Une carte de modèle suffit-elle comme information ?

Elle peut convenir si l'information y ressort clairement. La CNIL précise qu'un jargon scientifique difficile à comprendre ne suffit pas.

Informer les personnes dont les données entraînent une IA

Q: Faut-il prévenir individuellement chaque personne dont les données ont été moissonnées ?

Pas toujours. L'article 14, paragraphe 5, point b, permet de se limiter à une information publique quand l'information individuelle exige des efforts disproportionnés. La CNIL estime que c'est le plus souvent le cas pour des données en ligne, après une analyse documentée.

Toute personne dont les données servent à développer un système d'IA doit être informée, que ses données aient été collectées auprès d'elle (article 13 du RGPD, règlement général sur la protection des données) ou ailleurs : moissonnage du web, courtier de données, réutilisation d'un jeu existant (article 14). La CNIL (Commission nationale de l'informatique et des libertés) a précisé dans sa fiche du 07/02/2025 ce que cela veut dire pour un jeu d'entraînement, et dans quels cas une information générale et publique remplace l'information individuelle.

Ce qu'il faut dire

Pour une information individuelle, en général :

l'identité et les coordonnées du responsable, et celles de son délégué à la protection des données ;
la finalité et la base légale (avec l'intérêt poursuivi, s'il s'agit de l'intérêt légitime) ;
les destinataires ou leurs catégories, et les transferts hors de l'Union ;
la durée de conservation ou ses critères ;
les droits, dont l'opposition, et le droit de réclamation auprès de la CNIL.

En collecte indirecte s'ajoutent les catégories de données et la source, en précisant si elle est publique. La CNIL souligne que la durée de conservation et l'exercice des droits sont « quasi-systématiquement requises » pour les jeux d'apprentissage.

Quand le dire

Situation	Moment
Collecte auprès de la personne	Au moment de la collecte
Réutilisation pour une nouvelle finalité compatible	Avant le nouveau traitement
Collecte indirecte	Dès que possible, au plus tard au premier contact, et dans un délai d'un mois après la récupération des données

Bonne pratique pour les données sensibles : laisser un délai raisonnable entre l'information et l'entraînement, pour que les personnes puissent s'opposer.

La Cour de justice l'a rappelé dans son arrêt C-413/23 P du 04/09/2025 : l'obligation d'information s'apprécie au moment de la collecte, du point de vue du responsable, même si les données sont ensuite pseudonymisées avant d'être transmises à un tiers.

Quand l'information générale suffit

L'article 14, paragraphe 5, point b, permet de se contenter d'une information rendue publique quand l'information individuelle exige des efforts disproportionnés. Conditions posées par la CNIL :

une analyse au cas par cas, documentée, qui met en balance l'atteinte à la vie privée et l'effort d'information ;
l'effort s'apprécie au regard de l'absence de contacts, de coordonnées anciennes (elle cite plus de dix ans), du nombre de personnes et du coût ; le volume seul ne suffit pas ;
pour des données en ligne, l'information individuelle sera « le plus souvent disproportionnée » si retrouver les personnes oblige à collecter des données plus identifiantes ;
en contrepartie, la CNIL recommande des garanties : analyse d'impact même non obligatoire, pseudonymisation, réduction des données et des durées, sécurité renforcée.

Parler des sources

Peu de sources : les nommer précisément.
Beaucoup de sources : des catégories (sites institutionnels, encyclopédies ouvertes, presse, forums, réseaux sociaux professionnels, sites de vente…) ou les principales sources suffisent.
Bonne pratique : publier les noms de domaine, les adresses web (URL) et la période de collecte.

La fiche sur le moissonnage recommande en plus de diffuser largement l'information sur la collecte, par exemple par des articles en ligne ou les réseaux sociaux.

Parler du modèle

Un modèle anonyme n'est pas soumis au RGPD, donc pas à l'obligation d'information. S'il ne l'est pas (voir un modèle contient-il des données personnelles ?), il faut informer sur les données mémorisées. La CNIL recommande de préciser la nature du risque d'extraction, par exemple la régurgitation de données par un modèle génératif, les mesures prises pour le limiter et la manière de le signaler.

Pour les fournisseurs de modèles à usage général, le résumé du contenu d'entraînement exigé par l'article 53 du règlement européen sur l'IA, avec le modèle publié par le Bureau de l'IA en juillet 2025, couvre une partie de cette information, à compléter.

La forme

Une information distincte des conditions d'utilisation et des mentions légales, et séparée pour les traitements de développement.
Concise, compréhensible, accessible : la complexité technique n'excuse pas l'opacité. La CNIL suggère des schémas qui distinguent base d'apprentissage, modèle et sorties.
À plusieurs niveaux : l'essentiel d'abord (identité, finalités, droits), le détail ensuite.
Les cartes de données ou de modèles peuvent servir de support si l'information y ressort clairement ; un jargon scientifique difficile à comprendre ne suffit pas.
Si vous ne pourrez pas identifier les personnes, dites-le, et indiquez quelles informations leur permettraient d'être retrouvées pour exercer leurs droits.

Le contenu exact de votre mention d'information se valide avec votre délégué à la protection des données ou un juriste.