Le CEPD clarifie le cadre juridique du web scraping
Le web scraping s'impose pour entraîner les modèles d'IA générative, mais soulève des enjeux juridiques croissants. Le CEPD vient en préciser les contours.
Par Maître Altea Agolli et Maître Charlotte Véron, Avocates au Cabinet GIDE
Le web scraping s'impose comme une pratique incontournable pour obtenir les données nécessaires à l’entraînement des modèles d'IA générative, mais soulève des enjeux juridiques croissants. Le CEPD vient en préciser les contours.
Le web scraping désigne l'utilisation d'outils automatisés permettant d'extraire à grande échelle des informations disponibles sur des sites internet. Cette technique est au cœur du développement de nombreux systèmes d'IA, dont les performances reposent sur l'accès à des volumes considérables de données collectées en ligne. Même si le recours au scraping n'est pas interdit en tant que tel, sa mise en œuvre peut soulever de nombreuses questions juridiques.
Dans le cadre d'une consultation ouverte jusqu'à fin octobre 2026, le Comité européen de la protection des données (CEPD) a publié des lignes directrices consacrées au web scraping dans le contexte de l'IA générative. Les lignes directrices rappellent une règle existante souvent négligée en pratique : le fait qu'une donnée soit accessible sur Internet ne signifie pas qu'elle puisse être collectée et réutilisée librement. Dès lors que le scraping porte sur des données personnelles, le RGPD trouve à s'appliquer.
Le CEPD insiste sur le principe de minimisation. Les développeurs d'IA doivent éviter les collectes massives et indifférenciées et privilégier une collecte ciblée, fondée sur des critères clairement définis. Les lignes directrices recommandent, lorsque possible, d'exclure certaines catégories de données hautement personnelles (par exemple celles de localisation) ou relatives aux mineurs, de mettre en place des mécanismes de filtrage limitant la collecte aux seules informations nécessaires ou encore si faisable, de recourir à des données synthétiques (données fictives générées artificiellement, sans correspondre à des personnes réelles).
En matière contractuelle, il est courant d'interdire le contournement des mécanismes d'opposition au scraping (robots.txt, ai.txt, CAPTCHA). Le CEPD recommande d'exclure de la collecte les sites qui y recourent, et souligne que leur présence réduit les attentes raisonnables des personnes concernées, ce qui joue en défaveur du responsable dans le test de mise en balance de l'intérêt légitime. À l'inverse, leur absence ne vaut pas consentement au sens du RGPD.
De nombreuses entreprises n'effectuent pas elles-mêmes la collecte et achètent des jeux de données auprès de sociétés de scraping. Si cette externalisation est susceptible de réduire le risque en matière contractuelle, le risque en matière de données personnelles subsiste car le CEPD rappelle que l'entreprise qui détermine les finalités poursuivies demeure responsable du traitement, même lorsque la collecte est réalisée par un tiers. Par ailleurs, les contenus collectés peuvent être protégés par le droit d'auteur ou le droit des bases de données, de sorte que leur extraction massive peut engager la responsabilité de l’entreprise qui exploite le jeu de données. Les contentieux en contrefaçon se multiplient d'ailleurs contre certains acteurs de l'IA, à l'image des actions intentées contre OpenAI, Anthropic ou Perplexity, cette dernière étant notamment visée par CNN et Dow Jones, qui lui reprochent d'avoir exploité leur contenu sans autorisation.
Reste une question délicate : comment démontrer qu'un contenu a effectivement été utilisé par un modèle d'IA ? Cette difficulté probatoire, relevée dès 2024 dans le rapport remis au CSPLA sur l'AI Act, alimente des initiatives visant à faciliter l'accès à la preuve et renforcer la transparence des fournisseurs de modèles.
Les lignes directrices du CEPD confirment une évolution de fond : la question n'est plus de savoir si les données accessibles en ligne peuvent être collectées, mais dans quelles conditions cette collecte peut être justifiée et documentée. La maîtrise de la provenance des données devient un enjeu stratégique aussi important que la performance des modèles.