Puis-je entraîner une IA sur des données publiques ? La réponse juridique est compliquée

La question semble simple : si des données sont accessibles publiquement, peut-on les utiliser pour entraîner une IA ? Dans toutes les grandes juridictions, la réponse est : cela dépend, et « accessible publiquement » n'est pas la même chose que « légalement disponible pour n'importe quel usage ».

Le droit d'auteur

L'accessibilité publique ne fait pas renoncer au droit d'auteur. Les articles, images, code, musique et autres œuvres créatives publiés publiquement sont généralement protégés par le droit d'auteur. Les utiliser pour entraîner une IA peut ou non constituer un usage loyal (fair use, aux États-Unis), un traitement équitable (fair dealing, au Royaume-Uni, en Australie, au Canada), ou relever d'une exception applicable. C'est la question centrale des affaires NYT contre OpenAI (déposée en décembre 2023, toujours en cours), Sarah Silverman et al., et de dizaines d'affaires similaires contre des fournisseurs de modèles de fondation. Les lignes directrices du Bureau américain du droit d'auteur (US Copyright Office) de mai 2025 ont confirmé que les œuvres entièrement générées par IA ne sont pas protégeables par le droit d'auteur. Le cadre japonais du droit d'auteur s'est montré relativement permissif à l'égard de l'entraînement de l'IA, mais il est actuellement mis à l'épreuve (Yomiuri Shimbun contre Perplexity, 2025). Les exceptions de fouille de textes et de données de l'UE (directive 2019/790) autorisent la fouille à des fins de recherche et à des fins commerciales lorsque les titulaires de droits ne s'y sont pas opposés.

Le droit de la protection des données

Si les données publiques incluent des données personnelles, noms, visages, profils de réseaux sociaux, registres publics, le droit de la protection des données s'applique indépendamment de leur accessibilité publique. Le RGPD, le UK GDPR, le PDPA, le DPDP Act et l'Australian Privacy Act encadrent tous le traitement des données personnelles. L'accessibilité publique peut constituer une base légale (l'intérêt légitime au sens du RGPD), mais elle n'élimine pas les obligations de transparence, de minimisation des données et de respect des droits des personnes concernées. Les réformes du DUAA 2025 relatives à la limitation des finalités prévue à l'article 5(1)(b) du UK GDPR offrent aux organisations basées au Royaume-Uni davantage de latitude pour réutiliser des données personnelles à des fins d'entraînement de l'IA, mais il s'agit de la divergence la plus significative entre le Royaume-Uni et l'UE depuis le Brexit, et cela ne s'applique pas dans les juridictions de l'UE.

Le scraping de données personnelles accessibles publiquement à des fins d'entraînement de l'IA a fait l'objet de mesures d'exécution : Clearview AI (plusieurs juridictions, amendes au titre du RGPD/PDPA), actions de la CNIL contre l'entraînement sur des données personnelles françaises, enquêtes de l'ICO.

Les conditions d'utilisation des plateformes

De nombreuses sources de données publiques interdisent le scraping ou l'usage commercial dans leurs conditions d'utilisation. Les plateformes de réseaux sociaux, les sites d'actualités, les forums et les bases de données restreignent souvent la collecte automatisée de données. La violation des conditions d'utilisation engage la responsabilité contractuelle, même lorsque les données sous-jacentes pourraient par ailleurs être légalement disponibles. L'affaire LinkedIn contre hiQ Labs (Cour suprême des États-Unis, renvoi de 2022) a illustré cette complexité : l'accès n'équivaut pas à une autorisation pour tous les usages.

Conseils pratiques

Ne présumez pas que « public » signifie « libre d'utilisation » pour l'entraînement de l'IA. Pour chaque source de données : vérifiez le statut au regard du droit d'auteur ; vérifiez si des données personnelles sont concernées ; vérifiez les conditions d'utilisation de la plateforme ; vérifiez les exceptions de fouille de textes et de données applicables dans la juridiction concernée ; documentez votre base légale. Pour la plupart des organisations, l'approche la plus sûre en matière de données d'entraînement de l'IA consiste à : utiliser des jeux de données dûment sous licence ; utiliser des données synthétiques ; utiliser des données que vous avez générées ou collectées avec le consentement approprié ; et conserver des registres détaillés de la provenance des données d'entraînement à des fins d'audit et de défense en cas de litige.

Sources principales : US Copyright Office · ICO · CNIL

À lire également