craft.ai
Guides

Article 6 RGPD

La base légale d'un traitement d'IA, avant l'outil

Un système d'IA n'a pas de base légale propre. C'est le traitement de données personnelles qu'il opère qui en a une, et elle se choisit usage par usage, pas « pour l'IA » en général.

Rendez-vous Décrire mon besoin

Page mise à jour le

La réponse courte

Tout traitement de données personnelles, y compris par un système d'IA, doit reposer sur l'une des bases de l'article 6 du RGPD. Il n'existe pas, au 21 août 2026, de base légale spécifique « entraînement d'IA » en droit positif : la proposition d'omnibus « données » (COM(2025) 837) n'est pas adoptée, et le règlement 2026/1744 n'a pas modifié le RGPD. Pour développer un système, la CNIL considère que l'intérêt légitime est la base la plus couramment utilisée, sous trois conditions cumulatives. Pour utiliser un outil en entreprise, la base se discute autrement : exécution du contrat de travail, intérêt légitime de l'employeur, parfois obligation légale — rarement le consentement des salariés.

Six bases, pas une « base IA »

L'article 6, paragraphe 1, liste : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêts légitimes. Aucune n'est réservée à l'IA, aucune n'en est exclue. Le réflexe « il faut le consentement parce que c'est de l'IA » est faux. Le réflexe inverse — « intérêt légitime, donc on n'a plus rien à justifier » — l'est aussi. La base se choisit pour une finalité déterminée, avant le recours à l'outil. Reformuler des courriers commerciaux déjà rédigés, trier des candidatures, transcrire des appels : trois finalités, probablement trois raisonnements, éventuellement trois bases. Si les données sont des catégories particulières (article 9 : santé, biométrie, opinions), il faut en plus une exception de l'article 9, paragraphe 2. L'article 4 bis nouveau de l'AI Act, introduit par l'omnibus, permet sous conditions strictes de traiter de telles données pour détecter des biais : ce n'est pas une nouvelle base RGPD, c'est un régime rattaché à l'article 9, paragraphe 2, point g).

Intérêt légitime : ce que la CNIL a figé le 19 juin 2025

La fiche « Mobiliser la base légale de l'intérêt légitime pour développer un système d'IA » est définitive. Trois conditions cumulatives : un intérêt licite, déterminé, réel et présent, non hypothétique ; une nécessité, sans alternative moins intrusive ; une mise en balance au regard des attentes raisonnables des personnes. La CNIL cite comme intérêts a priori légitimes, entre autres, la recherche scientifique, le développement de fonctionnalités, le fait de proposer un agent conversationnel pour assister les utilisateurs, l'amélioration d'un produit. Elle attend des mesures compensatoires : minimisation, pseudonymisation, droit d'opposition effectif, transparence renforcée, limitations contractuelles des réutilisations. Cette fiche vise surtout celui qui construit. Celui qui utilise un outil déjà sur le marché a une autre question : quelle finalité poursuivez-vous, et cette finalité est-elle compatible avec ce que vous avez dit aux personnes lors de la collecte ?

Réutiliser des données déjà collectées n'est pas « gratuit »

La fiche du 8 avril 2024 distingue trois cas. Données déjà collectées par vous : test de compatibilité de l'article 6, paragraphe 4, sauf si l'entraînement figurait déjà dans les finalités portées à connaissance. Données publiquement accessibles : vérifier l'absence d'illicéité manifeste, documenter la source. Données acquises auprès d'un tiers : contrat précisant la source, le contexte, la base initiale, les mentions d'information. Coller un export CRM dans un modèle « pour voir » sans ce test, c'est un nouveau traitement sans base. Côté usage courant en PME, le piège est plus banal : un salarié colle un dossier client dans un assistant grand public dont les conditions autorisent la réutilisation pour entraîner le modèle. La finalité a changé, le sous-traitant n'en est plus un, et la base n'a pas suivi.

Ce qui n'est pas du droit : l'omnibus « données »

Deux textes portent le même surnom, un seul est adopté. L'omnibus IA (règlement 2026/1744) est en vigueur ; il ne touche pas le RGPD. L'omnibus « données » (COM(2025) 837, procédure 2025/0360(COD)) proposerait un article 88 quater consacrant l'intérêt légitime pour le développement d'un système d'IA, avec un droit d'opposition inconditionnel. Au 21 août 2026 : pas de vote en commission, pas de trilogue, pas de publication. Le CEPD et le CEPD-EDPS ont, le 11 février 2026, appelé à ne pas adopter la redéfinition de la donnée personnelle prévue par cette proposition. Présenter l'article 88 quater comme du droit positif est une erreur, encore fréquente. Jusqu'à adoption éventuelle, on raisonne avec l'article 6 tel qu'il est.

À vérifier chez vous

Ce que vous pouvez contrôler vous-même

Des points vérifiables sans expertise juridique. Si l'un d'eux coince, c'est celui-là qu'il faut apporter à votre conseil.

  • Écrire la finalité en une phrase, avant de nommer l'outil.
  • Rattacher cette finalité à une base de l'article 6, et la documenter.
  • Si des données déjà collectées sont réutilisées, faire le test de l'article 6, paragraphe 4.
  • Lire ce que le fournisseur fait des données d'usage (entraînement, amélioration, sous-traitants).
  • Ne pas invoquer un « article 88 quater » qui n'existe pas en droit positif.

Sources

Chaque affirmation de cette page renvoie au texte qui fait foi. En cas d'écart entre cette page et la source, c'est la source qui a raison.

Vos questions

Le consentement des salariés est-il la bonne base pour un assistant interne ?

Presque jamais. Le consentement, en droit du travail, est fragile : le salarié est rarement en situation de le refuser librement, et le G29 l'a dit depuis longtemps. Pour un assistant de rédaction interne, l'intérêt légitime de l'employeur ou, selon les cas, l'exécution du contrat de travail, se discute plus honnêtement. Encore faut-il que la finalité soit bornée, que les données collées dans l'outil soient minimisées, et que le fournisseur n'entraîne pas son modèle sur ces données. Un consentement « pour l'IA » dans le règlement intérieur, sans alternative réelle, ne sauve rien. Mieux vaut une règle d'usage écrite, une base assumée, et un outil dont le contrat interdit la réutilisation.

Un modèle entraîné sur des données personnelles reste-t-il un traitement ?

Pas automatiquement, et pas jamais. L'avis 28/2024 du CEPD, adopté le 17 décembre 2024, refuse les deux slogans. Un modèle n'est anonyme que si la probabilité d'extraction directe et la probabilité d'obtention par requêtes sont toutes deux insignifiantes — appréciation au cas par cas. La CNIL, dans sa fiche du 22 juillet 2025, ajoute que le RGPD s'applique dès qu'une régurgitation est possible par des moyens raisonnablement susceptibles d'être utilisés. Les lignes directrices 02/2026 et 03/2026 du CEPD, en consultation jusqu'au 30 octobre 2026, ne sont pas définitives. Ne pas écrire qu'« un modèle est anonyme » ni l'inverse.

Puis-je m'appuyer sur l'intérêt légitime pour entraîner un modèle sur le web public ?

C'est la piste que la CNIL documente, pas un permis. La fiche intérêt légitime et la fiche focus moissonnage (19 juin 2025) exigent de vérifier l'absence d'illicéité manifeste, de documenter la source, de respecter les attentes raisonnables, et de prévoir un droit d'opposition effectif. Moissonner un site qui interdit le scraping dans ses conditions, ou des données dont on voit qu'elles n'auraient jamais dû être en ligne, ne passe pas le test. Pour une PME qui n'entraîne pas de modèle et se contente d'utiliser un outil du marché, cette question se pose surtout en amont, chez le fournisseur — et c'est précisément ce qu'il faut lui demander par écrit.

Une idée en tête ?

Réservez un rendez-vous ou écrivez-nous — réponse sous 24 h.

Rendez-vous Écrire un message