Est-il légal de concéder les données de son entreprise pour entraîner l’IA ?

Les données anonymes sortent du RGPD

Le RGPD protège les informations relatives à des personnes identifiées ou identifiables. Son considérant 26 exclut les informations anonymes et fixe le critère : il faut tenir compte de tous les moyens raisonnablement susceptibles d’être utilisés, par exemple l’individualisation, par le responsable du traitement ou par toute autre personne, pour identifier quelqu’un (RGPD).

Le critère est strict. L’avis du groupe de travail « Article 29 » sur les techniques d’anonymisation indique qu’une solution efficace empêche quiconque d’isoler une personne, de relier deux enregistrements concernant la même personne ou d’en déduire des informations. Il rappelle aussi que la pseudonymisation n’est pas une méthode d’anonymisation (G29). Remplacer un nom par PERSONNE_1 ne suffit pas si le reste du message désigne encore une seule personne : les noms de clients, de produits et de projets, les prix et les numéros de dossier doivent aussi disparaître.

En septembre 2025, la Cour de justice de l’UE a confirmé dans l’affaire CEPD contre CRU que des données pseudonymisées ne doivent pas être considérées comme des données personnelles dans tous les cas et pour toute personne : tout dépend de la capacité du destinataire à réidentifier les personnes (CJUE). Deux conséquences en découlent. Un jeu de données correctement anonymisé peut être anonyme pour un laboratoire d’IA alors que vos originaux restent des données personnelles entre vos mains. Et le projet de lignes directrices du Comité européen de la protection des données (CEPD) sur l’anonymisation, de juillet 2026, demande de ne pas qualifier des données d’« anonymes », de « dé-identifiées » ou de « dépersonnalisées » si des personnes restent identifiables (CEPD).

Votre base légale et le test de compatibilité

Concéder des données à des laboratoires d’IA est une nouvelle finalité, différente de celle pour laquelle vous les avez collectées. Le RGPD interdit tout traitement ultérieur incompatible avec les finalités initiales (art. 5(1)(b)), et anonymiser est déjà un traitement : selon le CEPD, l’anonymisation doit reposer sur une base légale au sens de l’article 6 (RGPD, CEPD).

La plupart des entreprises s’appuient sur l’intérêt légitime (art. 6(1)(f)). Les lignes directrices du CEPD posent trois conditions cumulatives, évaluées et documentées avant le début du traitement (CEPD) :

1. Un intérêt légitime, par exemple tirer un revenu de votre propre savoir-faire.
2. La nécessité. Vous ne traitez pas plus de données personnelles que nécessaire, et c’est précisément le rôle de l’anonymisation.
3. Une mise en balance. Votre intérêt ne doit pas céder devant les droits de vos salariés et contacts. La relation employeur-salarié pèse dans cette balance.

La finalité étant nouvelle, vous effectuez aussi le test de compatibilité de l’article 6(4) : le lien entre les finalités, le contexte de la collecte, la nature des données, les conséquences possibles pour les personnes et les garanties, comme le chiffrement ou la pseudonymisation (RGPD). Pour la CNIL, « l’intérêt légitime est une base légale possible pour le développement des systèmes d’IA, sous réserve de prendre des garanties fortes » (CNIL).

Le consentement se prête mal au cadre du travail. Le CEPD juge problématique qu’un employeur traite les données de ses salariés sur la base du consentement, car celui-ci est rarement donné librement (CEPD). Les catégories particulières, comme les données de santé, exigent en plus une exception au titre de l’article 9 (CEPD) : le plus simple est de les laisser hors périmètre.

Vérifiez aussi si une analyse d’impact relative à la protection des données (AIPD, art. 35) est nécessaire : elle s’impose avant tout traitement susceptible d’engendrer un risque élevé pour les personnes (RGPD). grokked vous fournit un modèle prérempli pour l’évaluation de l’intérêt légitime et le test de compatibilité, et vous aide pour votre AIPD.

Le rôle du courtier

Quand un courtier comme grokked anonymise vos données brutes, il agit comme votre sous-traitant. Il ne peut agir que sur instruction documentée du responsable du traitement (art. 28(3)(a)), dans le cadre d’un accord de traitement des données signé (RGPD). La décision de concéder, et le périmètre, restent les vôtres. Un sous-traitant qui se met à déterminer les finalités et les moyens est considéré lui-même comme responsable du traitement (art. 28(10)).

Ce qu’il faut trouver dans l’accord : traitement uniquement sur vos instructions, chiffrement, accès limité à des personnes nommées tenues à la confidentialité, suppression des données brutes après préparation, liste des sous-traitants ultérieurs, et aide pour l’information du personnel et votre AIPD. Lisez notre résumé de l’accord de traitement.

Informer votre personnel et ses représentants

Vos salariés doivent être informés avant que leurs données soient réutilisées pour une nouvelle finalité : les articles 13(3) et 14(4) imposent de les informer de cette finalité avant le traitement ultérieur (RGPD). Le droit du travail ajoute des règles collectives. La plupart visent le contrôle des salariés, et leur application à la concession de données relève de l’interprétation : le plus sûr est d’associer tôt les représentants du personnel.

Deux pièges. Aux Pays-Bas, une décision prise sans le consentement requis est nulle si le conseil d’entreprise invoque cette nullité dans le mois (art. 27(5) WOR). Au Luxembourg, les données collectées dans le cadre d’une surveillance s’accompagnent d’un engagement formel de l’employeur de ne pas les utiliser à une autre fin : laissez-les de côté.

grokked rédige la note d’information pour votre personnel ou ses représentants dans votre langue et peut la présenter lui-même.

Clients, NDA et secret professionnel

Les obligations de confidentialité survivent à l’anonymisation. Le considérant 50 du RGPD prévoit que le traitement ultérieur doit être interdit s’il est incompatible avec une obligation légale, professionnelle ou contraignante de secret (RGPD), et le droit pénal protège le secret professionnel :

• Belgique : l’article 352 du nouveau Code pénal, en vigueur depuis le 1er septembre 2026, qui remplace l’ancien article 458 (eJustice, SPF Justice).
• France : l’article 226-13 du Code pénal, puni d’un an d’emprisonnement et de 15 000 € d’amende (Légifrance).
• Pays-Bas : l’article 272 du Code pénal (Wetboek van Strafrecht), l’article 11a de l’Advocatenwet pour les avocats et les règles déontologiques VGBA pour les experts-comptables (Wetboek van Strafrecht, Advocatenwet, VGBA).

C’est pourquoi grokked exclut les dossiers clients des experts-comptables, avocats et professionnels de santé. Seuls les modèles et procédures propres au cabinet sont éligibles, exportés par le cabinet lui-même (détails). Les autres entreprises doivent vérifier leurs contrats clients et NDA, et exclure tout client dont le contrat interdit le partage.

Ce que demande le règlement européen sur l’IA

Le règlement sur l’IA encadre les fournisseurs d’IA, pas les entreprises dont ils acquièrent les données sous licence, et il ne modifie pas le RGPD. Depuis le 2 août 2025, les fournisseurs de modèles d’IA à usage général doivent mettre en place une politique de respect du droit d’auteur et publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement (art. 53(1)(c)–(d), art. 113) (règlement sur l’IA).

Le modèle de résumé de la Commission demande aux fournisseurs de déclarer les données concédées par des ayants droit et les autres jeux de données privés, y compris ceux obtenus auprès d’intermédiaires de données (Commission européenne). Les laboratoires demandent donc aux courtiers la provenance : qui a fourni les données, selon quel accord et comment elles ont été anonymisées. Pour les systèmes d’IA à haut risque, l’article 10 ajoute des exigences de gouvernance des données portant notamment sur leur origine (règlement sur l’IA).

grokked fournit cette documentation de provenance avec chaque jeu de données, pour que les acheteurs remplissent leurs obligations sans jamais connaître le nom de votre entreprise.

Check-list avant de concéder vos données

1. Choisissez le périmètre : sources, canaux, dossiers et périodes. Excluez les messages privés, les dossiers RH et tout ce qui est soumis à une obligation de confidentialité.
2. Documentez votre évaluation de l’intérêt légitime et votre test de compatibilité (art. 6(1)(f) et 6(4)).
3. Vérifiez si une AIPD est nécessaire (art. 35).
4. Signez un accord de traitement des données avec le courtier (art. 28).
5. Informez votre personnel, et informez ou consultez ses représentants lorsque c’est requis.
6. Relisez l’échantillon anonymisé avant toute mise en catalogue.
7. Fixez les règles d’acheteurs : bloquez concurrents ou régions, et interdisez la réidentification et la revente.

Ce guide présente des informations générales sur les règles européennes et nationales en octobre 2026 ; ce n’est pas un avis juridique. Pour une décision concernant votre entreprise, consultez votre avocat ou votre délégué à la protection des données.

Questions

Sources

1. EUR-Lex, 27 avril 2016. Regulation (EU) 2016/679 (General Data Protection Regulation)
2. Article 29 Working Party, 10 avril 2014. Opinion 05/2014 on Anonymisation Techniques (WP216)
3. Court of Justice of the European Union, 4 septembre 2025. Press release No 107/25, Case C-413/23 P, EDPS v SRB
4. European Data Protection Board, 7 juillet 2026. Guidelines 02/2026 on Anonymisation, version 1.0 (for public consultation)
5. European Data Protection Board, 8 octobre 2024. Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR
6. CNIL, 19 juin 2025. Développement des systèmes d’IA : la CNIL publie ses recommandations sur l’intérêt légitime
7. European Data Protection Board, 4 mai 2020. Guidelines 05/2020 on consent under Regulation 2016/679
8. Conseil National du Travail, 26 avril 2002. Convention collective de travail n° 81 du 26 avril 2002
9. wetten.overheid.nl. Wet op de ondernemingsraden
10. Légifrance. Code du travail, article L2312-38
11. Légifrance. Code du travail, article L2312-8
12. Legilux. Code du travail (consolidated version)
13. Belgian Official Gazette (eJustice). Code pénal of 29 February 2024, article 352
14. FPS Justice, 1 septembre 2026. 1er septembre historique : entrée en vigueur du nouveau Code pénal
15. Légifrance. Code pénal, article 226-13
16. wetten.overheid.nl. Wetboek van Strafrecht
17. wetten.overheid.nl. Advocatenwet
18. NBA. Verordening gedrags- en beroepsregels accountants (VGBA)
19. EUR-Lex, 13 juin 2024. Regulation (EU) 2024/1689 (Artificial Intelligence Act)
20. European Commission, 24 juillet 2025. Explanatory notice and template for the public summary of training content for general-purpose AI models

Autres guides