En bref. La minimisation des données selon le RGPD impose de limiter les données personnelles à ce qu’exige la finalité, y compris lors de la conception des systèmes d’IA et de la collecte des données d’entraînement.

Définition : La minimisation des données est l’exigence prévue à l’article 5(1)(c) du règlement général sur la protection des données (RGPD) selon laquelle les données personnelles doivent être adéquates, pertinentes et limitées à ce que requiert la finalité du traitement. Les données personnelles désignent toute information relative à une personne identifiée ou identifiable ; cette exigence s’applique à la collecte et à l’utilisation de ces informations pour les systèmes d’IA.

Points clés

L’article 5 du RGPD fait de la minimisation un principe du traitement et impose au responsable du traitement, l’organisme qui détermine les finalités et les moyens du traitement, de démontrer qu’il le respecte.
Au 17 octobre 2026, les recommandations de la CNIL sur le développement des systèmes d’IA demandent de définir les catégories de données pertinentes avant toute collecte sur le Web et de supprimer immédiatement les données non pertinentes collectées par inadvertance.
Les recommandations de la CNIL sur la conception des systèmes admettent des jeux de données d’entraînement volumineux lorsque leur nécessité est justifiée, notamment par des besoins de représentativité ou des comparaisons portant sur différents volumes de données.
Les recommandations de la CNIL sur la collecte et la gestion des données étendent la sélection aux métadonnées associées, qui décrivent les données ou leur collecte, et aux annotations, qui sont des descriptions attribuées aux exemples d’entraînement.

Que prévoit le RGPD ?

La disposition de l’article 5(1)(c) prévoit que les données sont :

adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;

Le même règlement relie cette exigence à la conception des systèmes. L’article 25 impose des mesures techniques et organisationnelles appropriées pour que, par défaut, seules les données personnelles nécessaires à chaque finalité spécifique soient traitées. Cela couvre la quantité de données collectées, l’étendue du traitement, les durées de conservation et l’accessibilité.

L’article 5(1)(e) limite séparément la durée de conservation des données permettant d’identifier les personnes. Le consentement, qui figure parmi les bases légales énumérées à l’article 6, s’applique conjointement à ces exigences.

Comment la minimisation oriente-t-elle un projet d’IA ?

Les recommandations de la CNIL sur le développement des systèmes d’IA partent d’une finalité définie. Pour un modèle à usage général, indiquer simplement que l’objectif est de développer et d’améliorer un système d’IA est trop large : la finalité doit préciser le type de système et les capacités techniquement réalisables.

Les recommandations de la CNIL sur la conception préconisent de privilégier une technique qui atteint le même résultat avec moins de données personnelles. Lorsqu’une méthode sans apprentissage automatique (machine learning) répond à l’objectif, elle doit être privilégiée.

La sélection porte aussi sur le niveau de détail de chaque enregistrement. Ces recommandations donnent l’âge ou une tranche d’âge comme alternatives à une date de naissance complète, lorsqu’ils préservent l’information nécessaire à l’objectif. Elles préconisent des études pilotes de petite taille pour valider les choix techniques et les choix de données, notamment des expérimentations utilisant des données fictives ou des données anonymisées de sorte que les personnes ne soient plus identifiables.

Comment organiser la collecte et le réexamen des données ?

Pour la collecte sur le Web, les recommandations de la CNIL sur le développement des systèmes d’IA préconisent des filtres ou l’exclusion de sites web afin d’éviter de recueillir des catégories non pertinentes, en particulier des données sensibles. Le choix des sources de collecte fait ainsi partie de la minimisation.

Les recommandations de la CNIL sur la collecte décrivent des opérations de nettoyage telles que la suppression des doublons et des champs inutiles. Les données d’entraînement non pertinentes doivent être supprimées. Les métadonnées associées doivent également être examinées, car les dates ou les lieux de collecte peuvent contribuer à identifier des personnes.

Les mêmes recommandations préconisent une analyse régulière des jeux de données : les évolutions techniques ou les changements dans les données peuvent rendre obsolètes les mesures de minimisation antérieures. La documentation contribue à la traçabilité des données utilisées.

Termes associés

Questions fréquentes

Le consentement autorise-t-il la collecte de données personnelles supplémentaires ?

Les articles 5 et 6 du RGPD exigent à la fois le respect des principes du traitement et une base légale. Si vous vous fondez sur le consentement, les données doivent toujours être adéquates, pertinentes et limitées à la finalité.

Tout jeu de données d’entraînement d’un système d’IA doit-il être de petite taille ?

Les recommandations de la CNIL sur la conception admettent des jeux de données volumineux si leur nécessité est justifiée. Vous pouvez évaluer le volume au moyen d’exigences de représentativité, d’analyses statistiques ou d’expérimentations comparant différents volumes.

Qu’advient-il des données d’entraînement conservées pour la maintenance ?

Les recommandations de la CNIL sur la collecte limitent la conservation pour la maintenance aux données nécessaires et exigent une durée justifiée. Lorsque la conservation prolongée sert à réaliser des audits ou à mesurer les biais, elle s’accompagne de mesures de sécurité renforcées.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Minimisation des données selon le RGPD