Un cadre inédit pour une pratique devenue massive
Le 7 juillet 2026, l'EDPB a adopté les Guidelines 03/2026 sur le web scraping dans le contexte de l'intelligence artificielle générative. C'est la première fois qu'une autorité européenne publie un cadre RGPD spécifiquement consacré à la collecte automatisée de données publiques pour entraîner des modèles d'IA. La consultation est ouverte jusqu'au 30 octobre 2026 à 23h59.
Ce délai n'est pas anecdotique. Il signifie que le texte final ne sera pas disponible avant fin 2026 au mieux. Pourtant, les principes posés dans la version 1.0 de ces lignes directrices sont déjà suffisamment précis pour orienter vos choix de gouvernance des données dès maintenant.
Qui est concerné ?
Les guidelines s'appliquent dans deux directions. La première : votre organisation extrait des données du web pour constituer des jeux d'entraînement, que ce soit pour vos propres modèles ou pour des services tiers. La seconde, souvent négligée : votre organisation publie du contenu en ligne et ses données sont, ou peuvent être, scrappées par des tiers pour entraîner des modèles d'IA générative.
Les deux situations créent des obligations différentes. Dans le premier cas, c'est vous qui traitez des données potentiellement personnelles et qui devez justifier ce traitement. Dans le second, vous êtes responsable de traitement des données que vous publiez, et vos utilisateurs dont les données sont concernés disposent de droits que le scraping peut compromettre. L'EDPB adresse les deux cas.
Ce que disent concrètement les lignes directrices
Sur le fondement juridique, l'EDPB confirme que l'intérêt légitime (article 6.1.f du RGPD) est la base légale la plus probable pour le web scraping à des fins d'entraînement IA. Cela ne signifie pas qu'elle est automatiquement applicable : l'organisation doit démontrer que son intérêt est réel, nécessaire et proportionné, et que les droits des personnes concernées ne prévalent pas. Un test de mise en balance documenté est attendu.
Sur les signaux de protection, l'EDPB traite les fichiers robots.txt, ai.txt, les CAPTCHAs et les murs de connexion comme des indicateurs des attentes raisonnables des personnes concernées. Un site qui publie un ai.txt interdisant l'utilisation de son contenu pour l'entraînement IA envoie un signal que l'organisation scrapeuse doit respecter et documenter dans son analyse d'intérêt légitime.
Sur le cycle de vie complet, les guidelines couvrent non seulement la collecte initiale mais également l'utilisation du jeu de données, l'entraînement du modèle et son déploiement. Une donnée collectée de manière conforme peut devenir non conforme si elle est utilisée dans un contexte que la personne concernée n'aurait pas raisonnablement anticipé.
La tension politique de septembre 2026
Les Guidelines 03/2026 arrivent dans un contexte de vif débat au niveau européen. En septembre 2026, plusieurs États membres examinent la possibilité d'assouplir les règles de consentement pour l'entraînement de l'IA sur des données personnelles, invoquant la compétitivité européenne face aux modèles américains et chinois. La levée de fonds de 3 milliards d'euros de Mistral à une valorisation dépassant 20 milliards d'euros — annoncée en septembre 2026 — illustre les enjeux économiques en jeu.
Cette tension crée une incertitude réglementaire que votre programme GRC doit anticiper. Le texte final des guidelines pourrait être infléchi par les positions des États membres d'ici fin 2026. Participer à la consultation publique, ou au moins documenter votre analyse des exigences actuelles, est une manière de préparer l'organisation à plusieurs scénarios.
Un exemple concret : l'éditeur SaaS qui utilise des données publiques pour affiner son modèle
Un éditeur de logiciels de conformité scrape des décisions de sanction publiées par les autorités de protection des données européennes pour affiner un modèle de classification des risques RGPD. Ces décisions contiennent des noms de sociétés, de représentants légaux et parfois de personnes physiques. Le traitement touche des données personnelles. L'éditeur doit : documenter son intérêt légitime, vérifier l'absence de robots.txt restrictif sur les sites sources, minimiser les données collectées, et définir une durée de conservation du jeu d'entraînement. Si ces étapes ne sont pas formalisées, l'éditeur s'expose à une mise en demeure de l'autorité compétente une fois les guidelines finales adoptées.
Ce que votre organisation doit faire avant le 30 octobre
Trois actions sont à engager maintenant. La première : cartographier vos traitements de web scraping actifs ou planifiés, qu'ils soient conduits en interne ou sous-traités. Cette cartographie doit figurer dans votre registre des traitements. La seconde : évaluer votre exposition en tant qu'éditeur de contenu en ligne. Votre politique d'utilisation autorise-t-elle ou interdit-elle le scraping à des fins d'entraînement IA ? Un fichier ai.txt est-il en place ou pertinent ? La troisième : décider si votre organisation soumet des commentaires à la consultation EDPB avant le 30 octobre. Les organisations dont les modèles économiques dépendent du scraping ou de la publication de données à grande échelle ont intérêt à faire valoir leur position.
La gouvernance documentaire de l'IA — dont les Guidelines 03/2026 constituent un nouveau volet — est un chantier qui dépasse la seule question du scraping. L'article sur les lacunes structurelles que la conformité documentaire EU AI Act dissimule décrit les angles morts courants dans les programmes de gouvernance IA, qui s'appliquent également ici.
Pourquoi ne pas attendre le texte final
La version 1.0 des Guidelines 03/2026 est déjà publique et suffisamment précise pour orienter vos choix d'architecture de données. Attendre la version finale revient à repousser une analyse de risque que vous devrez conduire de toute façon, avec moins de temps pour adapter vos pratiques. Les organisations qui documentent leur analyse aujourd'hui disposeront d'un avantage structurel : elles pourront ajuster leur position en fonction du texte définitif plutôt que de repartir de zéro face à une échéance contrainte.
Le cadre RGPD ne change pas. Ce qui change, c'est la précision avec laquelle l'EDPB indique comment il s'applique à l'entraînement de l'IA générative. Cette précision est une ressource, pas une contrainte supplémentaire.