Tu entraînes ton IA avec des données récoltées en ligne : c'est légal ?
Si tu développes un outil d'intelligence artificielle et que tu scrapes des textes, des images ou des données depuis le web pour entraîner ton modèle, plusieurs cadres se combinent. La directive européenne sur le droit d'auteur prévoit une exception de fouille de textes et de données pour les usages commerciaux, mais elle est soumise à un droit d'opposition des titulaires. Si des données à caractère personnel sont concernées, le RGPD s'applique aussi. Et le Règlement européen sur l'intelligence artificielle ajoute une obligation de documentation.
Le scraping pour entraîner un modèle : la question à se poser
Tu développes un outil d'IA. Pour entraîner ton modèle, tu scrapes des textes, des images et des données depuis le web. La question est simple : as-tu le droit ?
La réponse suppose de croiser plusieurs cadres juridiques. Le droit d'auteur, en premier lieu, encadre l'utilisation des contenus disponibles en ligne. À côté de lui, le RGPD s'ajoute dès que des données à caractère personnel sont concernées. Et l'AI Act intervient pour les fournisseurs de modèles d'IA à usage général. Chacun de ces trois cadres a ses propres règles, et ils s'appliquent de manière cumulative.
Fouille de textes et de données : deux exceptions au droit d'auteur
La directive européenne 2019/790 sur le droit d'auteur dans le marché unique numérique prévoit deux exceptions qui autorisent la fouille de textes et de données. Elles sont posées respectivement à ses articles 3 et 4.
L'article 3 vise la fouille à des fins de recherche scientifique. L'article 4 est plus large : il permet la fouille pour tout autre usage, y compris commercial. Cette seconde exception est celle qui intéresse directement les développeurs d'outils d'intelligence artificielle à finalité économique, puisque c'est elle qui rend possible l'entraînement de modèles commerciaux sur des contenus disponibles en ligne.
L'exception commerciale est soumise à un droit d'opposition
L'exception de l'article 4 n'est pas inconditionnelle. Elle est soumise à une condition centrale : les titulaires de droits peuvent s'y opposer. C'est ce qu'on appelle l'opt-out. Si un titulaire de droits refuse expressément que ses œuvres soient utilisées à des fins de fouille, tu dois respecter ce refus.
La directive précise que cette réservation de droits, pour les contenus mis à la disposition du public en ligne, doit être exprimée par des procédés lisibles par machine. Cela couvre plusieurs canaux concrets. Le carrousel en cite trois principaux : le fichier robots.txt du site, les conditions générales d'utilisation, et tout autre moyen clair de signaler le refus.
Le fichier robots.txt est le procédé technique le plus classique : il signale aux robots de collecte quelles pages du site ne peuvent pas être explorées. Les conditions générales d'utilisation permettent d'exprimer un refus juridique, opposable à tout utilisateur. D'autres procédés lisibles par machine peuvent également être mobilisés. Avant de scraper un site pour entraîner ton IA, tu dois vérifier chacun de ces canaux.
En Belgique, la transposition dans le Code de droit économique
En Belgique, cette exception est transposée à l'article XI.190 du Code de droit économique. Les mêmes conditions y sont reprises : elle joue sous réserve du droit d'opposition des titulaires de droits.
Le régime belge suit donc la logique européenne. Un développeur belge qui entraîne un modèle d'IA à partir de contenus en ligne peut se prévaloir de l'exception commerciale, à condition qu'aucune opposition n'ait été exprimée par le titulaire de droits.
Si des données à caractère personnel sont concernées, le RGPD s'applique aussi
Si les données scrapées contiennent des données à caractère personnel, le RGPD s'applique aussi. Le carrousel le rappelle : tout le cadre RGPD entre en jeu.
Cela veut dire, concrètement, que quatre exigences se réactivent en même temps. Disposer d'une base légale pour justifier le traitement, ce qui suppose de choisir entre le consentement, l'intérêt légitime ou une autre base prévue par le règlement. Définir des finalités claires, précises et déterminées à l'avance. Respecter le principe de minimisation en ne collectant que les données strictement nécessaires à ces finalités. Assurer la transparence à l'égard des personnes concernées, ce qui inclut l'information et le respect de leurs droits.
L'exception de fouille de textes et de données au titre du droit d'auteur ne couvre pas ces obligations : elle est distincte du RGPD, qui suit sa propre logique et impose ses propres conditions.
L'AI Act ajoute une couche supplémentaire pour les modèles à usage général
L'AI Act ajoute une couche supplémentaire pour les fournisseurs de modèles d'intelligence artificielle à usage général, désignés par l'acronyme GPAI, pour general purpose AI models.
Ces fournisseurs doivent documenter les données utilisées pour l'entraînement de leurs modèles et respecter les opt-out exprimés par les titulaires de droits sur ces données. Cette obligation figure à l'article 53 du Règlement (UE) 2024/1689.
Les bonnes pratiques à mettre en place
Le carrousel liste cinq bonnes pratiques à installer pour développer un outil d'IA en conformité avec ces différents cadres.
Vérifier les conditions générales d'utilisation des sites sources pour identifier une éventuelle opposition à la fouille de données. C'est le premier réflexe : lire attentivement les CGU des sites que tu envisages de scraper.
Respecter les fichiers robots.txt et les autres indications techniques signalant un refus. Cette obligation technique est le pendant informatique de l'obligation juridique.
Documenter les sources utilisées, ce qui est à la fois une exigence de l'AI Act pour les modèles à usage général et une bonne pratique probatoire en cas de contestation ultérieure.
Si des données à caractère personnel sont collectées, mettre en place la conformité RGPD complète : base légale, information, minimisation, respect des droits.
Réaliser une analyse de risque sous l'AI Act, notamment pour identifier le niveau de risque du système développé et les obligations qui en découlent.
Ces réflexes ne sont pas facultatifs : ils traduisent des obligations juridiques qui se combinent. Les négliger, c'est s'exposer à la fois à des actions en contrefaçon de droit d'auteur, à des sanctions RGPD et à des sanctions au titre de l'AI Act.
Ce qu'il faut retenir
L'exception de fouille de textes et de données existe.
Mais le droit d'opt-out des titulaires de droits doit être respecté.
Si des données à caractère personnel sont concernées, le RGPD est applicable.
L'AI Act impose de documenter les sources pour les modèles à usage général.
Questions fréquentes
Si les données sont publiquement accessibles en ligne, puis-je les utiliser librement pour entraîner mon IA ?
Non. Le fait qu'un contenu soit publiquement accessible ne signifie pas qu'il soit libre de droits. Une image sur un site public reste protégée par le droit d'auteur, et une donnée à caractère personnel visible sur un profil public reste soumise au RGPD. L'accès libre n'équivaut jamais à une autorisation d'exploitation, encore moins à des fins d'entraînement d'un modèle.
Comment un titulaire de droits peut-il manifester son opposition à la fouille ?
L'opposition peut prendre plusieurs formes : une mention dans les conditions générales d'utilisation d'un site, un fichier robots.txt ou tout autre moyen clair de signaler le refus. La directive européenne exige que ces procédés soient lisibles par machine pour les contenus en ligne.
Que se passe-t-il si mon modèle est déjà entraîné sur des données pour lesquelles un opt-out existait ?
La situation est complexe et fait l'objet d'un contentieux croissant en Europe. En principe, un titulaire de droits dont l'opt-out n'a pas été respecté peut agir en contrefaçon et demander la cessation de l'exploitation du modèle, voire des dommages et intérêts. Un audit rétrospectif des sources et une documentation soignée sont, dans ce cas, tes premiers outils de défense.
Une question sur ton projet d'IA et sa conformité ?
Tu développes un outil d'intelligence artificielle et tu veux sécuriser ta collecte de données au regard du droit d'auteur, du RGPD et de l'AI Act ? Contacte Mutatis Legal pour en parler.
Prendre rendez-vous : https://calendly.com/sophie-mutatis/call-decouverte
Email : sophie@mutatis.legal
