Entraîner un modèle d’IA : l’intérêt légitime se prouve

Le 21 octobre 2026, les États membres (UE · Conseil de l’UE) ont validé dans leur position sur l’omnibus numérique un nouvel article 88 bis du RGPD : développer et exploiter un système ou un modèle d’IA « peut » reposer sur l’intérêt légitime. Le même texte précise, dans un considérant, que l’IA ne constitue pas « en soi un intérêt légitime ». Entre 2021 et 2025, le régulateur irlandais (Irlande · DPC) a examiné environ 180 produits et services d’IA, en faisant de cette base légale l’un de ses principaux sujets d’attention.

L’omnibus ne crée pas le droit d’entraîner un modèle sur des données personnelles : les régulateurs européens (UE · CEPD) l’admettent déjà, au cas par cas, depuis décembre 2024. Ce qu’il ne supprime pas, c’est la démonstration. La question n’est plus de savoir si l’on peut entraîner un modèle, mais si l’on peut prouver qu’on l’a fait proprement.

Ce qui est déjà acté

• L’avis sur les modèles d’IA (UE · CEPD) : adopté le 17 décembre 2024 (avis 28/2024), il admet l’intérêt légitime au cas par cas, selon un test en trois étapes. Un modèle n’est anonyme que s’il est très improbable d’identifier les personnes ou d’extraire leurs données par des requêtes. Un développement illicite peut rendre le déploiement illicite, sauf anonymisation effective.
• L’articulation avec l’AI Act (UE · règlement (UE) 2026/1744) : depuis le 27 juillet 2026, l’AI Act modifié (article 4 bis) étend à tous les systèmes et modèles d’IA la possibilité, exceptionnelle et encadrée, de traiter des données sensibles pour détecter et corriger les biais, jusque-là réservée aux systèmes à haut risque. Le RGPD continue de s’appliquer à tout entraînement sur des données personnelles.
• L’avis conjoint des régulateurs (UE · CEPD et EDPS) : le 10 février 2026, ils jugent inutile un article dédié à l’IA, l’intérêt légitime étant déjà admis par l’avis de 2024.
• Meta (Irlande · DPC) : le 21 mai 2025, le régulateur a pris acte du projet d’entraînement sur les contenus publics des adultes de Facebook et Instagram, à partir du 27 mai 2025, après plusieurs mesures : avis aux utilisateurs, formulaires d’opposition, filtrage, analyse d’intérêt légitime.
• LinkedIn (Irlande · DPC) : le 7 novembre 2025, la DPC a précisé n’avoir ni approuvé ni jugé conforme l’entraînement des modèles de LinkedIn, tout en renonçant à intervenir après des changements : périmètre réduit, filtres sur les contenus sensibles, protection des mineurs, rapport exigé dans les cinq mois.
• Le moissonnage du web (UE · CEPD) : lignes directrices 03/2026, adoptées le 7 juillet 2026 pour consultation : minimisation dès la collecte, exclusion des sites destinés aux mineurs, refus des sites qui bloquent la collecte automatisée.

Ce qui reste en cours

• L’article 88 bis (UE · Conseil de l’UE) : le traitement de données pour développer et exploiter l’IA « peut » reposer sur l’intérêt légitime de l’article 6 ; un considérant précise que les droits des personnes peuvent prévaloir, en particulier pour un enfant. Le droit d’opposition reste celui de l’article 21, et non le droit « inconditionnel » proposé par la Commission.
• Les données sensibles résiduelles (UE · Conseil de l’UE, article 9) : une dérogation viserait les données sensibles présentes incidemment dans les jeux d’entraînement, à condition d’avoir cherché à éviter leur collecte, puis de les effacer sans retard injustifié ou, si c’est impossible ou disproportionné, de les protéger de toute réutilisation.
• La position du Parlement (UE · Parlement européen) : aucun vote au 29 octobre 2026 ; les eurodéputés peuvent encore modifier ou supprimer ces dispositions.
• Les lignes directrices finales (UE · CEPD) : la consultation publique sur l’anonymisation (02/2026) et sur le moissonnage (03/2026) s’est close le 30 octobre 2026. Aucune date n’était annoncée au 29 octobre 2026 pour les versions définitives.

Le vrai enjeu : le dossier de preuve

Dans les dossiers Meta et LinkedIn, le régulateur irlandais a demandé les mêmes pièces : une analyse d’intérêt légitime, une analyse d’impact, une analyse de compatibilité avec la finalité d’origine, puis un rapport d’évaluation après le lancement. Aucune de ces exigences ne disparaîtrait avec l’article 88 bis. La position du Conseil rappelle que l’application de l’intérêt légitime à l’IA s’apprécie au cas par cas. Les régulateurs européens (UE · CEPD et EDPS) notaient d’ailleurs que l’article proposé n’apportait « aucune clarification juridique ».

Le rapport irlandais du 25 septembre 2026 le confirme : sur environ 180 produits et services supervisés, la plupart des échanges se sont conclus par des recommandations, le régulateur se disant prêt à intervenir en urgence quand les risques restent mal maîtrisés. Le régulateur n’approuve pas : il laisse faire, sous surveillance, ceux qui ont documenté.

Trois points de vigilance

1. L’anonymat du modèle ne se présume pas. Le CEPD exige de démontrer qu’on ne peut ni identifier les personnes ni extraire leurs données par des requêtes. Un modèle déclaré anonyme sans tests reste un modèle qui traite des données personnelles.

2. La chaîne d’approvisionnement. Selon l’avis de 2024, des données traitées illicitement au développement peuvent compromettre le déploiement. Selon les lignes directrices 03/2026, celui qui réutilise un jeu de données déjà moissonné est responsable de son propre traitement. Acheter un modèle ou un jeu de données n’exonère pas de vérifier leur origine.

3. L’opposition doit précéder l’entraînement. Les régulateurs européens (UE · CEPD et EDPS) demandent d’informer les personnes suffisamment tôt, car retirer des données d’un modèle déjà entraîné peut s’avérer techniquement difficile. Un droit d’opposition ouvert après coup protège peu.

Ce que les équipes data et les DPO doivent faire

1. Cartographier les sources d’entraînement : données internes, moissonnées, achetées, avec une base légale pour chacune.
2. Rédiger l’analyse d’intérêt légitime avant l’entraînement, avec l’analyse d’impact et l’analyse de compatibilité.
3. Minimiser dès la collecte : filtres sur les données sensibles, exclusion des sites destinés aux mineurs, respect des blocages techniques comme robots.txt.
4. Ouvrir l’opposition avant l’entraînement, avec un délai raisonnable et un formulaire qui fonctionne réellement.
5. Tester l’extraction de données sur le modèle avant de le déclarer anonyme, et conserver les résultats.
6. Exiger des fournisseurs de modèles et de jeux de données une garantie écrite sur l’origine licite des données.
7. Prévoir une procédure d’effacement des données sensibles découvertes après coup dans les jeux d’entraînement.

Entraîner un modèle est permis ; l’entraîner sans dossier ne l’est pas.

La question à poser lundi matin

Au responsable de la science des données et au DPO : « Pour chaque jeu de données d’entraînement, pouvons-nous montrer sa source, sa base légale et la date à laquelle les personnes ont pu s’y opposer ? »