Anonymisation, moissonnage pour l'IA, blockchain : ce que le CEPD vient de clarifier

Le 7 juillet 2026, le Comité européen de la protection des données (CEPD) a adopté deux séries de lignes directrices très attendues : l'une sur l'anonymisation, l'autre sur le moissonnage de données dans le contexte de l'IA générative. Il a publié dans le même mouvement la version finale de ses lignes directrices sur les technologies de chaîne de blocs. Pour les entreprises qui entraînent des modèles, exploitent des jeux de données ou développent sur blockchain, ce paquet fixe enfin des repères concrets. Les deux premiers textes restent soumis à consultation publique jusqu'au 30 octobre 2026.

L'essentiel en 30 secondes. Le CEPD propose un test en trois critères pour vérifier qu'une donnée est anonyme : pas d'isolement, pas de couplage, pas de déduction. Le moissonnage (web scraping) pour entraîner une IA générative peut reposer sur l'intérêt légitime, sous conditions strictes de transparence, de minimisation et d'exactitude. Le traitement de catégories particulières de données collectées incidemment reste encadré, sans exemption générale de l'article 9. Les lignes directrices blockchain sont, elles, définitives.

Données anonymes : un cadre de test enfin opérationnel

Le CEPD clarifie la notion de données anonymes en intégrant la jurisprudence récente de la CJUE, dont l'arrêt CEPD contre CRU du 4 septembre 2025 (C-413/23 P). Point structurant : le caractère anonyme d'une donnée peut varier d'une entité à l'autre, selon les moyens raisonnablement susceptibles d'être utilisés pour identifier une personne. Une information concerne une personne par son contenu, sa finalité ou ses effets, ce qui exige parfois une analyse approfondie.

Le texte propose deux méthodes d'évaluation. L'approche contextuelle examine les capacités réelles d'identification de chaque destinataire des données : elle reflète fidèlement la norme juridique. L'approche simplifiée ignore ces différences et traite les données comme identifiables pour tous : plus stricte que nécessaire, elle offre en contrepartie une sécurité juridique renforcée. Dans les deux cas, trois critères conditionnent l'anonymat.

Le premier critère, l'absence d'isolement, est rempli si les données ne contiennent aucune combinaison unique de valeurs d'attributs se rapportant à un seul individu. Une table croisant sexe, date de naissance complète et code postal échoue presque toujours à ce test, chaque ligne devenant unique. Les données correctement agrégées le satisfont en général.

Le deuxième critère, l'absence de couplage, exige qu'aucun enregistrement ne puisse être relié à un enregistrement du même individu provenant d'un autre jeu de données, par identifiant commun ou par recoupement d'attributs. Le CEPD cite un exemple parlant : un commerçant purge ses historiques d'achats de tout identifiant, mais les combinaisons de produits achetés se recoupent avec un site public où les clients listent leur collection. Le couplage fonctionne même sur des données volontairement bruitées.

Le troisième critère, l'absence de déduction, interdit toute inférence à la fois spécifique, c'est-à-dire rattachable à une personne identifiable, et significative, c'est-à-dire susceptible d'affecter ses droits et tirée des données elles-mêmes plutôt que de connaissances générales. Des traces GPS sans identifiant révèlent le domicile et le lieu de travail par simple récurrence des trajets. Le critère s'applique aussi aux agrégats, vulnérables aux attaques par différence, et aux modèles d'IA, qu'un tiers peut interroger par prompt pour en extraire des informations individuelles.

Le régime est gradué : trois critères remplis créent une présomption d'anonymat, mais l'échec de l'un d'eux n'emporte pas automatiquement la qualification de donnée personnelle. Une analyse complémentaire détermine si les enregistrements isolés ou couplés permettent réellement de singulariser quelqu'un. Un sondage aux réponses toutes uniques mais irrattachables à quiconque reste ainsi anonyme.

Moissonnage et IA générative : un chemin de conformité exigeant mais praticable

Le second texte aborde une pratique devenue centrale dans l'économie de l'IA : l'extraction automatisée de données à grande échelle pour constituer des corpus d'entraînement. Le RGPD s'applique dès que le moissonnage porte sur des données personnelles, de la collecte au stockage et à l'extraction.

Le CEPD prolonge son avis 28/2024 sur les modèles d'IA et détaille l'usage de l'intérêt légitime comme base légale du moissonnage à des fins d'entraînement. La transparence reste exigée, avec une souplesse notable : l'information individuelle des personnes peut être écartée lorsqu'elle se révèle impossible ou exige des efforts disproportionnés. Le comité recommande de moissonner uniquement des sources fiables, d'horodater les collectes et de valider les données avant entraînement, au titre du principe d'exactitude. Des mesures de minimisation sont également attendues dès la conception du dispositif de collecte.

Le point le plus sensible concerne les catégories particulières de données (santé, opinions, orientation sexuelle). Leur traitement demeure interdit par principe : il faut cumuler une base légale de l'article 6 et une exception de l'article 9.2. Pour la collecte accessoire ou résiduelle de telles données, le CEPD mobilise l'arrêt GC e.a. (C-136/17) : le responsable doit agir dans le cadre de ses responsabilités et capacités, et déployer des mesures techniques empêchant leur collecte et leur diffusion. Aucune exemption générale n'existe : l'appréciation se fait au cas par cas.

Blockchain : des lignes directrices désormais définitives

Après consultation publique, le CEPD a arrêté la version finale de ses lignes directrices sur le traitement de données personnelles au moyen des chaînes de blocs. Le texte compare les architectures possibles et leurs implications RGPD, et s'accompagne d'un rapport de consultation ainsi que d'une version comparée. Les projets Web3 disposent désormais d'un référentiel stabilisé pour arbitrer leurs choix techniques, notamment sur le stockage hors chaîne des données personnelles.

Ce que ce paquet change pour votre entreprise

Ces textes donnent aux entreprises tech une grille d'auto-évaluation que les régulateurs utiliseront demain. Une startup IA qui documente son test d'anonymisation, la fiabilité de ses sources de moissonnage et son analyse d'intérêt légitime transforme un risque réglementaire en actif de due diligence, opposable aux investisseurs comme aux grands comptes. La consultation ouverte jusqu'au 30 octobre 2026 offre aussi une fenêtre pour faire valoir vos contraintes opérationnelles avant l'adoption définitive.

Vous entraînez un modèle sur des données moissonnées, ou souhaitez qualifier vos jeux de données d'anonymes ? Le cabinet vous accompagne dans l'audit de votre dispositif et la documentation de votre conformité. Prendre rendez-vous pour une consultation

Sources

• Le CEPD met en lumière l'anonymisation et le moissonnage pour l'IA générative (CNIL, 9 juillet 2026)
• Lignes directrices sur l'anonymisation (CEPD, 7 juillet 2026)
• Lignes directrices sur le moissonnage dans le contexte de l'IA générative (CEPD, 7 juillet 2026)
• Lignes directrices sur les technologies de chaîne de blocs, version finale (CEPD, 7 juillet 2026)

‍