Web scraping pour entraîner une IA: ICO ouvre, l’EDPB resserre

Fait vérifiable — En janvier 2024, l’ICO a lancé une consultation dont la réponse affirme que l’intérêt légitime est, en pratique, la seule base légale envisageable pour entraîner des IA sur des données web‑scrapées. L’EDPB (18 décembre 2024) encadre au contraire strictement ce choix et renvoie à des exigences accrues de transparence (art. 14 RGPD). ico.org.uk — edpb.europa.eu.

L’affaire

• Royaume‑Uni — ICO: la « response to the consultation series on generative AI » (chapitre « The lawful basis for web scraping to train generative AI models ») confirme que, dans les pratiques actuelles, « legitimate interests remains the sole available lawful basis » pour le web scraping destiné à l’entraînement de modèles génératifs — sous réserve du test en trois étapes (finalité/nécessité/équilibre) et de la transparence (art. 14 UK GDPR). Voir ICO — Lawful basis for web scraping.
• Union européenne — EDPB: l’« Opinion on AI models: GDPR principles support responsible AI » (18/12/2024) précise quand et comment l’intérêt légitime peut être mobilisé pour développer ou utiliser des modèles d’IA et souligne les obligations d’information lorsque les données ne sont pas collectées auprès de la personne (art. 14 RGPD). L’EDPB annonce des lignes directrices spécifiques sur le web scraping. Voir EDPB — Opinion on AI models.
• Droit applicable — RGPD: article 6(1)(f) (intérêt légitime), article 9 (données sensibles), article 14 (information lorsque les données ne proviennent pas de la personne concernée). Texte officiel: EUR‑Lex — Règlement (UE) 2016/679.

Le raisonnement juridique

1. Position ICO (UK GDPR). Les cinq autres bases de l’article 6(1) sont « unlikely » pour l’entraînement via scraping; l’intérêt légitime demeure l’unique base praticable, sous un test de nécessité rigoureux (démontrer l’absence d’alternatives raisonnables, p.ex. jeux sous licence) et une mise en balance tenant compte du caractère « high‑risk » et « invisible » du traitement; la transparence (art. 14) est souvent défaillante et compromet la mise en balance. Source: ico.org.uk.
2. Position EDPB (RGPD). L’intérêt légitime n’est pas un « passe‑droit »: finalité spécifique et contrôle de nécessité strict; la publication en ligne ne vaut ni consentement ni autorisation générale; information complète ex‑art. 14 « au plus tard dans le mois » (exceptions limitées, notamment via l’art. 89); si des données de l’art. 9 peuvent être collectées incidemment, il faut à la fois une base de l’art. 6 et une dérogation de l’art. 9(2). Source: edpb.europa.eu.
3. Ancrage luxembourgeois — CNPD. La CNPD renvoie au triptyque de l’intérêt légitime (finalité déterminée, nécessité, mise en balance documentée) et à l’accountability pesant sur le responsable, y compris en cas de collecte indirecte. Voir la page CNPD « Licéité du traitement ».

Pour un cadrage de fond sur les obligations du règlement, consultez les articles clés du RGPD.

Conclusion

Divergence de ton et d’applicabilité: l’ICO ouvre une voie praticable (intérêt légitime « seul » fondement réaliste mais sous forte conditionnalité), tandis que l’EDPB cadre l’usage de l’intérêt légitime de manière plus restrictive, en insistant sur l’information ex‑art. 14 et sur les limites posées par l’article 9 pour l’entraînement des modèles.

Ce que ça change concrètement

• En UE/Luxembourg, entraîner un modèle interne avec des données web reste à très haut risque si vous ne pouvez pas démontrer la nécessité du scraping face à des alternatives sous licence ou internes, si vous n’êtes pas en mesure d’informer dans les délais de l’article 14 (ou de justifier rigoureusement une exception 14(5)(b) avec analyse art. 89), ou si des catégories particulières (art. 9) sont susceptibles d’être captées sans base valide.
• Au Royaume‑Uni, même si l’ICO admet l’intérêt légitime comme base « par défaut », la barre probatoire est élevée: nécessité documentée, mise en balance tenant compte du « high‑risk/invisible processing », mécanismes de transparence renforcés (registres d’entraînement et des sources, pages d’information, opt‑out lorsque possible).
• Groupes LU‑UK: évitez d’« exporter » la logique ICO en Europe. En UE, privilégiez des jeux sous licence, des partenariats sectoriels, ou des architectures d’« entraînement sur données contrôlées » avec notice art. 14 et procédures d’accès/opposition (art. 15, 21). Pour l’opérationnalisation, voir nos méthodes de gouvernance d’une IA conforme.

Exemple — Un assureur luxembourgeois souhaitant entraîner un modèle d’analyse sémantique sur des forums publics: sous RGPD, documenter pourquoi des données licenciées ne suffisent pas; mettre en place une information art. 14 (pages dédiées + notifications aux webmasters si nécessaire), filtrer les catégories art. 9 (détection/masquage santé, origine, etc.) et prévoir un mécanisme d’opposition. Sous UK GDPR, l’intérêt légitime reste envisageable mais exige un test de nécessité plus robuste et des mesures de transparence innovantes (registres de sources, annonces publiques, interfaces d’exercice des droits).

Pièges fréquents

1. « Données publiques = données libres de droits »: faux. La simple mise en ligne ne constitue ni consentement ni base légale (art. 6).
2. Oublier l’article 14: l’obligation d’informer s’applique « au plus tard dans le mois », sauf exceptions strictes et justifiées.
3. Ignorer l’article 9: le scraping capture souvent des données sensibles; sans base art. 6 et dérogation 9(2), le traitement est interdit.
4. Ne pas prouver la nécessité: l’ICO attend la démonstration de l’absence d’alternative réaliste (datasets licenciés, collecte directe).
5. Mal conduire la mise en balance: le caractère « high‑risk » et « invisible » pèse lourd; sans transparence et garanties effectives, la balance penche vers les droits des personnes.

Sources officielles

• ICO — The lawful basis for web scraping to train generative AI models (response to the consultation series). ico.org.uk
• EDPB — Opinion on AI models: GDPR principles support responsible AI (18 décembre 2024). edpb.europa.eu
• RGPD — Texte consolidé (art. 6, 9, 14). eur-lex.europa.eu
• CNPD Luxembourg — Licéité du traitement (professionnels). cnpd.public.lu

Pour cadrer un projet d’entraînement responsable, explorez notre approche d’IA conforme au Luxembourg.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.