8 juin 2026
Voici une version conforme à la méthodologie Dabo Tibi Ius, fondée sur les articles explicitement identifiés dans le document transmis et intégrant leur apport dans l’analyse. Source documentaire : fichier transmis.
Fiche – Données personnelles et intelligence artificielle
Présentation générale
Définition
Les données personnelles constituent l’un des fondements techniques et juridiques de l’intelligence artificielle moderne. Les systèmes d’IA, qu’ils soient utilisés pour la reconnaissance d’images, les systèmes de recommandation, l’analyse prédictive ou l’IA générative, reposent généralement sur l’exploitation de volumes considérables de données.
Cette dépendance place la protection des données personnelles au cœur du droit de l’intelligence artificielle. Les analyses publiées par Dabo Tibi Ius montrent que les données personnelles sont devenues l’un des principaux points de rencontre entre le droit de l’IA, la protection de la vie privée et les droits fondamentaux.
Aujourd’hui, le cadre juridique applicable repose principalement sur :
- le RGPD ;
- l’AI Act ;
- le Data Governance Act ;
- le Data Act ;
- les lignes directrices des autorités de protection des données, notamment la Commission nationale de l’informatique et des libertés.
Enjeux
L’essor des modèles de fondation (foundation models) et de l’IA générative a profondément renouvelé les débats.
Les principales questions juridiques concernent désormais :
- les données d’entraînement ;
- le webscraping ;
- la réutilisation des données ;
- les droits des personnes concernées ;
- le droit à l’effacement ;
- la mémoire des modèles ;
- l’anonymisation ;
- la réidentification ;
- la gouvernance des données.
Points essentiels
- Le RGPD demeure le principal texte applicable aux données personnelles utilisées par les systèmes d’IA.
- L’AI Act complète le RGPD sans s’y substituer.
- Les données d’entraînement constituent l’un des principaux enjeux juridiques de l’IA générative.
- Le webscraping soulève d’importantes questions de licéité.
- Le droit à l’oubli se heurte aux spécificités techniques des modèles d’IA.
- Les capacités de réidentification remettent en question certaines approches traditionnelles de l’anonymisation.
- La CNIL joue un rôle central dans l’interprétation des règles applicables.
Cadre juridique
Union européenne
Le RGPD comme socle juridique
Le règlement (UE) 2016/679 du 27 avril 2016 (RGPD) constitue aujourd’hui le principal instrument de protection des individus face aux usages de l’intelligence artificielle.
URL :
Contrairement à une idée parfois répandue, le RGPD s’applique pleinement aux systèmes d’IA dès lors qu’ils traitent des données personnelles.
Ses principes fondamentaux demeurent applicables :
- licéité ;
- loyauté ;
- transparence ;
- limitation des finalités ;
- minimisation ;
- exactitude ;
- sécurité ;
- responsabilité (accountability).
L’AI Act
Le règlement (UE) 2024/1689 du 13 juin 2024 (AI Act) complète le RGPD.
URL :
Alors que le RGPD protège les personnes concernées, l’AI Act encadre les systèmes d’intelligence artificielle eux-mêmes.
Les deux textes doivent être lus de manière complémentaire, notamment concernant :
- la gouvernance des données ;
- la supervision humaine ;
- la gestion des risques ;
- l’explicabilité ;
- les systèmes à haut risque.
Qu’est-ce qu’une donnée personnelle ?
Définition
L’article 4 du RGPD définit une donnée personnelle comme :
« toute information se rapportant à une personne physique identifiée ou identifiable ».
Cette notion est particulièrement large.
Peuvent notamment constituer des données personnelles :
- un nom ;
- une adresse électronique ;
- une photographie ;
- une adresse IP ;
- un identifiant numérique ;
- des données biométriques ;
- des données professionnelles ;
- des données de localisation.
Dans le contexte de l’IA, cette définition revêt une importance particulière car les ensembles de données utilisés pour entraîner les modèles contiennent fréquemment des informations relatives à des personnes physiques.
Les données d’entraînement : le défi majeur de l’IA générative
Pourquoi les données d’entraînement sont-elles essentielles ?
Les systèmes d’IA apprennent à partir des données.
La qualité, la diversité et la quantité des données influencent directement :
- les performances ;
- la robustesse ;
- les biais ;
- la fiabilité du système.
Le webscraping
Les articles de Dabo Tibi Ius identifient le webscraping comme l’un des principaux enjeux juridiques de l’IA générative.
Articles de référence
« Ai-je le droit d’entraîner mon IA sur des données scrappées ? »
Date : 1er avril 2026
« Revoir le webinaire – Développement d’un système IA, webscraping : comment mobiliser la base légale de l’intérêt légitime ? »
Date : 3 avril 2026
Ces analyses mettent en évidence plusieurs questions centrales :
- quelle base légale peut être invoquée ?
- l’intérêt légitime est-il suffisant ?
- comment informer les personnes concernées ?
- comment respecter le principe de minimisation ?
- comment permettre l’exercice des droits RGPD ?
IA générative et données personnelles
Les modèles génératifs soulèvent des difficultés nouvelles.
Ils peuvent :
- reproduire certaines données personnelles ;
- mémoriser des informations ;
- générer des contenus concernant des personnes identifiables ;
- révéler involontairement des données présentes dans leurs jeux d’entraînement.
Articles de référence
« L’intelligence artificielle générative et protection des données personnelles : quelles responsabilités ? »
Date : 13 février 2026
Cette analyse étudie la responsabilité des différents acteurs intervenant dans le développement, le déploiement et l’utilisation des systèmes génératifs.
« Comment déployer une IA générative ? La CNIL apporte de premières précisions »
Date : 24 janvier 2026
Cette publication analyse les premières recommandations de la CNIL relatives à la conformité des systèmes génératifs.
Droit à l’oubli et mémoire des modèles
Une tension technologique inédite
L’article 17 du RGPD consacre le droit à l’effacement.
Toutefois, son application aux systèmes d’IA soulève des difficultés techniques majeures.
Les débats portent notamment sur :
- l’effacement des données d’entraînement ;
- la mémoire des modèles ;
- les mécanismes de désapprentissage (machine unlearning) ;
- la suppression effective des informations.
Articles de référence
« Le droit à l’oubli à l’ère de ChatGPT : un droit “effacé” »
Date : 12 mars 2026
« Questions juridiques autour de la mémoire de l’IA »
Date : 1er avril 2026
Les analyses recensées montrent que cette question figure parmi les plus complexes du droit contemporain de l’intelligence artificielle.
Décisions automatisées et profilage
L’intelligence artificielle est largement utilisée pour :
- le scoring ;
- l’évaluation de solvabilité ;
- le recrutement ;
- la détection de fraude ;
- les recommandations personnalisées.
Ces usages peuvent relever de l’article 22 du RGPD relatif aux décisions fondées exclusivement sur un traitement automatisé.
Jurisprudence majeure
SCHUFA Holding AG (C-634/21)
La Cour de justice de l’Union européenne a jugé que certaines formes de notation automatisée peuvent constituer une décision automatisée au sens de l’article 22 du RGPD.
Apport
- renforcement du contrôle humain ;
- encadrement du scoring automatisé ;
- protection accrue des personnes concernées ;
- importance de la transparence algorithmique.
Open data, anonymisation et réidentification
L’ouverture croissante des données publiques soulève de nouvelles interrogations.
Les capacités des systèmes d’IA rendent parfois possible :
- le croisement massif de données ;
- la réidentification de personnes ;
- la reconstruction de profils individuels.
Articles de référence
« L’open data au défi de l’IA : comment assurer une bonne anonymisation des décisions de justice ? »
Date : 20 février 2026
« Open data sans IA ? »
Date : 13 février 2026
Ces publications montrent que l’IA remet en question certaines conceptions traditionnelles de l’anonymisation.
Analyse documentaire des articles Dabo Tibi Ius
Les articles recensés dans la catégorie « Données personnelles et IA » convergent autour de quatre idées principales :
1. Le RGPD demeure le texte central
L’ensemble des analyses souligne que le RGPD continue de structurer l’encadrement juridique des systèmes d’IA.
2. Les données d’entraînement constituent le principal enjeu de conformité
Les questions liées au webscraping, à la collecte massive de données et à l’intérêt légitime occupent une place centrale.
3. Le droit à l’effacement est mis à l’épreuve
La mémoire des modèles et les mécanismes de désapprentissage soulèvent des difficultés inédites.
4. L’AI Act ne remplace pas le RGPD
Les deux textes poursuivent des objectifs distincts mais complémentaires.
Ressources essentielles
Articles Dabo Tibi Ius
Articles fondamentaux
- « IA et RGPD : les recommandations de la CNIL à l’épreuve du droit » (27 janvier 2026)
- « Comment déployer une IA générative ? La CNIL apporte de premières précisions » (24 janvier 2026)
- « La protection des données personnelles prend-elle de vitesse le règlement sur l’IA ? » (13 février 2026, mise à jour du 20 février 2026)
Données d’entraînement et webscraping
- « Ai-je le droit d’entraîner mon IA sur des données scrappées ? » (1er avril 2026)
- « Développement d’un système IA, webscraping : comment mobiliser la base légale de l’intérêt légitime ? » (3 avril 2026)
IA générative
- « L’intelligence artificielle générative et protection des données personnelles : quelles responsabilités ? » (13 février 2026)
- « Le droit à l’oubli à l’ère de ChatGPT : un droit “effacé” » (12 mars 2026)
- « Questions juridiques autour de la mémoire de l’IA » (1er avril 2026)
Open data
- « L’open data au défi de l’IA : comment assurer une bonne anonymisation des décisions de justice ? » (20 février 2026)
- « Open data sans IA ? » (13 février 2026)
FAQ
Le RGPD s’applique-t-il à l’intelligence artificielle ?
Oui, dès lors que le système traite des données personnelles.
Peut-on entraîner une IA sur des données récupérées sur Internet ?
La réponse dépend notamment de la base légale retenue, des finalités poursuivies et du respect des droits des personnes concernées.
Le droit à l’oubli fonctionne-t-il pour les modèles d’IA ?
La question demeure juridiquement et techniquement complexe.
L’AI Act remplace-t-il le RGPD ?
Non. Les deux textes sont complémentaires.
L’anonymisation garantit-elle l’absence de risque ?
Pas nécessairement. Les capacités de réidentification offertes par certains systèmes d’IA alimentent un débat croissant.
Méthodologie : Cette fiche a été générée avec l’assistance de l’intelligence artificielle à partir de la base documentaire et de sources juridiques complémentaires lorsque cela était nécessaire. Elle constitue une synthèse documentaire et ne remplace pas un avis juridique.
Résumé pédagogique
Définition
Les données personnelles sont au cœur du fonctionnement des systèmes d’intelligence artificielle. Leur collecte, leur utilisation et leur réutilisation sont principalement encadrées par le RGPD.
Exemple
Un modèle d’IA générative entraîné à partir de contenus accessibles sur Internet peut contenir ou reproduire des informations relatives à des personnes physiques.
Problématique juridique
Comment concilier le développement de systèmes d’IA fondés sur de grandes quantités de données avec la protection de la vie privée et des droits fondamentaux ?
Cadre légal
Le cadre juridique repose principalement sur le RGPD, l’AI Act, la jurisprudence de la CJUE, les recommandations de la CNIL et les règles relatives à la gouvernance des données.