Web scraping et IA : les règles de la CNIL pour exploiter des données publiques

Le fait qu’une information soit visible sur une page web ne transforme pas automatiquement cette information en matière première librement exploitable par une intelligence artificielle. Pour les entreprises, laboratoires et développeurs qui recourent au web scraping, c’est-à-dire à la collecte automatisée de contenus en ligne, l’enjeu est double : alimenter un système d’IA tout en protégeant les personnes dont des données peuvent apparaître dans les contenus aspirés.

En juin 2025, les recommandations de la Commission nationale de l’informatique et des libertés, la CNIL, donnent une grille de lecture concrète pour appliquer le Règlement général sur la protection des données, le RGPD, aux systèmes d’intelligence artificielle. Elles ne créent pas un droit général à copier le Web. Elles rappellent, au contraire, que la conception d’une IA doit être pensée dès l’origine autour de la licéité, de la nécessité et de la sécurité des traitements.

Une « autorisation CNIL » qui ne vaut pas permis de tout collecter

L’expression « autorisation de la CNIL pour le web scraping » peut prêter à confusion. Le cadre présenté par la CNIL ne consiste pas en un feu vert global à demander avant chaque collecte automatique de pages web. Il impose surtout aux organisations de justifier et documenter leur conformité : elles doivent pouvoir expliquer pourquoi elles collectent des données, quelles données elles utilisent, sur quel fondement juridique et quelles protections elles appliquent.

Le web scraping peut servir à de nombreux usages liés à l’IA : constituer un jeu de données d’entraînement, enrichir une base documentaire, entraîner un outil de classement ou préparer un moteur de recherche. La méthode technique n’est pas illégale par nature. En revanche, son emploi devient particulièrement sensible dès lors que les pages visitées contiennent des données personnelles, c’est-à-dire des informations se rapportant à une personne identifiée ou identifiable.

Un nom, une photographie, une adresse électronique, un pseudonyme associé à un compte, une opinion exprimée dans un commentaire ou des informations professionnelles peuvent, selon le contexte, relever de cette catégorie. Le caractère public d’une publication ne fait donc pas disparaître les droits de la personne concernée.

Les recommandations de la CNIL ont été élaborées après une consultation associant notamment des entreprises, des chercheurs et des associations. Elles s’adressent autant aux concepteurs des modèles qu’aux organismes qui les déploient ou qui leur fournissent des jeux de données. Dans une chaîne technique où interviennent plusieurs acteurs, la répartition des responsabilités doit être établie sans ambiguïté.

Les obligations du RGPD applicables à un projet d’IA

Le RGPD repose sur un principe simple, mais exigeant : une organisation ne peut pas collecter des données « au cas où » elles deviendraient utiles. Elle doit définir son besoin, limiter les informations utilisées et prévoir leur protection tout au long du projet.

La finalité est le point de départ. Une organisation doit pouvoir énoncer clairement ce que son système cherche à faire. Cette définition permet ensuite de déterminer quels contenus sont pertinents, lesquels doivent être exclus et combien de temps les données peuvent être conservées. Une finalité trop vague ouvre la voie à des collectes excessives et fragilise la conformité du projet.

L’identification des rôles est tout aussi importante. Celui qui choisit les données à collecter et les objectifs poursuivis n’a pas les mêmes obligations que celui qui traite ces données uniquement pour le compte d’un autre acteur. Or, dans l’IA, un fournisseur de données, un développeur de modèle et une entreprise utilisatrice peuvent être distincts. Leurs responsabilités doivent être qualifiées juridiquement, et non laissées dans une zone grise.

L’intérêt légitime peut-il justifier le web scraping ?

La CNIL rappelle qu’un traitement de données personnelles doit reposer sur une base légale prévue par le RGPD. Dans le cas d’un projet d’intelligence artificielle, l’intérêt légitime peut être envisagé. Mais il ne suffit pas d’invoquer l’innovation, la recherche de performance ou l’intérêt économique du projet pour que ce fondement soit acquis.

L’organisation doit montrer que la collecte est nécessaire à l’objectif poursuivi et qu’elle ne porte pas une atteinte disproportionnée aux droits et libertés des personnes. Cette réflexion impose de regarder la nature des données, la manière dont elles ont été publiées, l’ampleur de la collecte, les attentes raisonnables des personnes et les mesures prises pour réduire les risques.

Le consentement n’est donc pas la seule base légale possible, mais il n’existe pas davantage de raccourci automatique pour les contenus accessibles publiquement. Le raisonnement juridique doit être adapté au cas d’usage, puis conservé dans une documentation interne suffisamment précise pour démontrer la conformité du traitement.

La CNIL insiste aussi sur la nécessité de vérifier la licéité des données utilisées pour l’entraînement. En pratique, connaître l’origine des contenus, les conditions dans lesquelles ils ont été collectés et les éventuelles restrictions qui pèsent sur eux est indispensable. Une base de données constituée sans ces vérifications peut transmettre son risque juridique à l’ensemble du projet d’IA qui l’exploite.

Quelles données faut-il écarter lors d’un scraping pour l’IA ?

Les recommandations sont particulièrement strictes lorsqu’il s’agit de données sensibles. Ces informations appellent une vigilance renforcée en raison des risques qu’elles font peser sur la vie privée et les droits des personnes. La CNIL recommande donc aux acteurs qui pratiquent le web scraping de ne pas utiliser de données sensibles dans ce contexte.

Elle invite également à exclure les contenus qui ne sont pas utiles à la finalité du système. Cette exigence de minimisation ne consiste pas seulement à conserver moins longtemps une copie intégrale du Web. Elle commande de concevoir la collecte de façon à éviter, le plus tôt possible, les contenus superflus et les informations personnelles qui ne contribuent pas réellement au fonctionnement de l’outil.

Autre point concret : les opérateurs doivent respecter les fichiers robots.txt et les autres signaux techniques d’opposition. Ces dispositifs permettent à un site de signaler aux robots automatisés les espaces qu’ils ne doivent pas parcourir. Pour un porteur de projet, les ignorer revient à négliger une indication explicite émise par la source collectée.

La CNIL recommande aussi de privilégier les sites dans lesquels les données personnelles représentent une part minoritaire des contenus. Cette précaution réduit, sans l’annuler, le risque que la collecte de masse reconstitue des profils ou incorpore une quantité importante d’informations relatives à des personnes.

La transparence est un autre pilier du dispositif. Les développeurs d’IA sont invités à divulguer les sources de données utilisées. Cette démarche aide à rendre la chaîne de traitement plus compréhensible, à répondre aux interrogations des personnes concernées et à mieux contrôler la qualité des données intégrées dans le système.

Une analyse d’impact est-elle nécessaire ?

L’analyse d’impact relative à la protection des données, souvent désignée par le sigle AIPD, devient nécessaire lorsqu’un traitement est susceptible d’engendrer des risques particuliers pour les droits et libertés des personnes. Il ne s’agit pas d’une formalité administrative sans effet sur le projet : l’exercice sert à identifier les dangers concrets avant le déploiement et à choisir les protections appropriées.

Dans le cas d’un scraping destiné à alimenter une IA, l’analyse doit notamment permettre de comprendre ce qui pourrait arriver si des données personnelles étaient collectées à grande échelle, réutilisées hors de leur contexte initial, conservées trop longtemps ou insuffisamment sécurisées. Elle conduit aussi à interroger les effets possibles des résultats produits par le système.

Une AIPD bien menée ne remplace ni la minimisation des données ni une base légale valable. Elle complète ces exigences en imposant une évaluation structurée des risques. Pour les organisations, elle constitue aussi un outil de pilotage utile : elle oblige les équipes techniques, juridiques et métiers à confronter leurs choix avant que la collecte ne devienne difficile à corriger.

Le RGPD ne résout pas toutes les questions juridiques

Le respect des règles de protection des données personnelles est indispensable, mais il ne suffit pas à épuiser les enjeux du web scraping. La CNIL souligne l’existence de risques distincts liés au droit d’auteur et aux conditions d’utilisation des sites web.

Un contenu peut ne contenir aucune donnée personnelle et rester protégé par le droit d’auteur. Inversement, une page peut être publiquement accessible tout en prévoyant des règles contractuelles ou techniques encadrant son utilisation automatisée. Un projet de collecte sérieux doit donc examiner ces dimensions en parallèle du RGPD.

Cette superposition des règles explique pourquoi le web scraping ne peut pas être réduit à une question technique. Un robot capable de parcourir des millions de pages ne donne pas, par lui-même, le droit de les aspirer, de les conserver et de les exploiter pour l’entraînement d’un modèle. La conformité suppose une lecture d’ensemble : protection des personnes, respect des droits sur les contenus et prise en compte des règles fixées par les sites.

Une méthode pratique pour préparer une collecte conforme

Avant d’activer un outil de scraping, une organisation peut structurer sa démarche autour de quelques vérifications essentielles :

• définir précisément la finalité du système d’IA et les données réellement nécessaires ;
• identifier les sources envisagées, leur origine et les restrictions applicables ;
• qualifier les rôles de chaque acteur qui collecte, fournit, entraîne ou utilise les données ;
• choisir et justifier la base légale du traitement de données personnelles ;
• prévoir des filtres pour écarter les données sensibles et les contenus non pertinents ;
• respecter robots.txt et les autres signaux d’opposition ;
• fixer une durée de conservation et les mesures de sécurité ;
• déterminer si une AIPD est nécessaire au regard des risques du projet.

Cette liste ne remplace pas une analyse juridique adaptée au projet, mais elle permet de transformer les principes du RGPD en décisions opérationnelles. Elle évite surtout une erreur fréquente : traiter la conformité comme une étape tardive, une fois les données déjà téléchargées et utilisées pour entraîner un modèle.

Ce qu’il faut surveiller pour les projets d’IA

La collecte de données sur le Web restera un sujet déterminant pour l’intelligence artificielle, car les modèles ont besoin de vastes corpus pour apprendre, rechercher ou générer des contenus. Mais l’ampleur technique possible ne doit pas effacer les limites juridiques et éthiques. Les recommandations de la CNIL placent la responsabilité sur les organisations qui conçoivent et utilisent ces systèmes.

Pour les porteurs de projet, l’enjeu n’est donc pas de trouver une autorisation générale de scraper le Web. Il est de construire une démarche démontrable, proportionnée et protectrice : une finalité claire, des données limitées, une attention réelle aux oppositions, de la transparence et des garanties de sécurité. C’est à ces conditions que l’exploitation de contenus publics peut s’inscrire dans un usage de l’IA respectueux des droits individuels.