Le Comité européen de la protection des données (CEPD) a posé le cadre en décembre 2024 : un modèle d’IA entraîné sur des données personnelles en violation du RGPD est potentiellement illicite dans son ensemble — entraînement et déploiement. Pendant ce temps, l’AI Act entre progressivement en application. Et la proposition Digital Omnibus de novembre 2025, censée simplifier le RGPD, n’est même pas encore votée.
Deux textes. Deux conformités à construire en parallèle. Voici comment s’y retrouver.
Votre modèle traite-t-il des données personnelles ?
L’idée selon laquelle un modèle d’IA ne traiterait pas de données personnelles est un mythe commode. Le CEPD l’a clarifié dans son avis 28/2024 : les modèles d’IA sont entraînés sur des données d’apprentissage qui contiennent, dans la grande majorité des cas, des données à caractère personnel. Le traitement est donc soumis au RGPD par principe.
Un modèle peut-il être considéré comme « anonyme » pour échapper au règlement ? Oui, mais uniquement si deux conditions cumulatives sont réunies.
La simple affirmation d’anonymat par le fournisseur ne suffit pas — c’est au responsable du traitement d’en apporter la preuve, conformément au principe de responsabilité (accountability). La CNIL recommande la mise en place de filtres robustes au niveau du système encapsulant le modèle pour éviter la régurgitation de données personnelles.
Développement et déploiement : deux traitements distincts
La CNIL distingue deux phases dans le cycle de vie d’un système d’IA. Chacune constitue potentiellement un traitement de données distinct, avec ses propres obligations.
Ces deux phases peuvent relever de régimes juridiques différents. Lorsqu’un modèle fondationnel est développé de manière générique avant d’être adapté à un cas d’usage précis, chaque phase doit faire l’objet d’une analyse RGPD séparée. En revanche, lorsque l’usage opérationnel est identifié dès la conception — un outil de diagnostic médical, par exemple — le même régime peut s’appliquer aux deux.
La CNIL a annoncé que ses prochaines recommandations porteront sur la répartition des responsabilités entre les acteurs de la chaîne — concepteurs, hébergeurs, réutilisateurs, intégrateurs — et sur le cas spécifique de l’open source.
Quelle base légale pour entraîner votre IA ?
C’est le tournant majeur de 2025. Le CEPD, puis la CNIL dans ses recommandations de juin 2025, ont confirmé que l’intérêt légitime peut constituer une base légale valable pour le développement de systèmes d’IA. Le consentement n’est pas systématiquement requis.
Mais trois bases légales dominent en pratique, chacune avec son domaine de pertinence.
Le test de l’intérêt légitime en trois étapes
L’intérêt légitime n’est pas un blanc-seing. Trois conditions cumulatives doivent être remplies, et la CNIL exige une documentation rigoureuse de chacune.
Le web scraping pour l’entraînement : autorisé sous haute surveillance
La position de la CNIL sur le moissonnage de données, détaillée dans sa fiche focus de juin 2025, est nuancée : le scraping n’est pas interdit en soi, mais il est soumis à des conditions strictes.
Même conforme au RGPD, le scraping peut être interdit par d’autres réglementations : conditions générales des sites, droit des producteurs de bases de données, ou droit d’auteur. La conformité RGPD ne vaut pas conformité générale. Et des échanges privés — coaching en visio, messagerie — ne peuvent jamais être réutilisés pour l’entraînement sans consentement explicite.
Comment exercer ses droits quand le modèle est déjà entraîné ?
Le RGPD garantit des droits fondamentaux — accès, rectification, effacement, opposition — qui s’appliquent intégralement aux systèmes d’IA. Mais leur mise en œuvre pose des défis techniques considérables, notamment une fois le modèle entraîné.
Le droit d’opposition
La CNIL recommande de prévoir un droit discrétionnaire à l’effacement des données contenues dans les bases d’entraînement. Lorsque le moissonnage est utilisé, elle encourage la mise en place de solutions techniques permettant aux personnes de s’opposer à la collecte de leurs données sur certains sites.
Le problème de l’effacement post-entraînement
C’est là que les choses se compliquent. Une fois un modèle entraîné, il est techniquement très difficile de « supprimer » les données d’une personne sans réentraîner l’ensemble du modèle. La CNIL recommande un réentraînement périodique des modèles pour intégrer les demandes d’exercice de droits, sauf si l’opération s’avère disproportionnée.
Informer sans avoir de contact direct
Lorsque les données proviennent de sources tierces et que le fournisseur ne peut pas contacter individuellement les personnes, les recommandations de février 2025 admettent une information générale — sur le site web de l’organisme, via des FAQ, des schémas explicatifs ou des model cards. Les informations doivent toutefois en ressortir clairement.
L’analyse d’impact : obligatoire dès qu’il y a un risque élevé
L’AIPD est systématiquement requise dès qu’un projet d’IA présente des risques élevés pour les droits et libertés des personnes — traitement à grande échelle, données sensibles, décisions ayant un impact significatif.
La CNIL insiste sur l’intégration de risques spécifiques aux systèmes d’IA dans cette analyse.
L’AI Act remplace-t-il le RGPD ?
Non. Le règlement européen sur l’IA le complète. Lorsqu’un système d’IA traite des données personnelles, les deux textes s’appliquent simultanément. Le RGPD protège les données personnelles, l’AI Act encadre les systèmes d’IA eux-mêmes — avec ou sans données personnelles.
La CNIL a affirmé vouloir proposer une vision intégrée des deux règlements. Les travaux du CEPD sur l’articulation sont en cours, et des lignes directrices européennes harmonisées sont attendues courant 2026. Pour les entreprises, cela signifie que le DPO devient un acteur central de la coordination entre les deux cadres.
Le calendrier de l’AI Act
Combien coûte une non-conformité ?
L’année 2025 a marqué un durcissement inédit : 87 sanctions prononcées par la CNIL (contre 42 en 2024), pour un montant cumulé d’environ 55 millions d’euros. Parmi les décisions marquantes : 325 millions pour Google, 150 millions pour Shein, 530 millions pour TikTok — transferts de données vers la Chine.
La cible de la CNIL ne se limite plus aux GAFAM. En 2025, la majorité des sanctions simplifiées (jusqu’à 20 000 euros) a visé des TPE/PME dans le commerce de détail, l’immobilier ou les petites plateformes. Le message est clair : il n’y a plus de « petite infraction » RGPD.
Le Digital Omnibus : simplification ou faux espoir ?
La proposition de règlement Digital Omnibus du 19 novembre 2025 promet de simplifier le cadre numérique européen. Parmi les modifications substantielles proposées pour le RGPD :
-
Redéfinition des données personnelles : une information ne serait « personnelle » que si le responsable du traitement dispose de moyens raisonnablement susceptibles d’identifier la personne. Les données pseudonymisées pourraient sortir du champ du RGPD — un assouplissement majeur pour l’entraînement des modèles.
-
Allègement du registre : les entreprises de moins de 750 salariés ne seraient tenues de documenter que les traitements à risque élevé.
-
Délai de notification : porté de 72 à 96 heures en cas de violation.
-
Intégration ePrivacy : les cookies seraient gérés directement dans le RGPD avec des signaux de confidentialité au niveau du navigateur.
Que faire concrètement ?
Voici les actions prioritaires, tirées des positions CNIL et CEPD.
L’arsenal documentaire de la CNIL
La CNIL a construit un référentiel sans précédent pour accompagner les entreprises. Ses 13 fiches pratiques finalisées en juillet 2025 couvrent l’intégralité du cycle de développement : cadrage général, bases légales (dont l’intérêt légitime et le web scraping), qualification des acteurs, constitution des bases d’entraînement, annotation, droits des personnes, sécurité, statut RGPD des modèles, et une checklist de conformité.
Au-delà des fiches, la CNIL a lancé le projet PANAME (Privacy AuditiNg of AI ModEls) en partenariat avec l’ANSSI et le Pôle d’Expertise de la Régulation Numérique. L’objectif : développer des outils techniques d’audit permettant de vérifier concrètement si un modèle d’IA est conforme au RGPD. Résultats attendus en 2028.
Ce qui arrive en 2026-2028
Le plan stratégique 2025-2028 de la CNIL confirme que l’IA sera le sujet prioritaire des quatre prochaines années, avec des recommandations sectorielles (santé, éducation, finance), des outils d’évaluation de la conformité, et un renforcement de la coopération avec l’ANSSI et le Bureau européen de l’IA.