Scraping web pour l’IA : exigez le journal de collecte

Un fournisseur propose d’enrichir votre futur assistant commercial avec des pages d’entreprises, des annuaires, des profils professionnels et des forums. La démonstration est convaincante : le système connaît les secteurs, repère des interlocuteurs et résume leur activité. À la question « d’où viennent ces données ? », la réponse tient en trois mots : du web public.

Ce n’est pas un dossier de collecte.

Le 8 juillet 2026, le Comité européen de la protection des données (CEPD) a adopté un projet de lignes directrices consacré au web scraping pour l’IA générative. Le document est soumis à consultation publique jusqu’au 30 octobre. Il ne crée pas une interdiction générale du scraping et sa rédaction peut encore évoluer. Il rend toutefois une chose très concrète : dès que la collecte, le stockage ou la réutilisation porte sur des données personnelles, « accessible en ligne » ne suffit pas à démontrer la conformité.

Annonce du CEPD et lignes directrices 03/2026, vérifiées le 11 août 2026.

Public ne veut pas dire disponible pour toute finalité

Une adresse professionnelle, un nom, une photographie ou un commentaire peuvent être visibles sans connexion et rester des données personnelles. La personne les a peut-être publiés pour être contactée par des clients, participer à un forum ou présenter son parcours. Cela ne signifie pas qu’elle consent à leur collecte massive pour entraîner ou enrichir une IA.

Le projet du CEPD le dit sans détour : la publication volontaire en ligne ne constitue pas, à elle seule, un consentement au scraping pour une finalité déterminée. L’absence de robots.txt ne vaut pas davantage consentement. À l’inverse, un fichier robots.txt ou ai.txt, un CAPTCHA, une authentification ou une interdiction explicite font partie des signaux à prendre en compte pour exclure une source et apprécier ce que la personne pouvait raisonnablement attendre.

Pour une PME acheteuse, la bonne question n’est donc pas « la page était-elle publique ? », mais :

Pour quelle finalité précise cette donnée a-t-elle été collectée, sur quelle base juridique, avec quelles exclusions et pour combien de temps ?

Le journal de collecte devient une pièce d’achat

Un fichier final livré sans provenance est difficile à vérifier. Une ligne erronée ne peut pas être reliée à sa source. Une personne qui exerce un droit ne peut pas être retrouvée proprement. Une donnée ancienne reste dans le système parce que personne ne sait quand elle a été aspirée.

Le CEPD recommande de privilégier les sources fiables et maintenues, d’horodater les données et de les valider avant leur utilisation pour l’entraînement. Lorsque la liste complète est praticable, les domaines, les URL et la date ou période de collecte constituent une bonne pratique. Lorsqu’un développeur obtient un jeu déjà scrapé, le projet recommande aussi d’indiquer comment contacter le responsable de la collecte et dans quelles conditions les données ont été obtenues.

Demandez un export lisible, pas une capture d’écran du tableau de bord :

Champ à conserver	Question d’acceptation	Preuve attendue
Domaine et URL	Peut-on retrouver la page d’origine ?	URL canonique ou identifiant stable
Date de collecte	La donnée était-elle actuelle au moment de l’usage ?	Horodatage ou période documentée
Finalité	Pourquoi cette catégorie était-elle nécessaire ?	Finalité précise, pas « améliorer l’IA »
Base juridique	Quel raisonnement couvre les données personnelles ?	Analyse datée et responsable identifié
Règle d’exclusion	Quels sites et champs ne sont jamais collectés ?	Configuration des filtres et journal des rejets
Cycle de vie	Comment corriger, opposer, supprimer ou renouveler ?	Procédure testée et délai convenu

CEPD, lignes directrices 03/2026, paragraphes 30 à 42, vérifiées le 11 août 2026.

Cette table ne garantit pas à elle seule la licéité. Elle donne à la PME les éléments nécessaires pour vérifier la collecte et refuser un jeu opaque avant qu’il n’entre dans le CRM, le moteur de recherche interne ou le modèle.

Les filtres doivent agir avant, pendant et après

La minimisation ne consiste pas à collecter le web entier puis à promettre de nettoyer plus tard. Le projet recommande d’évaluer les données nécessaires avant le lancement : envisager des données synthétiques, définir des critères précis, cartographier les catégories et exclure les sources qui concentrent structurellement des données sensibles ou des informations sur des personnes vulnérables.

Pendant la collecte, des filtres peuvent retirer des formats reconnaissables comme les numéros de téléphone ou d’identification. Après la collecte, l’anonymisation, la pseudonymisation ou le remplacement par des données synthétiques peuvent encore réduire l’exposition. Les données inutiles doivent être supprimées ou anonymisées aussi vite que possible.

Pour les catégories particulières — santé, opinions politiques, origine, religion, données biométriques, vie sexuelle — le niveau monte encore. Une base juridique de l’article 6 du RGPD ne suffit pas : une exception de l’article 9, paragraphe 2, est également nécessaire. Le CEPD insiste sur l’analyse au cas par cas et refuse d’en faire une exemption générale pour les collectes résiduelles.

CEPD, lignes directrices 03/2026 et RGPD, vérifiés le 11 août 2026.

« Intérêt légitime » exige trois réponses, pas une case cochée

Le projet constate que les acteurs privés invoquent souvent l’intérêt légitime pour le scraping destiné à l’IA générative. Cette base ne fonctionne que si trois conditions cumulatives sont remplies :

1. l’intérêt poursuivi est licite, formulé précisément, réel et actuel ;
2. le traitement de données personnelles est nécessaire à cet intérêt ;
3. les intérêts, droits et libertés des personnes ne prévalent pas après la mise en balance.

« Construire un meilleur modèle » reste trop vague. Le document donne des exemples plus concrets, comme développer un agent conversationnel d’assistance, détecter la fraude ou améliorer la détection de menaces. Même avec un objectif valable, il faut encore démontrer pourquoi des données personnelles sont nécessaires et pourquoi un périmètre plus petit, des données non personnelles ou synthétiques ne suffiraient pas.

Les garanties réduisent ensuite l’impact : exclure les contenus à risque, limiter les périodes, publier les sources, permettre l’opposition, dédupliquer, éviter la mémorisation et faciliter l’effacement. Si les droits des personnes l’emportent et que les mesures restent insuffisantes, l’intérêt légitime ne peut pas être utilisé.

Testez le droit de correction avant la pertinence du chatbot

La recette habituelle évalue la qualité des réponses. Commencez un cran plus tôt, sur le jeu de données et son cycle de vie.

• Choisir une page source connue, puis retrouver sa ligne, son URL et sa date dans le journal.
• Modifier une information dans l’environnement de test et vérifier qu’une règle de renouvellement détecte l’obsolescence.
• Ajouter une page interdite par les critères et confirmer qu’elle apparaît dans le journal des rejets, sans contenu conservé.
• Déclencher une demande fictive d’opposition ou d’effacement et suivre la donnée jusque dans les index, caches et exports.
• Provoquer un changement de fournisseur et récupérer la provenance dans un format exploitable, sans dépendre de son interface.

Ce test révèle vite la différence entre une base réellement gouvernée et un stock de texte dont personne ne maîtrise l’origine. Il doit couvrir les copies de travail, les index de recherche et les jeux de test, pas seulement la table principale.

Une notice publique reste nécessaire

Informer chaque personne peut parfois être impossible ou demander un effort disproportionné lorsque la collecte indirecte porte sur un très grand nombre de personnes. Le CEPD avertit que cette exception de l’article 14 ne doit pas devenir un réflexe. Elle exige une mise en balance documentée et des mesures de protection.

Même lorsque l’information individuelle n’est pas réaliste, l’information doit être rendue publique. Le projet recommande une notice claire indiquant notamment les catégories de données, la finalité, la base juridique, les sources et les caractéristiques du robot de collecte. Les personnes doivent trouver leurs droits et la manière de les exercer. L’Autorité de protection des données belge rappelle de son côté que les créateurs comme les exploitants de systèmes d’IA doivent respecter les principes de protection des données personnelles.

Le document 03/2026 reste un projet soumis à consultation. Une PME ne doit donc pas présenter chacune de ses recommandations comme une obligation nouvelle et définitive. Elle ne doit pas non plus attendre octobre pour demander la provenance, la finalité, la base juridique et la capacité de suppression : ces questions découlent déjà des principes du RGPD. La future version précisera la méthode ; le journal de collecte permet, dès aujourd’hui, de savoir ce que l’on devra corriger.