Les données synthétiques sont présentées par une industrie florissante comme la solution miracle : générer des jeux de données artificiels qui reproduisent les propriétés statistiques de données réelles, sans les contraintes du RGPD. Le marché, évalué entre 310 et 576 millions de dollars en 2024, devrait atteindre plusieurs milliards d’ici 2030. Les promesses commerciales sont alléchantes — « innovez sans contraintes réglementaires », « libérez vos données en toute conformité ».
Le problème : cette promesse repose sur un malentendu juridique fondamental. Le RGPD ne disparaît pas par magie dès qu’un algorithme génère de nouvelles lignes dans un tableur. Le statut juridique des données synthétiques dépend entièrement de leur capacité à empêcher toute réidentification — un standard que la plupart des solutions du marché peinent à atteindre.
Cet article décortique le cadre juridique réel, les risques techniques documentés et les stratégies concrètes pour utiliser les données synthétiques sans se retrouver en infraction.
- ✨« Innovez sans contraintes réglementaires »
- ✨« Données 100 % RGPD-free par design »
- ✨« Partagez librement, c'est anonyme »
- ✨« Zéro risque, zéro paperasse »
- ⚠La génération est elle-même un traitement RGPD
- ⚠Le risque de réidentification persiste souvent
- ⚠Pseudonyme ≠ anonyme aux yeux de la loi
- ⚠AIPD et base légale restent obligatoires
Ce que cache le mot « synthétique »
Les données synthétiques sont des données générées artificiellement par des algorithmes qui apprennent les distributions statistiques d’un jeu de données réel, puis produisent de nouvelles entrées qui n’ont jamais existé. Contrairement à un simple copier-coller anonymisé, le processus crée des enregistrements entièrement nouveaux.
Trois grandes familles de techniques dominent le marché. Les réseaux antagonistes génératifs (GAN), introduits par Goodfellow en 2014, opposent un générateur et un discriminateur dans un jeu itératif pour produire des données réalistes. Les auto-encodeurs variationnels (VAE) encodent les données dans un espace latent avant de les décoder en nouvelles entrées. Enfin, les modèles statistiques classiques (réseaux bayésiens, échantillonnage) restent largement utilisés pour les données tabulaires.
Comme le détaille le LINC (laboratoire d’innovation numérique de la CNIL) dans son dossier dédié, le marché des données synthétiques est en pleine croissance, porté par le besoin exponentiel en données de l’industrie automobile, de la santé et de la finance.
Il faut distinguer trois catégories, chacune avec un lien différent aux données réelles :
Le test du considérant 26 — et pourquoi la CNIL ne tranche pas
Le RGPD adopte une approche binaire : soit une donnée est personnelle (et le règlement s’applique intégralement), soit elle est anonyme (et le règlement ne s’applique pas). Il n’existe pas de catégorie intermédiaire.
Le considérant 26 du RGPD pose le critère déterminant : une donnée n’est anonyme que si la personne concernée n’est « pas ou plus identifiable, compte tenu de l’ensemble des moyens raisonnablement susceptibles d’être utilisés ». Ce test inclut non seulement les moyens dont dispose le responsable de traitement, mais aussi ceux de « toute autre personne ».
Ce standard est redoutable. La CNIL rappelle dans ses recommandations sur l’IA que des données « fictives, synthétiques, anonymisées, ou à défaut des données personnelles collectées conformément au RGPD » peuvent être utilisées pour la conception de systèmes d’IA — remarquez l’ordre de préférence, mais aussi la distinction implicite entre ces catégories.
En janvier 2025, le Comité européen de la protection des données (CEPD) a adopté ses lignes directrices 01/2025 sur la pseudonymisation, confirmant que les données pseudonymisées restent des données personnelles soumises au RGPD. Comme l’analyse le cabinet Bird & Bird dans sa note sur ces lignes directrices, le CEPD exige des mesures techniques et organisationnelles strictes pour que la pseudonymisation soit effective.
La position de la CNIL : pragmatisme sous conditions
La CNIL adopte une posture nuancée. Le LINC, dans son analyse des risques, reconnaît que le caractère pseudonyme des données synthétiques, lorsqu’elles sont générées par un « procédé robuste », est « incontestable ». En revanche, il reste des « incertitudes sur le caractère anonyme ». La CNIL pose donc une distinction nette :
En juin 2025, la CNIL a publié ses fiches sur l’intérêt légitime pour l’IA, rappelant que le recours à l’intérêt légitime pour le développement de systèmes d’IA suppose d’examiner si « des données anonymisées, synthétiques ou en moindre quantité ne suffiraient pas ». Le message est clair : les données synthétiques sont un outil de minimisation, pas un passe-droit.
Vos données synthétiques sont-elles vraiment anonymes ?
Avant toute qualification juridique, un diagnostic s’impose. Ce schéma de décision résume la logique du considérant 26 appliquée aux données synthétiques :
Trois attaques qui brisent l’illusion d’anonymat
Le piège le plus répandu : croire que générer des données synthétiques suffit à les rendre anonymes. C’est faux, et les travaux de recherche le démontrent sans ambiguïté.
L’étude fondatrice de Stadler, Oprisanu et Troncoso (2022), analysée en détail par le LINC, montre qu’un risque réel d’inférence d’appartenance et d’inférence d’attribut existe sur des données synthétiques générées par plusieurs algorithmes. Ce risque varie de manière « peu prévisible » selon les données, les modèles et les attributs concernés.
Comme le confirme l’analyse publiée par Decentriq en novembre 2025, les modèles génératifs peuvent « mémoriser » des motifs issus des données sources. Quand le modèle surapprend (overfitting), il reproduit des séquences réelles dans les données synthétiques — rendant la réidentification possible.
Le paradoxe utilité-confidentialité
Le dilemme fondamental : plus les données synthétiques sont fidèles aux données réelles (et donc utiles), plus le risque de réidentification augmente. Plus elles s’en éloignent (et donc sont sûres), moins elles servent à quelque chose.
Les techniques d’anonymisation classiques dégradent l’utilité des données de 30 à 50 % selon les estimations du secteur financier. La confidentialité différentielle (differential privacy) ajoute un bruit calibré pour garantir mathématiquement que la contribution de chaque individu est indétectable. Mais comme le souligne le NIST dans ses lignes directrices SP 800-226, le choix du paramètre epsilon reste délicat : trop faible, les données sont inexploitables ; trop élevé, l’information personnelle filtre.
Le LINC relève un problème supplémentaire : la confidentialité différentielle a été critiquée pour la dégradation disproportionnée qu’elle cause sur les données de groupes minoritaires. Un biais éthique qui s’ajoute au dilemme technique.
L’AI Act repositionne les données synthétiques
Le règlement européen sur l’IA (AI Act), entré en application progressive depuis le 2 février 2025, apporte un éclairage nouveau. L’article 10, relatif à la gouvernance des données pour les systèmes d’IA à haut risque, mentionne explicitement les données synthétiques. Son paragraphe 5 autorise exceptionnellement le traitement de données sensibles pour détecter et corriger les biais, mais uniquement lorsque « la détection et la correction des biais ne peuvent être effectuées efficacement par le traitement d’autres données, y compris des données synthétiques ou anonymes ». Les données synthétiques sont donc positionnées comme une alternative prioritaire aux données sensibles réelles.
Par ailleurs, le modèle de résumé des données d’entraînement publié par la Commission européenne le 24 juillet 2025 comporte une section dédiée aux « données synthétiques » (section 2.5), demandant aux fournisseurs de modèles d’IA à usage général de décrire les modèles internes utilisés pour les générer.
Cas d’usage validés par le cadre réglementaire
Malgré les réserves juridiques, les données synthétiques apportent une valeur réelle dans plusieurs contextes. Dans le secteur bancaire, elles atteignent une équivalence d’utilité de 96 à 99 % par rapport aux données de production pour les tests de modèles anti-blanchiment. L’AI Act reconnaît explicitement leur rôle pour la détection et correction de biais (article 10(5)). La CNIL recommande de préférer le partage de données synthétiques au partage de données réelles pour réduire l’exposition aux risques. En recherche médicale, le LINC cartographie les entrepôts de données de santé où elles jouent un rôle croissant pour les maladies rares. Enfin, remplacer les bases de production par des copies synthétiques dans les environnements de test élimine le risque de fuite lors d’une erreur de configuration.
Le bouclier technologique : PET et méthodologie
Les données synthétiques seules ne suffisent pas. La combinaison avec d’autres technologies renforçant la confidentialité (Privacy-Enhancing Technologies, PET) est indispensable pour atteindre un niveau de protection défendable.
Comme le recommande le guide GDPR Local sur les données synthétiques, il faut déployer la confidentialité différentielle ou le k-anonymat « pour réduire démontrablement les possibilités d’identification tout en préservant la distribution statistique ». L’ICO britannique recommande le framework Anonymeter pour quantifier les risques d’identification spécifiquement dans les jeux de données synthétiques tabulaires.
Méthodologie : évaluer le risque en quatre temps
Le RGPD n’impose pas de méthodologie spécifique, mais le considérant 26 et la jurisprudence fournissent un cadre. Voici une approche structurée :
Huit garde-fous pour les entreprises françaises
Ce qui se prépare
Plusieurs chantiers réglementaires en cours auront un impact direct sur le statut juridique des données synthétiques.
Le CEPD prépare des lignes directrices sur l’anonymisation qui compléteront celles sur la pseudonymisation. Comme le rapporte l’IAPP dans son compte-rendu de décembre 2025, les participants ont spécifiquement mentionné « l’utilisation de données synthétiques, les data clean rooms et les environnements d’exécution de confiance » comme techniques à clarifier.
L’arrêt SRB c/ CEPD de la CJUE, dont l’appel est en cours, pourrait redéfinir le test d’identifiabilité en distinguant la perspective de l’émetteur et celle du destinataire. Si confirmé, il pourrait ouvrir la voie à une reconnaissance plus souple du caractère anonyme des données synthétiques transmises à des tiers dépourvus des moyens de réidentification.
Les normes ISO/IEC 27559 sur l’ingénierie de la vie privée et les travaux du NIST sur la confidentialité différentielle progressent vers des standards techniques qui pourraient servir de référence aux autorités européennes.