CEPD : nouvelles lignes directrices sur l’anonymisation, le moissonnage et la blockchain pour l’IA générative

Le Comité européen de la protection des données (CEPD) a adopté trois ensembles de lignes directrices destinées à encadrer les pratiques de traitement des données dans le cadre de l’intelligence artificielle générative. Ces textes, adoptés le 7 juillet 2026, portent respectivement sur l’anonymisation, le moissonnage (web scraping) et les technologies blockchain.

Clarifications sur l’anonymisation des données

Les nouvelles lignes directrices du CEPD précisent la notion de données anonymes, en s’appuyant sur la jurisprudence de la Cour de justice de l’Union européenne. Selon le CEPD, une donnée est considérée comme anonyme si elle ne permet pas d’identifier ou de rendre identifiable une personne physique, directement ou indirectement. Cette appréciation peut varier selon les entités et nécessite une analyse au cas par cas, tenant compte du contenu, de la finalité ou des effets des informations.

Le CEPD propose un cadre pratique en deux approches pour évaluer l’anonymisation :

• Approche contextuelle : évaluation des capacités des tiers à identifier les individus, reflétant la norme juridique.
• Approche simplifiée : exclusion des différences de capacités entre entités, offrant une plus grande certitude mais pouvant aller au-delà des exigences légales.

Trois critères doivent être satisfaits pour considérer des données comme anonymes :

• Absence d’individualisation des enregistrements ;
• Absence de corrélation entre les données ;
• Absence d’inférence permettant de reconstituer des informations sur un individu.

En cas de non-respect d’un critère, une analyse complémentaire est requise. Les lignes directrices feront l’objet d’une consultation publique jusqu’au 30 octobre 2026.

Encadrement du moissonnage pour l’IA générative

Le CEPD publie également des lignes directrices sur le moissonnage (web scraping) dans le contexte de l’IA générative, un processus automatisé d’extraction de données à grande échelle. Ces lignes directrices précisent les obligations des responsables de traitement au regard du RGPD, notamment en matière de base juridique, de limitation de la finalité et de transparence.

Le CEPD rappelle que le RGPD s’applique dès lors que le moissonnage implique des opérations de traitement de données à caractère personnel, telles que la collecte, le stockage ou l’extraction. Les responsables de traitement doivent veiller à :

• Extraire les données uniquement à partir de sources fiables ;
• Enregistrer l’horodatage des opérations ;
• Valider les données avant leur utilisation pour la formation de modèles d’IA ;
• Respecter le principe de minimisation des données.

Le traitement de catégories particulières de données à caractère personnel est en principe interdit, sauf exceptions prévues par le RGPD. Le CEPD souligne l’absence d’exemption générale et insiste sur l’appréciation individuelle de chaque cas.

Lignes directrices finales sur les technologies blockchain

Après une phase de consultation publique, le CEPD a adopté la version finale de ses lignes directrices sur les technologies blockchain. Ces textes visent à aider les organisations à se conformer au RGPD lorsqu’elles utilisent des architectures blockchain, en évaluant les implications de différentes configurations pour le traitement des données personnelles.

Les lignes directrices expliquent le fonctionnement des chaînes de blocs et analysent les risques associés au traitement des données dans ce contexte, conformément aux principes du RGPD.

Source : CNIL — Actualités