{"id":23391,"date":"2026-09-24T10:00:00","date_gmt":"2026-09-24T10:00:00","guid":{"rendered":"https:\/\/atiasavocats.com\/?p=23391"},"modified":"2026-09-14T10:01:04","modified_gmt":"2026-09-14T10:01:04","slug":"ia-rgpd-base-legale-entrainement-modele","status":"publish","type":"post","link":"https:\/\/atiasavocats.com\/en\/ia-rgpd-base-legale-entrainement-modele\/","title":{"rendered":"IA et RGPD : quelle base l\u00e9gale pour entra\u00eener un mod\u00e8le"},"content":{"rendered":"


Par\u00a0<\/em>David Joseph Atias<\/em><\/a>, avocat au Barreau de Paris \u00b7\u00a0<\/em>LinkedIn<\/em><\/a>\u00a0\u00b7 Septembre 2026<\/em><\/em><\/p>\n\n\n\n

\n

Entra\u00eener un mod\u00e8le d’IA suppose souvent de traiter des donn\u00e9es personnelles. Or, sans base l\u00e9gale valide, tout l’entra\u00eenement devient illicite. C’est pourquoi la base l\u00e9gale entra\u00eenement IA RGPD est une question centrale. Int\u00e9r\u00eat l\u00e9gitime ou consentement : le choix n’est pas anodin. Ce guide explique comment d\u00e9cider, puis documenter ce choix sans se contredire.<\/p>\n<\/blockquote>\n\n\n\n

SOMMAIRE<\/p>\n\n\n\n

    \n
  1. Pourquoi la base l\u00e9gale est le point de d\u00e9part<\/a><\/li>\n\n\n\n
  2. Le cadre : RGPD, EDPB et jurisprudence<\/a><\/li>\n\n\n\n
  3. Int\u00e9r\u00eat l\u00e9gitime ou consentement ?<\/a><\/li>\n\n\n\n
  4. Le test de mise en balance en 3 colonnes<\/a><\/li>\n\n\n\n
  5. Documenter le choix sans se contredire<\/a><\/li>\n\n\n\n
  6. Pourquoi faire appel \u00e0 Atias Avocats<\/a><\/li>\n\n\n\n
  7. Conclusion<\/a><\/li>\n\n\n\n
  8. FAQ \u2014 Questions fr\u00e9quentes<\/a><\/li>\n<\/ol>\n\n\n\n

    1. Pourquoi la base l\u00e9gale est le point de d\u00e9part<\/h2>\n\n\n\n

    Entra\u00eener une IA exige d’\u00e9normes volumes de donn\u00e9es. Or, ces donn\u00e9es contiennent souvent des informations personnelles. D\u00e8s lors, le RGPD s’applique \u00e0 cet entra\u00eenement. C’est pourquoi la base l\u00e9gale entra\u00eenement IA RGPD devient la premi\u00e8re question \u00e0 trancher.<\/p>\n\n\n\n

    Sans base l\u00e9gale valide, tout le traitement est illicite. En effet, l’illic\u00e9it\u00e9 en amont peut contaminer l’usage ult\u00e9rieur du mod\u00e8le. Ainsi, une erreur initiale se paie tr\u00e8s cher plus tard. De ce fait, le choix m\u00e9rite une analyse rigoureuse et anticip\u00e9e. Corriger la base l\u00e9gale apr\u00e8s coup est souvent tr\u00e8s complexe.<\/p>\n\n\n\n

    Les enjeux financiers sont consid\u00e9rables en 2026. Une violation du RGPD peut atteindre 20 millions d’euros. Elle peut aussi repr\u00e9senter 4 % du chiffre d’affaires mondial. Par cons\u00e9quent, s\u00e9curiser sa base l\u00e9gale est un imp\u00e9ratif strat\u00e9gique.<\/p>\n\n\n\n

    Ce sujet croise deux univers r\u00e9glementaires majeurs. Il relie notre guide du RGPD en entreprise<\/strong><\/a> et le droit de l’IA. Ici, nous entrons dans le c\u0153ur du raisonnement juridique.<\/p>\n\n\n\n

    2. Le cadre : RGPD, EDPB et jurisprudence<\/h2>\n\n\n\n

    Trois sources principales structurent aujourd’hui tout le raisonnement juridique. Elles se compl\u00e8tent et doivent \u00eatre lues ensemble. En effet, les conna\u00eetre \u00e9vite les erreurs d’analyse les plus fr\u00e9quentes.<\/p>\n\n\n\n

    2.1 L’article 6 du RGPD<\/h3>\n\n\n\n

    Tout traitement doit reposer sur une base l\u00e9gale de l’article 6. Pour l’entra\u00eenement, deux bases sont r\u00e9alistes. Il s’agit du consentement et de l’int\u00e9r\u00eat l\u00e9gitime. Le choix d\u00e9pend du contexte et du type de donn\u00e9es. La base l\u00e9gale entra\u00eenement IA RGPD se raisonne donc au cas par cas.<\/p>\n\n\n\n

    2.2 L’avis 28\/2024 de l’EDPB<\/h3>\n\n\n\n

    Le Comit\u00e9 europ\u00e9en (EDPB) a rendu un avis cl\u00e9 le 17 d\u00e9cembre 2024. Ainsi, cet avis 28\/2024 porte sp\u00e9cifiquement sur les mod\u00e8les d’IA et le RGPD. Il pr\u00e9cise l’usage de l’int\u00e9r\u00eat l\u00e9gitime ainsi que la d\u00e9licate notion d’anonymat. De plus, il d\u00e9taille le test de mise en balance \u00e0 conduire. Il examine aussi les cons\u00e9quences d’un traitement illicite en amont. Un vice initial peut alors rejaillir sur tout le d\u00e9ploiement du mod\u00e8le.<\/p>\n\n\n\n

    2.3 La jurisprudence de la CJUE<\/h3>\n\n\n\n

    La CJUE a tranch\u00e9 un point d\u00e9cisif le 4 octobre 2024. En effet, dans l’affaire C-621\/22, dite KNLTB, elle admet un principe fort. Un int\u00e9r\u00eat purement commercial peut constituer un int\u00e9r\u00eat l\u00e9gitime valable. Cette position ouvre une voie concr\u00e8te pour de nombreux projets d’IA. Toutefois, il reste soumis au test de mise en balance.<\/p>\n\n\n\n

    2.4 Les recommandations de la CNIL<\/h3>\n\n\n\n

    La CNIL a publi\u00e9 des recommandations d\u00e9di\u00e9es \u00e0 l’IA. Ainsi, elles guident le recours \u00e0 l’int\u00e9r\u00eat l\u00e9gitime pour l’entra\u00eenement. De plus, elles insistent sur la transparence et la minimisation. Ainsi, la base l\u00e9gale entra\u00eenement IA RGPD s’appr\u00e9cie \u00e0 leur lumi\u00e8re.<\/p>\n\n\n\n

    3. Int\u00e9r\u00eat l\u00e9gitime ou consentement ?<\/h2>\n\n\n\n

    Le choix se joue entre deux bases tr\u00e8s diff\u00e9rentes. Chacune a ses forces et ses limites. Le choix de la base l\u00e9gale entra\u00eenement IA RGPD en d\u00e9coule directement.<\/p>\n\n\n\n

    3.1 Les limites du consentement<\/h3>\n\n\n\n

    Le consentement semble, a priori, la voie la plus s\u00fbre et la plus protectrice. Pourtant, il est rarement praticable \u00e0 grande \u00e9chelle. En effet, recueillir l’accord de millions de personnes est impossible. C’est vrai notamment pour les donn\u00e9es collect\u00e9es par moissonnage du web. De ce fait, ce moissonnage massif rend le consentement mat\u00e9riellement impossible.<\/p>\n\n\n\n

    3.2 L’int\u00e9r\u00eat l\u00e9gitime, voie privil\u00e9gi\u00e9e<\/h3>\n\n\n\n

    L’int\u00e9r\u00eat l\u00e9gitime est donc la base la plus utilis\u00e9e. En effet, il autorise l’entra\u00eenement sans consentement individuel pr\u00e9alable. Cependant, il n’est jamais un blanc-seing accord\u00e9 sans condition. Chaque projet doit d\u00e9montrer sa propre lic\u00e9it\u00e9, cas par cas. Au contraire, il impose une analyse document\u00e9e et rigoureuse.<\/p>\n\n\n\n

    3.3 Le cas des donn\u00e9es sensibles<\/h3>\n\n\n\n

    Les donn\u00e9es sensibles suivent, elles, un r\u00e9gime bien plus strict encore. L’article 9 du RGPD interdit en principe leur traitement. L’int\u00e9r\u00eat l\u00e9gitime ne suffit alors pas \u00e0 les couvrir. Ainsi, il faut les exclure ou trouver une exception juridique adapt\u00e9e.<\/p>\n\n\n\n

    3.4 La question de l’anonymat<\/h3>\n\n\n\n

    En principe, un mod\u00e8le r\u00e9ellement anonyme \u00e9chappe au RGPD. Mais l’EDPB rappelle que l’anonymat s’appr\u00e9cie au cas par cas. En effet, un mod\u00e8le entra\u00een\u00e9 sur des donn\u00e9es personnelles n’est pas anonyme par principe. Ainsi, la preuve de l’anonymat reste, en pratique, difficile \u00e0 rapporter.<\/p>\n\n\n\n

    4. Le test de mise en balance en 3 colonnes<\/h2>\n\n\n\n

    Voici le c\u0153ur op\u00e9rationnel et concret de toute la d\u00e9marche. Ce test conditionne la validit\u00e9 de l’int\u00e9r\u00eat l\u00e9gitime. Il est au c\u0153ur de toute base l\u00e9gale entra\u00eenement IA RGPD solide.<\/p>\n\n\n\n

    1. Int\u00e9r\u00eat l\u00e9gitime<\/th>2. N\u00e9cessit\u00e9<\/th>3. Mise en balance<\/th><\/tr><\/thead>
    Int\u00e9r\u00eat r\u00e9el, actuel et licite<\/td>Traitement r\u00e9ellement utile<\/td>Attentes raisonnables des personnes<\/td><\/tr>
    Int\u00e9r\u00eat commercial admis (KNLTB)<\/td>Pas d’alternative moins intrusive<\/td>Impact sur la vie priv\u00e9e \u00e9valu\u00e9<\/td><\/tr>
    Finalit\u00e9 clairement d\u00e9finie<\/td>Volume de donn\u00e9es minimis\u00e9<\/td>Mesures d’att\u00e9nuation pr\u00e9vues<\/td><\/tr>
    \ud83d\udfe2 \u00c0 documenter par \u00e9crit<\/td>\ud83d\udfe0 \u00c0 justifier pr\u00e9cis\u00e9ment<\/td>\ud83d\udd34 \u00c9tape d\u00e9cisive<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

    Ce tableau constitue une trame de test r\u00e9utilisable. Ainsi, chaque colonne doit \u00eatre remplie et argument\u00e9e avec soin. Par ailleurs, les mesures d’att\u00e9nuation renforcent nettement la troisi\u00e8me colonne du test. Nous proposons d’ailleurs un mod\u00e8le complet et t\u00e9l\u00e9chargeable de ce test. Il guide chaque \u00e9tape et s\u00e9curise la d\u00e9monstration.<\/p>\n\n\n\n

    4.1 Les mesures d’att\u00e9nuation d\u00e9cisives<\/h3>\n\n\n\n

    Les mesures d’att\u00e9nuation font souvent basculer la balance. Par exemple, un droit d’opposition simple, visible et r\u00e9ellement effectif. De m\u00eame, la pseudonymisation des donn\u00e9es r\u00e9duit fortement le risque. Elle limite la r\u00e9-identification tout en pr\u00e9servant l’utilit\u00e9 r\u00e9elle du mod\u00e8le. Ce compromis est souvent appr\u00e9ci\u00e9 par les autorit\u00e9s de contr\u00f4le. Enfin, l’exclusion des donn\u00e9es sensibles rassure fortement le r\u00e9gulateur. Ces mesures se documentent, elles aussi, dans le test.<\/p>\n\n\n\n

    5. Documenter le choix sans se contredire<\/h2>\n\n\n\n

    Le meilleur raisonnement ne vaut rien s’il est mal document\u00e9. La coh\u00e9rence est ici la r\u00e8gle absolue. Une base l\u00e9gale entra\u00eenement IA RGPD mal document\u00e9e reste attaquable.<\/p>\n\n\n\n

    5.1 Une base l\u00e9gale identique partout<\/h3>\n\n\n\n

    La base l\u00e9gale choisie doit appara\u00eetre dans tous les documents. Politique de confidentialit\u00e9, registre et contrats doivent concorder. Or, une contradiction entre eux ruine la d\u00e9monstration. C’est pourquoi la coh\u00e9rence documentaire est v\u00e9rifi\u00e9e en premier.<\/p>\n\n\n\n

    5.2 L’analyse d’impact obligatoire<\/h3>\n\n\n\n

    Un entra\u00eenement \u00e0 grande \u00e9chelle impose une analyse d’impact. L’article 35 du RGPD l’exige dans ce cas. Ainsi, cette AIPD documente les risques et les mesures prises. Ainsi, elle prolonge naturellement le test de mise en balance.<\/p>\n\n\n\n

    5.3 L’articulation avec l’AI Act<\/h3>\n\n\n\n

    Le RGPD ne vit pas seul sur ce sujet. Il se combine avec l’AI Act, qui ajoute ses obligations. Notre analyse des obligations AI Act et de leur articulation avec le RGPD<\/strong><\/a> le d\u00e9taille. Les deux r\u00e9gimes doivent \u00eatre trait\u00e9s ensemble.<\/p>\n\n\n\n

    5.4 La gouvernance interne<\/h3>\n\n\n\n

    Une bonne documentation suppose une gouvernance claire. Notre mod\u00e8le de charte IA en entreprise<\/strong><\/a> aide \u00e0 la structurer. Elle r\u00e9partit les r\u00f4les et fixe les r\u00e8gles internes. De ce fait, chaque choix devient tra\u00e7able et d\u00e9fendable.<\/p>\n\n\n\n

    6. Pourquoi faire appel \u00e0 Atias Avocats<\/h2>\n\n\n\n

    Choisir la bonne base l\u00e9gale exige une double expertise rare. Il faut ma\u00eetriser le RGPD et la logique technique de l’IA. Il faut aussi articuler cette base avec l’AI Act. Atias Avocats r\u00e9unit pr\u00e9cis\u00e9ment ces comp\u00e9tences. En effet, un test de mise en balance b\u00e2cl\u00e9 fragilise tout le projet. De m\u00eame, une documentation incoh\u00e9rente s’effondre d\u00e8s le premier contr\u00f4le s\u00e9rieux. Cet accompagnement transforme un risque diffus en conformit\u00e9 d\u00e9montrable. Pour aller plus loin, consultez nos services en protection des donn\u00e9es<\/strong><\/a>.<\/p>\n\n\n\n

    Conclusion<\/h2>\n\n\n\n

    La base l\u00e9gale entra\u00eenement IA RGPD n’est pas une formalit\u00e9 de plus. C’est le socle de tout projet d’intelligence artificielle. Or, l’int\u00e9r\u00eat l\u00e9gitime n’est valable qu’avec un test rigoureux. C’est pourquoi le test de mise en balance doit \u00eatre \u00e9crit et argument\u00e9. De plus, la documentation doit rester parfaitement coh\u00e9rente. S\u00e9curiser ce choix d\u00e8s la conception reste, ainsi, la meilleure strat\u00e9gie. \u00c0 d\u00e9faut, un mod\u00e8le entier peut \u00eatre fragilis\u00e9 par sa seule base juridique.<\/p>\n\n\n\n

    FAQ \u2014 Questions fr\u00e9quentes<\/h2>\n\n\n\n

    Quelle base l\u00e9gale pour entra\u00eener un mod\u00e8le d’IA ?<\/h3>\n\n\n\n

    Deux bases l\u00e9gales sont r\u00e9alistes en pratique. Le consentement de la personne est la premi\u00e8re, mais il reste difficile \u00e0 grande \u00e9chelle. L’int\u00e9r\u00eat l\u00e9gitime est la seconde, et la plus utilis\u00e9e pour l’entra\u00eenement. Il suppose toutefois un test de mise en balance rigoureux. L’avis 28\/2024 de l’EDPB encadre pr\u00e9cis\u00e9ment ce raisonnement.<\/p>\n\n\n\n

    L’int\u00e9r\u00eat l\u00e9gitime suffit-il pour entra\u00eener une IA ?<\/h3>\n\n\n\n

    L’int\u00e9r\u00eat l\u00e9gitime peut suffire, mais sous conditions strictes. Il faut un int\u00e9r\u00eat r\u00e9el, la n\u00e9cessit\u00e9 du traitement et une mise en balance favorable. La CJUE a admis qu’un int\u00e9r\u00eat commercial peut \u00eatre l\u00e9gitime. Toutefois, les attentes raisonnables des personnes doivent \u00eatre respect\u00e9es. Des mesures d’att\u00e9nuation sont souvent indispensables pour valider ce choix.<\/p>\n\n\n\n

    Qu’est-ce que le test de mise en balance ?<\/h3>\n\n\n\n

    C’est l’analyse en trois \u00e9tapes exig\u00e9e pour l’int\u00e9r\u00eat l\u00e9gitime. La premi\u00e8re v\u00e9rifie l’existence d’un int\u00e9r\u00eat l\u00e9gitime r\u00e9el. La deuxi\u00e8me contr\u00f4le que le traitement est n\u00e9cessaire, sans alternative moins intrusive. La troisi\u00e8me met en balance cet int\u00e9r\u00eat avec les droits des personnes. Ce test doit \u00eatre \u00e9crit, dat\u00e9 et conserv\u00e9 comme preuve.<\/p>\n\n\n\n

    Peut-on entra\u00eener une IA sur des donn\u00e9es sensibles ?<\/h3>\n\n\n\n

    C’est beaucoup plus encadr\u00e9, car l’int\u00e9r\u00eat l\u00e9gitime ne suffit pas. Les donn\u00e9es sensibles rel\u00e8vent de l’article 9 du RGPD. Leur traitement exige une exception sp\u00e9cifique, comme le consentement explicite. Le web scraping capte souvent de telles donn\u00e9es par erreur. Il faut donc les exclure ou s\u00e9curiser une base juridique adapt\u00e9e.<\/p>\n\n\n\n

    Comment documenter le choix de la base l\u00e9gale ?<\/h3>\n\n\n\n

    La coh\u00e9rence est la r\u00e8gle d’or de la documentation. La base l\u00e9gale doit \u00eatre identique dans tous les documents. Politique de confidentialit\u00e9, registre et analyse d’impact doivent concorder. Le test de mise en balance \u00e9crit constitue la pi\u00e8ce ma\u00eetresse. Une contradiction entre documents fragilise imm\u00e9diatement toute la conformit\u00e9.<\/p>\n\n\n\n


    Contact :     david@atiasavocats.com<\/a> | LinkedIn: David Joseph Atias<\/em><\/a> | https:\/\/www.atiasavocats.com<\/a> | 42 rue de la Clef, 75005 Paris<\/p>\n\n\n\n

    Atias Avocats \u2014 RGPD, intelligence artificielle, base l\u00e9gale & AI Act<\/em><\/p>","protected":false},"excerpt":{"rendered":"

    Par\u00a0David Joseph Atias, avocat au Barreau de Paris \u00b7\u00a0LinkedIn\u00a0\u00b7 Septembre 2026 Entra\u00eener un mod\u00e8le d’IA suppose souvent de traiter des donn\u00e9es personnelles. Or, sans base l\u00e9gale valide, tout l’entra\u00eenement devient…<\/p>","protected":false},"author":1,"featured_media":23393,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-23391","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23391","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/comments?post=23391"}],"version-history":[{"count":1,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23391\/revisions"}],"predecessor-version":[{"id":23394,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23391\/revisions\/23394"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media\/23393"}],"wp:attachment":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media?parent=23391"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/categories?post=23391"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/tags?post=23391"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}