Le développement de l’intelligence artificielle (ci-après l’ « IA ») soulève de nombreuses questions en matière de protection des données personnelles et notamment concernant la base légale applicable à la collecte et au traitement de ces données. À ce titre, de nombreux acteurs du numérique s’interrogent sur la légalité du recours au web scraping, dans le cadre de l’entraînement de systèmes d’IA (ci-après « SIA »).
Si le Règlement général sur la protection des données (ci-après le « RGPD ») impose des obligations strictes, la Cnil, à l’issue d’une consultation publique lancée le 10 juin 2024, a publié le 19 juin 2025 de nouvelles recommandations sur l’intérêt légitime dans le cadre du développement de SIA, et plus particulièrement dans les cas de web scraping.
L’intérêt légitime : une base légale possible sous conditions.
La Cnil, s’appuyant sur l’avis du Comité européen de la protection des données (ci-après le « CEPD ») de décembre 2024, admet que le consentement ne soit pas toujours requis pour développer des SIA : l’intérêt légitime peut constituer une base légale, sous conditions. Cela suppose un objectif légitime (ex : recherche, prévention de la fraude), un traitement nécessaire et proportionné, et une balance des intérêts en faveur des personnes concernées. Des garanties renforcées doivent également accompagner cette base légale, comme la transparence, le droit d’opposition, ou la pseudonymisation des données.
Le web scraping, une pratique encadrée.
Le web scraping consiste à collecter automatiquement des données accessibles publiquement sur internet, par exemple via des forums, réseaux sociaux ou sites institutionnels. Cette technique est particulièrement prisée pour alimenter les bases d’entraînement des modèles d’intelligence artificielle.
Cependant, cette collecte massive n’est pas neutre pour les droits fondamentaux. Elle peut entraîner des risques tels qu’une atteinte à la vie privée, une collecte de données sensibles ou même violer des droits de propriété intellectuelle. C’est pourquoi la Cnil impose une analyse au cas par cas et un encadrement strict du web scraping.
Des conditions cumulatives à respecter.
Même si la collecte est fondée sur l’intérêt légitime, l’ensemble du traitement des données doit respecter plusieurs conditions impératives pour être conforme au RGPD :
- évaluer l’attente raisonnable des personnes : les personnes concernées doivent pouvoir raisonnablement s’attendre à ce que leurs données soient utilisées à des fins de développement et d’entrainement d’IA. Cette évaluation dépend de la nature du site, de la visibilité publique des contenus, et des mesures d’exclusion techniques ou contractuelles mises en place ;
- respecter les limitations imposées par les sites sources : la Cnil rappelle que les sites doivent autoriser explicitement le web scraping. Si les conditions générales d’utilisation (ci-après le « CGU ») du site ou des dispositifs techniques comme un fichier robots.txt ou un CAPTCHA interdisent l’accès aux robots d’indexation, alors la collecte est proscrite. Le responsable du traitement doit exclure de la collecte ces sites ;
- limiter la collecte au strict nécessaire, conformément au principe de minimisation (article 5.1.c RGPD).
Cela implique de :- définir des critères précis de collecte,
- exclure certains types de données ou de sites (ex. sites utilisés par des mineurs ou forums médicaux),
- supprimer rapidement les données non pertinentes collectées par erreur.
- mettre en place des garanties fortes : parmi les mesures recommandées, on trouve :
- l’anonymisation ou la pseudonymisation rapide des données ;
- l’information active des personnes concernées (par exemple via des publications en ligne ou une liste des sites moissonnés) ;
- la mise en place d’un droit d’opposition effectif en amont de la collecte ;
- l’interdiction de recouper les données sauf nécessité démontrée.
Les risques d’atteinte à d’autres réglementations.
Si le web scraping peut être licite au regard du RGPD, il peut être interdit par d’autres textes. Le droit d’auteur ou les CGU des sites peuvent limiter cette pratique.
L’article L122-5 du Code de la propriété intellectuelle permet aux organismes de recherche de bénéficier de l’exception de "fouille de textes et de données", sauf opposition explicite et lisible par machine (robots.txt, métadonnées, CGU).
Un équilibre à trouver.
Loin d’interdire le web scraping, la Cnil cherche à en baliser les usages pour garantir un développement de l’IA respectueux des droits. Chaque projet d’IA doit faire l’objet d’une analyse rigoureuse de ses finalités, des données collectées sur internet [1], et des mesures de protection mises en œuvre.
Les prochaines recommandations de la CNIL porteront sur plusieurs aspects techniques clés du développement et de l’utilisation de l’intelligence artificielle.
Sont notamment attendues des lignes directrices relatives au statut juridique des modèles d’IA au regard du RGPD, aux exigences de sécurité dans le développement des systèmes d’IA, ainsi qu’à l’annotation des données. À cette occasion, la CNIL présentera également son programme de travail à venir dans le domaine de l’IA.
