Scraping et IA : ce que le durcissement reglementaire change

Vous utilisez le web scraping pour surveiller vos concurrents, suivre les prix ou alimenter vos outils d’analyse. Jusqu’ici, les regles etaient floues. Ce n’est plus le cas. En 2025-2026, la CNIL et l’AI Act ont pose un cadre precis — et les PME doivent s’adapter.

Ce qui a change depuis juin 2025

La CNIL a publie en juin 2025 deux fiches pratiques qui encadrent concretement le scraping de donnees pour l’IA. Le message est clair : collecter des donnees accessibles en ligne reste legal, mais sous conditions strictes.

La base legale retenue est l’interet legitime, a condition de respecter un ensemble de garde-fous. Vous devez definir en amont des criteres de collecte precis — fini le scraping “en masse, on triera apres”. Vous devez exclure systematiquement certaines categories de donnees : donnees bancaires, geolocalisation, contenus de reseaux sociaux destines aux mineurs, donnees de sante, et tout contenu provenant de sites en acces restreint.

Le respect des signaux techniques d’opposition (robots.txt, CAPTCHAs) est devenu une obligation, pas une recommandation. Et vous devez anonymiser ou pseudonymiser les donnees collectees immediatement apres la collecte. Le cas d’Internet Archive, bloque par la presse francaise, illustre comment le durcissement des regles de crawling affecte meme les acteurs historiques de la preservation du web.

L’AI Act ajoute une couche de transparence

A partir du 2 aout 2026, l’AI Act europeen impose de nouvelles obligations a tout fournisseur de modele d’IA a usage general. Trois exigences majeures concernent directement les donnees :

Publication des sources. Chaque fournisseur devra publier un resume public des datasets utilises pour l’entrainement de ses modeles. Si vous utilisez un outil d’IA qui s’entraine sur des donnees scrapees, le fournisseur devra desormais le dire.

Respect des opt-outs copyright. Les editeurs de contenu peuvent s’opposer a l’utilisation de leurs donnees pour l’entrainement IA. Les fournisseurs devront respecter ces oppositions — et documenter comment ils le font.

Etiquetage du contenu genere. Tout contenu produit par une IA devra etre identifie comme tel. Cela impacte vos outils de generation de texte, d’images ou de synthese automatique.

Les sanctions sont dissuasives : jusqu’a 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites.

Impact concret sur la veille concurrentielle des PME

Si vous faites de la veille concurrentielle par scraping, ces evolutions vous concernent directement. Pas parce que votre activite devient illegale, mais parce que les exigences de documentation et de conformite augmentent.

Vos outils de scraping doivent etre configurables. Vous devez pouvoir exclure des sites, des categories de donnees et respecter les robots.txt. Un outil qui scrape tout sans filtre n’est plus conforme.

Vos pratiques doivent etre documentees. La CNIL attend que vous puissiez justifier pourquoi vous collectez ces donnees, comment vous les filtrez et combien de temps vous les conservez. Un tableur interne listant vos sources, criteres et durees de retention suffit — mais il doit exister.

Vos fournisseurs d’IA aussi. Si vous utilisez des outils qui combinent scraping et IA generative, verifiez que votre fournisseur se conforme aux nouvelles obligations de transparence de l’AI Act.

Les donnees a ne jamais scraper

La CNIL est explicite sur les exclusions obligatoires :

• Donnees bancaires et informations de paiement
• Donnees de geolocalisation
• Contenus de plateformes destinees aux mineurs
• Donnees de sante (forums medicaux, sites de genealogie)
• Publications privees sur les reseaux sociaux
• Tout site qui affiche une opposition technique (robots.txt, CAPTCHA)

Si vos outils de veille touchent a l’une de ces categories, meme par accident, vous etes en infraction.

Trois actions pour vous mettre en conformite

Auditez vos outils de scraping. Listez tous les outils que vous utilisez (scripts maison, SaaS de veille, plugins). Verifiez qu’ils respectent les robots.txt et permettent des exclusions par categorie de donnees.

Documentez vos pratiques. Creez un registre simple : quelles sources, quels criteres de collecte, quelle duree de conservation, quel mecanisme d’anonymisation. Ce document sera votre premiere ligne de defense en cas de controle.

Verifiez la conformite de vos fournisseurs IA. Si vous utilisez des outils d’IA pour analyser vos donnees scrapees, demandez a votre fournisseur comment il se conforme a l’AI Act. L’absence de reponse est un signal d’alerte.

Anticiper plutot que subir

Le cadre reglementaire du scraping et de l’IA n’est plus flou. La CNIL et l’AI Act convergent vers plus de transparence, plus de documentation et plus de responsabilite. Pour les PME, ce n’est pas une menace — c’est l’occasion de professionnaliser des pratiques qui etaient souvent informelles. Les premieres sanctions tomberont apres aout 2026. Le moment d’agir, c’est maintenant.