Ce qui compte vraiment comme donnée « anonyme » : les nouvelles règles du CEPD et ce qu’elles changent pour vos projets IA

Le 8 juillet 2026, lors de sa 122e session plénière, le Comité européen de la protection des données — l’organe européen qui réunit les autorités nationales comme la CNIL — a adopté deux textes qui concernent directement toute PME confiant des données clients à un outil d’IA : des lignes directrices sur l’anonymisation, et les Lignes directrices 03/2026 sur le moissonnage dans le contexte de l’IA générative, première grille de lecture paneuropéenne sur la collecte de données d’entraînement pour l’IA. Les deux textes sont en consultation publique jusqu’au 30 octobre 2026 — leur formulation finale peut encore bouger, mais la direction est déjà assez claire pour agir.

Un test à trois critères pour ce qui compte comme anonyme

Les lignes directrices sur l’anonymisation, qui s’appuient notamment sur l’arrêt de la Cour de justice de l’UE du 4 septembre 2025 (affaire C-413/23 P), posent trois critères cumulatifs qu’un jeu de données doit remplir pour être réellement anonyme : impossibilité d’individualiser un enregistrement, impossibilité de le corréler à une même personne à travers plusieurs sources, et impossibilité d’en inférer une information sur cette personne. Le CEPD admet deux façons d’appliquer ce test — une approche « contextuelle », qui tient compte des capacités de ré-identification propres à celui qui détiendrait la donnée, ou une approche simplifiée, qui ignore ces différences pour une réponse plus tranchée et plus prudente. Si l’un des trois critères échoue, la donnée reste pseudonymisée, pas anonyme — et une donnée pseudonymisée demeure une donnée personnelle pleinement soumise au RGPD.

Le moissonnage doit désormais s’appuyer sur une base légale documentée

Les lignes directrices sur le moissonnage confirment que le RGPD s’applique dès que les données collectées comportent des données personnelles, et que l’intérêt légitime — la base légale sur laquelle repose la plupart des moissonnages — doit passer un test en trois étapes : un intérêt réel et déterminé, une nécessité effective du moissonnage pour le servir, et une mise en balance démontrant que cet intérêt ne l’emporte pas sur les droits des personnes dont les données sont collectées. Le CEPD recommande de ne moissonner que des sources fiables, d’horodater chaque collecte et de valider les données avant usage, pour respecter le principe d’exactitude. Les catégories particulières de données — santé, opinions et assimilées — restent interdites par défaut : les moissonner exige à la fois une base légale au titre de l’article 6 et une exception spécifique au titre de l’article 9(2) du RGPD.

Ce que ça change pour votre PME

Deux situations sont directement concernées. D’abord, toute PME qui confie des données clients à un outil IA — un agent de support client, un assistant commercial WhatsApp, un portail client — en partant du principe que retirer noms et emails suffit à rendre la donnée « anonyme » et donc hors du champ du RGPD : avec le nouveau test à trois critères, c’est très souvent une simple pseudonymisation, ce qui signifie que l’outil, son hébergement et ses journaux d’accès restent pleinement réglementés. Ensuite, toute PME qui fait tourner ou envisage un agent de veille réglementaire ou concurrentielle lisant des sites web publics : elle doit désormais documenter une analyse d’intérêt légitime, et non partir du principe qu’une donnée publique est libre d’usage, avant la mise en production de cet agent.

• →Auditez ce que vos outils IA reçoivent réellement : appliquez le test à trois critères (pas d’individualisation, pas de corrélation, pas d’inférence) sur tout jeu de données que vous qualifiez d’« anonymisé » — s’il échoue sur un seul critère, traitez-le comme une donnée personnelle.
• →Si vous faites tourner ou envisagez un agent de veille réglementaire ou concurrentielle qui moissonne des sources publiques, documentez le test d’intérêt légitime avant sa mise en service : l’intérêt déterminé, la nécessité, et la mise en balance avec les droits des personnes concernées.
• →Ne traitez jamais de données de santé, d’opinions ou d’autres catégories particulières via un agent IA sans base légale et sans exception explicite au titre de l’article 9(2) — cette combinaison n’est pas optionnelle.
• →Portez ces deux textes à votre prochaine revue avec votre DPO, aux côtés des obligations de transparence de l’AI Act dues le 2 août 2026 — les deux échéances se retrouvent désormais sur le même calendrier de conformité.

La consultation reste ouverte jusqu’au 30 octobre 2026, la rédaction finale peut donc encore évoluer sur certains points. Ce qui ne bougera pas, c’est la logique de fond : « anonymisé » est désormais une qualification qu’il faut pouvoir démontrer face à un test défini, pas une étiquette qu’on appose parce qu’un tableur n’affiche plus de nom. Pour une PME qui fait tourner — ou fait construire — un agent IA sur des données clients ou publiques, c’est la différence entre un déploiement conforme et une conversation de cinq minutes avec un régulateur qu’on aurait préféré éviter.