Adoptés le 7 juillet 2026, les deux projets de lignes directrices du Comité européen de la protection des données fixent trois critères cumulatifs pour l’anonymisation et encadrent le moissonnage destiné à l’entraînement des modèles.

Pour les acteurs de la santé numérique qui entraînent des modèles d’IA générative ou réutilisent des données de santé, ces textes dessinent le référentiel sur lequel les autorités de contrôle s’appuieront. La fenêtre de consultation, ouverte jusqu’au 30 octobre 2026, constitue l’occasion de peser sur des règles qui conditionneront la conformité des projets d’IA et de recherche sur données.

Anonymisation : trois critères cumulatifs et deux méthodes d’évaluation

Le premier projet clarifie la notion de données anonymes au regard du RGPD, en intégrant la jurisprudence récente de la Cour de justice de l’Union européenne, dont l’arrêt CEPD/CRU (C-413/23 P) du 4 septembre 2025. Le comité rappelle le principe : des données ne sont anonymes que lorsqu’elles ne permettent plus d’identifier une personne physique, de façon directe ou indirecte. L’appréciation dépend du contexte et des moyens raisonnables dont dispose l’entité pour parvenir à une réidentification.

Le cadre pratique proposé repose sur deux approches. L’approche contextuelle évalue les capacités réelles des acteurs susceptibles de réidentifier une personne ; l’approche simplifiée écarte ces différences et aboutit à une lecture plus prudente, susceptible d’aller au-delà des exigences juridiques. L’évaluation s’articule autour de trois critères cumulatifs :

• Absence d’individualisation des enregistrements.
• Absence de corrélation entre les données.
• Absence d’inférence permettant d’identifier une personne.

Si les trois conditions sont réunies, les données peuvent être considérées comme anonymes ; à défaut, une analyse complémentaire s’impose. Un enjeu direct pour les entrepôts de données de santé, les études en vie réelle et les jeux d’entraînement présentés comme anonymisés.

Web scraping : le RGPD s’applique dès la collecte

Le second projet vise le moissonnage automatisé de données pour l’entraînement des IA génératives. Le CEPD rappelle que le RGPD s’applique dès que l’opération implique des données à caractère personnel, qu’il s’agisse de collecte, de stockage, d’organisation ou d’extraction. Les principes de limitation des finalités, de transparence, de minimisation et d’exactitude structurent les recommandations. L’information individuelle des personnes peut être écartée lorsqu’elle est impossible ou suppose des efforts disproportionnés, mais cette exception s’apprécie au regard des circonstances du traitement.

Le comité formule quatre recommandations :

• Collecter les données à partir de sources fiables.
• Enregistrer l’horodatage des données collectées.
• Vérifier les données avant leur utilisation pour l’entraînement d’un modèle.
• Et mettre en œuvre des mesures de minimisation adaptées aux finalités.

Le texte apporte aussi des précisions sur le recours à l’intérêt légitime comme base juridique du moissonnage.

Pas de dérogation générale pour les données sensibles

Point d’attention pour le secteur de la santé : le traitement des catégories particulières de données (dont les données de santé) demeure interdit par principe. Un responsable de traitement dont le moissonnage capte ce type de données doit cumuler une base juridique au titre de l’article 6 du RGPD et une exception prévue par l’article 9. Pour les collectes accessoires ou résiduelles, le CEPD renvoie à la jurisprudence GC & autres (C-136/17), sous réserve de mesures techniques et organisationnelles appropriées. Aucune dérogation générale ne s’applique : chaque situation appelle une analyse au cas par cas.

Blockchain : un cadre désormais stabilisé

Le CEPD a par ailleurs adopté la version finale de ses lignes directrices sur le traitement des données personnelles au moyen des technologies de la chaîne de blocs, à l’issue d’une consultation publique. Le document décrit les architectures de blockchain et leurs conséquences en matière de protection des données, afin d’accompagner la mise en conformité des projets avec le RGPD. Le comité publie aussi un rapport des contributions reçues ainsi qu’une version du texte faisant apparaître les modifications apportées.

Les organisations disposent donc d’un référentiel stabilisé sur la blockchain, quand les règles applicables à l’IA générative restent ouvertes au débat jusqu’au 30 octobre 2026.