C’est la question la plus posée et la moins bien traitée du sujet. La réponse de la Commission nationale de l’informatique et des libertés (CNIL) tient en une phrase de méthode : un modèle n’est ni anonyme ni identifiant par nature, et il faut mener une analyse.
Le corpus de la CNIL sur l’IA porte sur le règlement général sur la protection des données, et sur lui seul. La CNIL y parle en autorité de protection des données, jamais en autorité de surveillance du marché au titre du règlement (UE) 2024/1689. Ces recommandations ne sont pas non plus contraignantes : la CNIL écrit que « les responsables de traitement peuvent s’en écarter, à condition de pouvoir justifier leur choix et sous leur responsabilité ».
Un modèle d’IA contient-il des données personnelles ?
Parfois, et c’est une question de fait, pas de principe. Un modèle peut être anonyme, auquel cas le RGPD ne s’y applique pas. Il cesse de l’être dès que des données personnelles peuvent en être extraites « avec des moyens raisonnablement susceptibles d’être mis en œuvre » — le critère du RGPD lui-même, appliqué à une représentation statistique plutôt qu’à une base.
Les modèles d’IA peuvent être anonymes : le RGPD ne leur est alors pas applicable.
Un modèle d’IA est une représentation statistique des caractéristiques de la base qui a servi à l’entraîner.
Quand cette extraction a lieu avec des moyens raisonnablement susceptibles d’être mis en œuvre, ces modèles entrent dans le champ d’application du RGPD.
Le critère est donc celui du RGPD lui-même, les moyens raisonnablement susceptibles d’être mis en œuvre, appliqué à un objet nouveau : non pas une base de données, mais une représentation statistique de cette base.
Comment démontrer qu’un modèle est anonyme ?
La CNIL n’impose pas de seuil. Elle propose neuf indices, chacun assorti d’une mesure d’atténuation. Ils se lisent comme une grille de diagnostic.
- Le caractère identifiant et précis des données d’entraînement.
- La présence de données rares ou aberrantes, qui sont les plus mémorisables.
- La duplication des données d’apprentissage dans le corpus.
- Un nombre de paramètres élevé au regard du volume de données.
- Le surapprentissage.
- L’absence de confidentialité différentielle.
- L’usage de données personnelles lors de l’ajustement ou de l’apprentissage par transfert.
- Des fonctionnalités reproduisant des données similaires aux données d’entraînement.
- Des attaques réussies documentées sur un modèle comparable.
Le dernier indice mérite d’être souligné : il fait dépendre le statut de votre modèle de l’état public de la recherche sur des modèles voisins. Une publication académique peut donc faire basculer une analyse conduite six mois plus tôt.
Quels sont les deux verrous que l’on oublie ?
Ni la confidentialité ni le contrat ne rendent un modèle anonyme. L’évaluation doit tenir compte d’un accès par des tiers qui n’auraient pas dû l’avoir, et les garanties contractuelles complètent les techniques d’anonymisation sans jamais les remplacer.
« L’évaluation des moyens raisonnablement susceptibles d’être mis en œuvre doit tenir compte de la possibilité d’un accès au modèle non seulement par le responsable du traitement, mais également par des tiers qui n’auraient pas dû y avoir accès. »
« Les garanties juridiques et contractuelles visant à limiter l’accès ou l’usage d’un modèle ne remplacent pas les techniques d’anonymisation qui pourraient être mises en place sur le jeu de donnée d’entraînement ou lors de la phase d’apprentissage, mais les complètent. »
La conséquence est directe et contre-intuitive. Un modèle qui ne serait « anonyme » que parce qu’il reste hébergé en interne, ou parce qu’un contrat en interdit l’extraction, n’est pas anonyme au sens de cette analyse. L’hypothèse d’accès à retenir est celle d’un tiers qui n’aurait pas dû y avoir accès.
Qu’est-ce que l’effet en cascade sur les réutilisateurs ?
Un système qui repose exclusivement sur un modèle anonyme est exclu comme lui — et tout se joue sur « exclusivement ». Ajoutez une base de connaissances, une recherche web, une mémoire de conversation ou un journal des requêtes, et l’exclusion tombe.
Si l’analyse de statut d’un modèle d’IA conclut à son exclusion du champ d’application du RGPD, alors un système d’IA reposant exclusivement sur ce modèle en est lui aussi exclu.
Tout se joue sur « exclusivement ». Dès qu’un système ajoute une base de connaissances, une recherche web, une mémoire de conversation ou un journal des requêtes, il ne repose plus exclusivement sur le modèle, et l’exclusion tombe. En pratique, la quasi-totalité des systèmes déployés en entreprise ajoutent au moins l’un de ces éléments.
Quels modèles n’ont besoin d’aucune analyse ?
La fiche de la CNIL est la déclinaison française de l’avis 28/2024 du Comité européen de la protection des données, qu’elle cite dans un encadré dédié. Elle en retient un test à deux branches : pour qu’un modèle entraîné notamment sur des données personnelles, mais qui n’est pas conçu spécifiquement pour produire ou inférer des informations sur ces personnes, soit anonyme, il doit être très peu vraisemblable qu’on puisse identifier directement ou indirectement les personnes à partir des paramètres du modèle, et qu’on puisse en extraire ces données par requêtes.
Mais l’avis pose surtout une exclusion de plein droit :
Un modèle spécifiquement conçu pour produire ou inférer des informations sur des personnes physiques présentes dans son jeu d’entraînement contient, par conséquent, des données personnelles. Il est soumis au RGPD.
Pour ceux-là, reconnaissance faciale identifiante, scoring individualisé, clonage de la voix d’une personne donnée, il n’y a aucune analyse de vraisemblance à mener. Le résultat est acquis.
Qui tranche, en cas de doute ?
Les autorités de protection des données, au cas par cas. Ni le fournisseur ni le déployeur ne décident seuls, et ce n’est pas une autorité de surveillance du marché au titre de l’IA Act qui apprécie.
La question de savoir si un modèle est anonyme doit être évaluée au cas par cas par les autorités chargées de la protection des données.
Ni le fournisseur ni le déployeur ne décident seuls, et l’appréciation revient aux autorités de protection des données, non à une autorité de surveillance du marché au titre de l’AI Act. Une analyse bien documentée reste néanmoins ce qui sera examiné.
Que risque-t-on en cas de manquement ?
Le ré-entraînement ou la suppression du modèle. C’est la sanction la plus lourde du sujet et elle ne figure dans aucun barème : ce n’est pas une amende, c’est la destruction d’un actif.
En fonction de la gravité de l’incident, et des éventuels manquements au RGPD qui en résulteraient, la CNIL pourrait exiger le ré-entraînement ou la suppression du modèle en cause.
Comment cela s’articule-t-il avec l’IA Act ?
Le seul renvoi de cette fiche au règlement porte sur la remontée d’incidents :
Cette pratique est complémentaire des obligations du règlement européen sur l’IA (RIA) qui prévoient une surveillance des fournisseurs après la mise sur le marché pour les systèmes d’IA à haut risque (article 72 du RIA) et une remontée de ces risques par les déployeurs de tels systèmes (article 26 du RIA).
Le mot est complémentaire : deux obligations distinctes, qu’un même dispositif opérationnel peut servir.
Ce qu’il faut documenter
Votre modèle est-il conçu pour produire des informations sur des personnes de son corpus ? Si oui, l’analyse s’arrête là : il est soumis au RGPD.
Avez-vous mené le test des neuf indices, et l’avez-vous daté ? Le neuvième dépend de l’état de la recherche : une analyse non datée ne vaut rien.
Votre raisonnement repose-t-il sur la confidentialité ou sur un contrat ? Si oui, il ne tient pas.
Votre système repose-t-il exclusivement sur le modèle ? Une base de connaissances, un journal des requêtes ou une recherche web suffisent à rompre l’exclusivité.
Que feriez-vous si le ré-entraînement était exigé ? C’est la question de continuité que cette analyse pose vraiment.
Sur quoi cette page s’appuie
Les recommandations de la CNIL sur l’IA, fiche sur le statut du modèle publiée le 22 juillet 2025, et l’avis 28/2024 du Comité européen de la protection des données qu’elle reprend, consultés le 24 août 2026. Ces recommandations relèvent du règlement général sur la protection des données et ne sont pas contraignantes.
Une réserve de méthode : ces pages sont publiées en HTML et leurs citations n’ont pas pu être contrôlées par le procédé de vérification utilisé pour les documents en PDF de la Commission européenne. Elles sont reproduites telles que relevées le 24 août 2026.
Sources. Recommandations de la CNIL sur l’intelligence artificielle et avis 28/2024 du Comité européen de la protection des données, consultés le 24 août 2026.
Questions fréquentes
Un modèle d’IA est-il une donnée personnelle ?
Ni l’un ni l’autre par nature. La CNIL écrit : « Les modèles d’IA peuvent être anonymes : le RGPD ne leur est alors pas applicable. » Mais lorsque l’extraction de données a lieu « avec des moyens raisonnablement susceptibles d’être mis en œuvre, ces modèles entrent dans le champ d’application du RGPD ». Il faut donc mener une analyse, modèle par modèle.
Un modèle qui reste privé est-il anonyme ?
Non, et c’est le verrou le plus souvent ignoré. La CNIL précise que l’évaluation doit tenir compte d’un accès « non seulement par le responsable du traitement, mais également par des tiers qui n’auraient pas dû y avoir accès », et que les garanties juridiques et contractuelles « ne remplacent pas les techniques d’anonymisation, mais les complètent ». Pas d’anonymat par confidentialité, pas d’anonymat par contrat.
Y a-t-il des modèles qui sont soumis au RGPD sans analyse possible ?
Oui. Reprenant l’avis 28/2024 du Comité européen de la protection des données, la CNIL écrit : « Un modèle spécifiquement conçu pour produire ou inférer des informations sur des personnes physiques présentes dans son jeu d’entraînement contient, par conséquent, des données personnelles. Il est soumis au RGPD. » Pour ceux-là, il n’y a aucune analyse de vraisemblance à mener.
Qui décide, en dernier ressort, si un modèle est anonyme ?
Pas le fournisseur, pas le déployeur. La CNIL, reprenant l’avis 28/2024, écrit : « La question de savoir si un modèle est anonyme doit être évaluée au cas par cas par les autorités chargées de la protection des données. » L’appréciation revient donc aux autorités de protection des données, et non à une autorité de surveillance du marché au titre de l’AI Act.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.