnelles collectées indirectement, notamment par moissonnage.

Que faut-il déterminer avant la collecte ?

Les recommandations de la CNIL sur le développement commencent par la finalité : un objectif défini qui délimite les données personnelles nécessaires à l’entraînement. Elles exigent également d’identifier le responsable du traitement, c’est-à-dire l’organisme qui détermine pourquoi et comment les données personnelles sont traitées.

Une base légale est le fondement juridique du traitement de données personnelles au titre du règlement général sur la protection des données (RGPD). Les recommandations de la CNIL sur l’intérêt légitime expliquent que les organismes privés peuvent recourir à cette base lorsque ses conditions sont remplies. La nécessité impose d’examiner si une approche moins intrusive permet d’atteindre l’objectif. Le responsable du traitement met ensuite en balance les bénéfices attendus et les effets sur les personnes, en tenant compte de leurs attentes raisonnables.

La CNIL recommande de documenter cette évaluation. Un intérêt commercial peut constituer un intérêt légitime, sous réserve de licéité, de nécessité et de proportionnalité.

Quelles mesures la CNIL impose-t-elle pour la collecte ?

La minimisation des données consiste à limiter la collecte aux données personnelles nécessaires à la finalité. La fiche de la CNIL consacrée au moissonnage renvoie à l’article 5.1.c du RGPD comme fondement juridique de ce principe.

Cette fiche impose des critères de collecte précis et l’exclusion des catégories de données inutiles au moyen de filtres lorsque cela est possible. Lorsque le filtrage est impossible, certains types de sites doivent être exclus. Elle donne l’exemple d’un forum public sur lequel des pseudonymes sont collectés alors que seul le contenu des commentaires est nécessaire : les données non pertinentes doivent être supprimées immédiatement après la collecte ou dès qu’elles sont identifiées.

Les sites web qui s’opposent clairement au moissonnage destiné à constituer des jeux de données d’entraînement au moyen de protocoles d’exclusion robots.txt ou de CAPTCHA doivent également être exclus. Un CAPTCHA est un test visant à distinguer un accès humain d’un accès automatisé. La fiche relie ces restrictions aux attentes raisonnables des personnes.

Quelles mesures de protection et quelle information accompagnent le moissonnage ?

Les recommandations de la CNIL sur le développement décrivent des mesures de protection supplémentaires choisies en fonction du risque. Les exemples comprennent l’exclusion par défaut des forums de santé, la limitation de la collecte aux contenus librement accessibles sans création de compte, ainsi que l’anonymisation ou la pseudonymisation des données immédiatement après la collecte.

Les recommandations de la CNIL sur l’information préconisent une information précise sur les sources lorsque le moissonnage concerne quelques sites web. Lorsque les sources sont nombreuses, elles recommandent d’indiquer les catégories de sites sources, au moins celles qui présentent le plus de risques pour les personnes. Cette recommandation s’applique également aux organismes qui réutilisent des jeux de données issus du moissonnage.

Lorsque l’information individuelle exige des efforts disproportionnés, le responsable du traitement doit évaluer et documenter cette conclusion et rendre l’information publique. Une notice sur un site web est un moyen de le faire ; elle doit expliquer le traitement et les droits des personnes dans un langage clair et accessible.

Termes associés

Questions fréquentes

Pouvez-vous vous fonder uniquement sur l’accessibilité publique des données ?

Les recommandations de la CNIL sur l’intérêt légitime considèrent l’accessibilité publique comme un facteur dans l’appréciation des attentes raisonnables. Le contexte du site web, les restrictions de publication et la relation avec la personne comptent également.

Une notice de confidentialité remplace-t-elle toujours l’information individuelle ?

Les recommandations de la CNIL sur la transparence exigent une évaluation au cas par cas du caractère disproportionné des efforts. Le seul volume de données ne suffit pas à justifier cette exception.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Recommandations de la CNIL sur le moissonnage web pour l’IA