Moissonnage pour l’IA générative, blockchain : ce que le CEPD vient de clarifier pour la santé numérique

Anonymisation : un cadre refondu, décrypté par ailleurs

Douze ans après l’avis du G29 de 2014, les lignes directrices 02/2026 actualisent la notion de donnée anonyme à la lumière de la jurisprudence de la CJUE : trois critères (individualisation, corrélation, inférence), une évaluation par « perspective » selon les capacités de chaque entité, et la confirmation que l’anonymisation est elle-même un traitement soumis au RGPD – avec, pour les données de santé, l’exigence d’une exception au titre de l’article 9. Nous y consacrons un décryptage complet : « Anonymisation des données, un cadre complété et opérationnel ! », par Marguerite Brac de La Perrière et Léa Rogerie.

Moissonnage et IA générative : l’article 9 en première ligne

Le deuxième texte s’attaque au moissonnage, ce processus automatisé d’extraction de données à grande échelle qui alimente l’entraînement des modèles d’IA générative, souvent à l’insu des personnes. Le comité rappelle que le RGPD s’applique dès la collecte, le stockage, l’organisation ou l’extraction de données personnelles, précise les conditions de recours à l’intérêt légitime – dans le prolongement de son avis de décembre 2024 sur les modèles d’IA – et insiste sur la limitation des finalités, la transparence, l’exactitude (sources fiables, horodatage, validation des données avant entraînement) et la minimisation.

Le point le plus sensible pour la sphère sanitaire tient aux catégories particulières de données, dont les données de santé : leur traitement demeure par principe interdit, et leur moissonnage exige à la fois une base légale (article 6) et une exception (article 9, paragraphe 2). Pour la collecte accessoire ou résiduelle de telles données, le CEPD renvoie à la jurisprudence GC e.a. (C-136/17), sous réserve de mesures techniques et organisationnelles empêchant leur captation et leur diffusion – sans exemption générale : chaque cas s’apprécie individuellement.

Concrètement, le texte concerne moins les établissements – rarement moissonneurs – que les éditeurs de solutions d’IA en santé, dont les corpus d’entraînement devront répondre à ces exigences. Il fournit en retour aux DSI et DPO hospitaliers une grille de questions pour auditer la provenance des données d’entraînement des outils d’IA générative qu’ils achètent ou expérimentent.

Blockchain : la version finale est arrivée

Après consultation publique, le comité a par ailleurs finalisé ses lignes directrices sur le traitement de données personnelles au moyen des chaînes de blocs. Le texte décrit les architectures possibles et leurs implications pour la conformité – une lecture utile pour les cas d’usage santé régulièrement évoqués, de la traçabilité des consentements à l’intégrité des échanges, où l’immuabilité de la chaîne se heurte aux principes de minimisation et d’effacement. Fait notable, le CEPD publie aussi le rapport de consultation et une version comparée des modifications, au titre du dialogue avec les parties prenantes engagé par la déclaration d’Helsinki.

Une fenêtre de contribution jusqu’au 30 octobre

Les textes anonymisation et moissonnage ne sont que des versions initiales, susceptibles d’évoluer à l’issue de la consultation publique ouverte jusqu’au 30 octobre 2026. Établissements, fédérations et industriels de la santé numérique ont là une occasion de faire valoir les spécificités des données de santé – richesse, corrélabilité, sensibilité – avant la stabilisation de textes qui encadreront durablement leurs projets d’IA et de partage de données.

Sources

• CEPD, communiqué du 7 juillet 2026 (en anglais) : edpb.europa.eu/news/edpb-sheds-light-on-anonymisation-and-web-scraping...

• CNIL, traduction du communiqué, 9 juillet 2026 : cnil.fr/fr/cepd-ia-generative-chaines-blocs

• Lignes directrices sur le moissonnage dans le contexte de l’IA générative (PDF, en anglais) : edpb.europa.eu/.../edpb_guidelines_2020603_webscraping_v1_en_0.pdf

• Lignes directrices finales sur les chaînes de blocs (PDF, en anglais) : edpb.europa.eu/.../edpb_guidelines_202502_blockchain_v2_en.pdf

• Consultations publiques ouvertes jusqu’au 30 octobre 2026 : anonymisation | moissonnage