Anonymisation et IA générative : la consultation du CEPD se ferme aujourd'hui

Le Comité européen de la protection des données a ouvert à consultation deux textes qui précisent ce qu'un logiciel a le droit d'appeler une donnée anonyme, et ce qu'il a le droit d'aspirer pour entraîner une IA. La consultation se ferme ce 30 octobre.

La consultation publique du CEPD (le Comité européen de la protection des données, EDPB en anglais) sur ses lignes directrices relatives à l'anonymisation et au moissonnage pour l'IA générative se ferme aujourd'hui 30 octobre 2026. Les deux textes ont été adoptés le 7 juillet 2026, selon la page que la CNIL leur consacre.

Ce que le texte appelle une donnée anonyme

La définition retenue par le CEPD est courte : « Les données sont anonymes si elles ne concernent pas une personne physique identifiée ou identifiable. » Les lignes directrices proposent trois critères pour le vérifier, cités par la CNIL : pas d'individualisation des enregistrements, pas de corrélation, pas d'inférence. Traduit dans votre logiciel, cela veut dire qu'une base d'où vous avez retiré les noms n'est pas anonyme pour autant. Si une ligne se rattache à une personne parce qu'elle est la seule à avoir commandé ce jour là, si deux tables se recoupent, ou si on déduit du reste qui elle est, la donnée reste personnelle et le règlement s'applique. Prenez un fichier client dont vous avez retiré les noms et les adresses e-mail : s'il reste un code postal, une date de première commande et un montant, la personne qui habite seule dans ce code postal se retrouve en quelques minutes. Le fichier a l'air anonyme, il ne l'est pas au sens de la définition.

Le moissonnage, nommé et encadré

Le second texte porte sur ce que la CNIL décrit comme « un processus automatisé d'extraction de données à grande échelle qui fonctionne souvent sans que les individus en soient conscients ». Le CEPD y recommande de porter attention au principe de limitation de la finalité et au principe de transparence. Deux idées simples derrière ces mots : on collecte pour un usage annoncé, et les personnes concernées doivent pouvoir savoir que leurs données ont été prises. La question intéresse d'abord ceux qui entraînent des modèles, elle atteint ensuite toute équipe qui alimente un outil avec des données ramassées ailleurs que chez elle : un annuaire d'entreprises aspiré pour nourrir un moteur de recommandation, des avis clients récupérés sur une place de marché, des profils publics collectés pour un outil de prospection.

Pourquoi un dirigeant qui fait construire un logiciel est concerné

Le sujet quitte le laboratoire dès qu'une fonction d'IA se branche sur votre base de clients, de patients ou d'adhérents. Trois décisions vous reviennent alors, et un cahier des charges est le bon endroit pour les écrire : quelles données partent vers un service d'IA, sous quelle forme, et qui a le droit de les lire. Écrire « les données sont anonymisées » dans un contrat ne suffit plus dès lors que la définition européenne exige de démontrer les trois critères. Le sujet a été traité ici sous l'angle des responsabilités, quand une équipe d'agents travaille sur vos données, et sous celui de l'information due à vos utilisateurs quand votre logiciel doit dire qu'il est une IA.

Ce que la CNIL avait déjà écrit sur les agents

Le 20 juillet 2026, la CNIL et le Conseil de l'IA et du Numérique ont publié une note exploratoire sur les systèmes d'IA capables d'agir sur leur environnement pour le compte de leur utilisateur. Elle relève une « circulation de données personnelles entre de nombreux services », une « perte de maîtrise sur ses données personnelles », et note que « ces flux de données peuvent être difficiles à appréhender par l'utilisateur ». La note relève aussi l'autonomie de décision accrue de ces systèmes et leurs mémoires persistantes, qui construisent des profils hyperpersonnalisés. Sa conclusion : le cadre juridique existant s'applique, tout en demandant une adaptation. Elle ne contient aucun chiffre et ne pose aucune obligation nouvelle ; c'est un texte exploratoire, à lire comme l'annonce d'un travail à venir.

Ce que l'outil de construction change à l'affaire

Quand plusieurs agents travaillent en chaîne sur un projet, la première question est de savoir où passent les fichiers. Chez Maestro, le code et les documents restent sur votre Mac, la sauvegarde en ligne vers votre propre compte est un choix que vous faites, et aucun serveur de notre côté ne voit vos projets ; les clés d'accès vivent dans le Trousseau de macOS. Cela règle le trajet des fichiers, sans rien régler du fond : les données de vos clients restent les vôtres, et la conformité de ce que vous en faites reste votre affaire. Le détail de ce qui sort de votre machine est publié, ligne par ligne.

En pratique

Faites une liste, cette semaine, des données personnelles que votre logiciel conserve : nom, adresse, numéro de dossier, historique d'achat, notes libres. Pour chaque ligne, écrivez à quoi elle sert et qui la lit. Ce document tient sur une page, il se relit avec votre conseil juridique, et il vaut mieux qu'un audit après coup. Les lignes directrices du CEPD ne sont pas définitives et cet article n'est pas un avis juridique : vérifiez votre situation avec votre conseil.