Scraping et IA : ce que le durcissement réglementaire change

Vous utilisez le web scraping pour surveiller vos concurrents, suivre les prix ou alimenter vos outils d’analyse. Jusqu’ici, les règles étaient floues. Ce n’est plus le cas. En 2025-2026, la CNIL et l’AI Act ont pose un cadre précis, et les PME doivent s’adapter.

Ce qui a change depuis juin 2025

La CNIL a publie en juin 2025 deux fiches pratiques qui encadrent concrètement le scraping de données pour l’IA. Le message est clair : collecter des données accessibles en ligne reste légal, mais sous conditions strictes.

La base légale retenue est l’intérêt légitime, à condition de respecter un ensemble de garde-fous. Vous devez définir en amont des critères de collecte précis, fini le scraping “en masse, on triera après”. Vous devez exclure systématiquement certaines catégories de données : données bancaires, geolocalisation, contenus de réseaux sociaux destinés aux mineurs, données de santé, et tout contenu provenant de sites en accès restreint.

Le respect des signaux techniques d’opposition (robots.txt, CAPTCHAs) est devenu une obligation, pas une recommandation. Et vous devez anonymiser ou pseudonymiser les données collectées immédiatement après la collecte. Le cas d’Internet Archive, bloque par la presse française, illustre comment le durcissement des règles de crawling affecte même les acteurs historiques de la preservation du web.

L’AI Act ajoute une couche de transparence

Depuis le 2 août 2025, l’AI Act européen impose des obligations a tout fournisseur de modèle d’IA a usage général. Les modèles déjà sur le marche à cette date ont jusqu’au 2 août 2027 pour s’y conformer. Trois exigences majeures concernent directement les données :

Publication des sources

Chaque fournisseur devra publier un résumé public des datasets utilisés pour l’entraînement de ses modèles. Si vous utilisez un outil d’IA qui s’entraine sur des données scrapees, le fournisseur devra désormais le dire.

Respect des opt-outs copyright

Les éditeurs de contenu peuvent s’opposer a l’utilisation de leurs données pour l’entraînement IA. Les fournisseurs devront respecter ces oppositions, et documenter comment ils le font.

Etiquetage du contenu genere

Tout contenu produit par une IA devra être identifie comme tel. Cela impacte vos outils de génération de texte, d’images ou de synthèse automatique.

Les sanctions sont dissuasives : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites.

Impact concret sur la veille concurrentielle des PME

Si vous faites de la veille concurrentielle par scraping, ces évolutions vous concernent directement. Pas parce que votre activité devient illegale, mais parce que les exigences de documentation et de conformité augmentent.

Vos outils de scraping doivent être configurables. Vous devez pouvoir exclure des sites, des catégories de données et respecter les robots.txt. Un outil qui scrape tout sans filtre n’est plus conforme.

Vos pratiques doivent être documentées. La CNIL attend que vous puissiez justifier pourquoi vous collectez ces données, comment vous les filtrez et combien de temps vous les conservez. Un tableur interne listant vos sources, critères et durées de retention suffit, mais il doit exister.

Vos fournisseurs d’IA aussi

Si vous utilisez des outils qui combinent scraping et IA générative, vérifiez que votre fournisseur se conforme aux nouvelles obligations de transparence de l’AI Act.

Les données a ne jamais scraper

La CNIL est explicite sur les exclusions obligatoires :

• Données bancaires et informations de paiement
• Données de geolocalisation
• Contenus de plateformes destinees aux mineurs
• Données de santé (forums médicaux, sites de genealogie)
• Publications privées sur les réseaux sociaux
• Tout site qui affiche une opposition technique (robots.txt, CAPTCHA)

Si vos outils de veille touchent a l’une de ces catégories, même par accident, vous êtes en infraction.

Trois actions pour vous mettre en conformité

Auditez vos outils de scraping. Listez tous les outils que vous utilisez (scripts maison, SaaS de veille, plugins). Vérifiez qu’ils respectent les robots.txt et permettent des exclusions par catégorie de données.

Documentez vos pratiques. Créez un registre simple : quelles sources, quels critères de collecte, quelle durée de conservation, quel mécanisme d’anonymisation. Ce document sera votre première ligne de defense en cas de contrôle.

Vérifiez la conformité de vos fournisseurs IA. Si vous utilisez des outils d’IA pour analyser vos données scrapees, demandez a votre fournisseur comment il se conforme a l’AI Act. L’absence de réponse est un signal d’alerte.

Anticiper plutôt que subir

Le cadre réglementaire du scraping et de l’IA n’est plus flou. La CNIL et l’AI Act convergent vers plus de transparence, plus de documentation et plus de responsabilité. Pour les PME, ce n’est pas une menace, c’est l’occasion de professionnaliser des pratiques qui étaient souvent informelles. Les sanctions deviennent applicables au 2 août 2026. Le moment d’agir, c’est maintenant.