En 2025, la CNIL a infligé près de 486,8 millions d'euros d'amendes cumulées, dont deux sanctions records de 325 et 150 millions d'euros ciblant des géants de la tech pour non-conformité aux règles sur les cookies et les traceurs. Derrière ces chiffres vertigineux se dessine une réalité que tout data scientist connaît : la frontière entre innovation et conformité n'a jamais été aussi mince. Comment continuer à exploiter le potentiel immense du machine learning tout en respectant scrupuleusement le cadre juridique le plus exigeant au monde ? C'est le grand défi de la data science responsable en 2026.
Qu'est-ce que le RGPD appliqué à la data science ?
Le RGPD n'est pas un simple cadre juridique généraliste : appliqué à la data science, il devient un cahier des charges technique. Contrairement à une idée reçue, le RGPD n'interdit pas l'exploitation massive de données personnelles pour entraîner des modèles. Il impose de le faire intelligemment.
La distinction est fondamentale. Le RGPD "classique" encadre la collecte, le stockage et le traitement des données personnelles dans une logique de base de données : une donnée = un enregistrement identifiable. En data science, la complexité est d'un autre ordre :
- L'entraînement des modèles absorbe des millions de données personnelles sans que celles-ci soient stockées de manière unitaire. Une fois absorbées dans un réseau de neurones, elles sont "dissoutes" dans des milliards de paramètres.
- La réutilisation des données (web scraping, bases open source) soulève la question de la compatibilité des finalités.
- Le droit à l'effacement (article 17 du RGPD) entre en collision frontale avec l'impossibilité technique de "désapprendre" sélectivement une donnée dans un modèle déjà entraîné.
- L'explicabilité des décisions automatisées (article 22) se heurte à l'opacité des modèles de deep learning.
En somme, le RGPD en data science n'est pas un frein : c'est un garde-fou architectural qui oblige à penser la protection des données dès la conception du modèle - et non après.
Processus de mise en conformité RGPD en 5 étapes
Voici la feuille de route méthodologique pour mettre un projet data science en conformité avec le RGPD, de la conception à la mise en production.
Étape 1 - Cartographier les données
Avant toute ligne de code, identifiez l'ensemble des flux de données : sources, typologie (personnelles, sensibles, pseudonymisées), volumes, et durée de conservation. Cette cartographie alimente le registre des activités de traitement, obligatoire pour toute organisation traitant des données personnelles. Un conseil : documentez aussi les données que vous ne collectez pas - cela démontre une démarche de minimisation proactive.
Étape 2 - Déterminer la base légale
Chaque traitement doit reposer sur l'une des six bases légales du RGPD. En data science, trois dominent : le consentement (rarement applicable à grande échelle), l'intérêt légitime (le plus utilisé, mais exigeant une balance bénéfices/risques documentée) et l'exécution d'un contrat. La CNIL recommande de formaliser cette analyse dans un document dédié, surtout lorsque le moissonnage web (web scraping) est utilisé pour constituer les jeux d'entraînement.
Étape 3 - Réaliser une DPIA (Analyse d'Impact sur la Protection des Données)
Obligatoire pour tout traitement à risque élevé, la DPIA est le pivot de la conformité data science. Elle évalue la nécessité et la proportionnalité du traitement, identifie les risques pour les personnes concernées et propose des mesures d'atténuation. La CNIL met à disposition un outil PIA (Privacy Impact Assessment) gratuit en français. Comptez 2 à 4 semaines pour une DPIA complète sur un projet d'envergure.
Étape 4 - Mettre en œuvre les mesures techniques
C'est le cœur de la démarche privacy by design. Concrètement : anonymisation ou pseudonymisation des données d'entraînement, chiffrement au repos et en transit, contrôle d'accès granulaire, journalisation des accès, et limitation des risques de mémorisation (régurgitation de données par le modèle). Les techniques de differential privacy (confidentialité différentielle) sont particulièrement recommandées.
Étape 5 - Assurer un suivi continu
La conformité n'est pas un état, c'est un processus. Mettez en place un audit régulier des modèles, une veille sur les évolutions réglementaires (AI Act, guidelines de l'EDPB), et un mécanisme de réponse aux demandes d'exercice des droits (accès, rectification, opposition, effacement). Désignez un DPO (Data Protection Officer) ou un référent RGPD dédié aux projets data.
Typologie des bases légales applicables à la data science
| Base légale | Applicabilité en data science | Avantages | Limites |
|---|---|---|---|
| Consentement | Adapté pour des traitements spécifiques avec contact direct (ex : app qui collecte les données utilisateur) | le plus protecteur ; facilite l'exercice des droits | Inapplicable à grande échelle ou pour le web scraping ; doit être libre, spécifique, éclairé, univoque |
| Intérêt légitime | Le plus utilisé pour l'entraînement de modèles (privé) | Flexible, pas de consentement à recueillir | Exige une analyse rigoureuse (test de proportionnalité) ; droit d'opposition possible |
| Exécution d'un contrat | Convient aux traitements strictement nécessaires à la fourniture d'un service (ex : scoring de crédit) | Clair, incontestable si bien défini | Périmètre très restreint ; ne couvre pas l'amélioration de modèles ou la R&D |
| Mission d'intérêt public | Réservé aux acteurs publics (ex : PEReN, recherche publique) | Solide juridiquement | Nécessite un texte législatif ou réglementaire clair |
| Obligation légale | Rare en data science ; ex : conservation de données comptables ou KYC | Pas de contestation possible | Très limité en périmètre |
| Intérêts vitaux | Exceptionnel (santé, urgence) | Applicable sans consentement | Quasi-inapplicable en data science classique |
Outils et technologies pour une data science conforme
Anonymisation et pseudonymisation
L'anonymisation est le "Graal" de la conformité : une donnée véritablement anonymisée sort du champ d'application du RGPD. Mais attention : l'anonymisation ne se décrète pas, elle se prouve. La CNIL a récemment rappelé (sanction IQVIA, mai 2026) que la pseudonymisation n'est pas une anonymisation - une confusion qui a coûté 5 millions d'euros à l'entreprise.
Les techniques de référence incluent :
- K-anonymat : garantir que chaque individu est indistinguable d'au moins k-1 autres.
- L-diversité : chaque groupe de k-individus doit présenter au moins l valeurs distinctes pour les attributs sensibles.
- Confidentialité différentille (differential privacy) : ajout de bruit statistique contrôlé, rendant impossible l'inférence de la présence d'un individu.
Privacy-Enhancing Technologies (PETs)
Les PETs sont des technologies qui permettent de traiter des données sans y accéder en clair. Voici les principales solutions disponibles :
| Solution | Type | Tarif indicatif | Usage |
|---|---|---|---|
| OpenDP (open source) | Differential privacy | Gratuit | Bibliothèque Python pour l'analyse statistique confidentielle |
| PySyft / OpenMined | Federated learning + SMPC | Gratuit (open source) | Entraînement décentralisé de modèles sans centraliser les données |
| Sarus | PETs pour SQL / analytics | ~2 000 € à 10 000 € / mois | Requêtes analytiques sur données sensibles avec garanties différentielles |
| Dualité | Secure multiparty computation | Sur devis (15 000 €+ / an) | Collaboration sécurisée multi-parties |
| Antimatter (Google) | Encryption-in-use | Gratuit (inclus dans GCP) | Chiffrement homomorphe pour les données au repos |
Solutions de gestion de la conformité
- Didomi : gestion du consentement (CMP), à partir de 39 €/mois.
- **OneTrust : plateforme complète de gouvernance des données à partir de 4 000€/an
- Dataiku : plateforme data science avec module de gouvernance intégré, à partir de 9 000 €/an.
Cas d'usage concrets par secteur
Retail et e-commerce
Le leader français de la grande distribution Carrefour a déployé un système de recommandation personnalisée basé sur l'historique d'achats de 14 millions de clients. Pour respecter le RGPD, l'entreprise a mis en place une pseudonymisation systématique des identifiants clients et une segmentation par consentement explicite. Résultat : un taux d'acceptation des recommandations en hausse de 23 % et zéro plainte CNIL sur ce périmètre en 2024-2025.
Santé
Le Health Data Hub français illustre parfaitement l'équilibre entre innovation et conformité. Hébergeant les données de santé de 67 millions de Français, la plateforme impose un circuit de validation en 3 étapes : qualification de l'intérêt public, évaluation éthique et scientifique, et sécurisation technique avec chiffrement de bout en bout. En 2025, 47 projets de recherche ont été autorisés, générant 18 publications scientifiques, sans aucune fuite de données.
Finance
BNP Paribas a intégré le RGPD au cœur de son système de détection de fraude, qui traite 350 millions de transactions par an. L'approche combine anonymisation par k-anonymat (k=5) et apprentissage fédéré entre entités du groupe, permettant d'entraîner les modèles sans jamais centraliser les données brutes. Taux de détection de fraude : 94,3 %, avec une réduction de 40 % des faux positifs par rapport au système précédent.
Défis et enjeux critiques
Biais algorithmiques vs RGPD
Le RGPD et la lutte contre les biais algorithmiques partagent un objectif commun : protéger les individus contre les discriminations. L'article 22 du RGPD interdit les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques significatifs. Or, un modèle entraîné sur des données historiques biaisées peut reproduire, voire amplifier, des discriminations - comme l'a tristement illustré l'outil de recrutement d'Amazon, abandonné en 2017 car il pénalisait systématiquement les CV féminins.
La solution passe par l'audit algorithmique : tests de fairness sur sous-groupes protégés, documentation des métriques d'équité retenues, et contrôle humain effectif - pas décoratif.
Le droit à l'explication
Le RGPD impose de fournir aux personnes concernées "des informations utiles concernant la logique sous-jacente" des décisions automatisées. Pour un data scientist, cela signifie qu'il faut pouvoir expliquer pourquoi un modèle a pris telle décision. Les techniques de XAI (eXplainable AI) - SHAP, LIME, contrefactuels - deviennent alors des outils de conformité, pas seulement de debugging.
Le droit à l'effacement face aux modèles entraînés
C'est le défi le plus épineux. Comment effacer les données d'un individu d'un modèle déjà entraîné ? Le machine unlearning est une voie prometteuse mais encore immature. La CNIL adopte une approche pragmatique : elle n'exige pas l'impossible technique, mais attend des responsables de traitement qu'ils démontrent avoir pris toutes les mesures raisonnables pour limiter les risques - filtrage, en sortie, exclusion des futures itérations d'entraînement, documentation des limites.
IA et RGPD : perspectives 2026
L'année 2026 marque un tournant réglementaire majeur avec l'entrée en application complète de l'AI Act européen en août 2026. Ce règlement, le premier cadre juridique complet sur l'IA au monde, adopte une approche par les risques qui complète et renforce le RGPD :
- Les systèmes d'IA utilisés dans le recrutement, le crédit scoring, la santé sont classés "haut risque" et soumis à des obligations strictes : transparence, robustesse, supervision humaine, documentation technique.
- Les modèles de fondation (LLm) comme GPT ou Claude sont soumis à des obligations de transparence sur les données d'entraînement - une convergence directe avec le RGPD.
- L'AI Act interdit certaines pratiques : scoring social, manipulation subliminale, reconnaissance faciale en temps réel dans l'espace public.
Pour les data scientists, la double conformité RGPD + AI Act devient la norme. Mais cette convergence est aussi une opportunité : les entreprises qui adoptent le privacy-preserving ML (federated learning, confidentialité différentielle, SMPC) gagnent un avantage concurrentiel durable. Selon Gartner, d'ici 2027, 60 % des grandes organisations utiliseront au moins une technique de PETs pour leurs projets data - contre moins de 15 % en 2024.
Enfin, le Data Governance Act (DGA) et le Data Act complètent ce paysage en facilitant le partage sécurisé de données tout en renforçant les droits des individus : le concept d'altruisme des données ouvre la voie à des innovations responsables dans la santé et la recherche.
FAQ
Le RGPD empêche-t-il d'entraîner des modèles de machine learning sur des données personnelles
Non. Le RGPD n'interdit pas l'entraînement de modèles sur des données personnelles. Il impose de le faire dans un cadre légal : base légale identifiée (intérêt légitime, consentement, etc.), minimisation des données, transparence envers les personnes concernées, et mesures techniques proportionnées. La CNIL elle-même a publié en juillet 2025 des recommandations détaillées pour accompagner les développeurs de systèmes d'IA dans leur mise en conformité.
Quelle est la différence entre anonymisation et pseudonymisation ?
L'anonymisation est irréversible : une fois les données anonymisées, il est impossible de remonter à l'individu - elles sortent du champ du RGPD. La CNIL a sanctionné IQVIA de 5 millions d'euros en mai 2026 pour avoir confondu les deux notions.
Puis-je faire du web scraping pour constituer mon jeu d'entraînement ?
Oui, sous conditions. La CNIL autorise le moissonnage de données publiquement accessibles sur la base de l'intérêt légitime, à condition de : respecter les fichiers robots.txt et les protections techniques (CAPTCHA), exclure les données manifestement sensibles, informer largement les personnes concernées, et prévoir un droit d'opposition effectif.
Comment gérer une demande d'effacement si mes données sont déjà dans un modèle entraîné ?
La solution actuelle est pragmatique : supprimez les données sources de votre base d'entraînement, excluez-les des futures itérations, mettez en place des filtres en sortie pour limiter les risques de régurgitation, et documentez l'ensemble de vos mesures. Le machine unlearning progresse mais n'est pas encore une solution industrialisée.
L'AI Act remplace-t-il le RGPD pour les projets data ?
Non. Les deux règlements se complètent. Le RGPD protège les données personnelles, l'AI Act encadre les systèmes d'IA selon leur niveau de risque. Un projet de data science utilisant des données personnelles doit respecter les deux cadres simultanément. La bonne nouvelle : les deux textes partagent des principes communs (transparence, documentation, supervision humaine) qui facilitent une conformité conjointe.
Conclusion
Concilier RGPD et data science n'est pas une équation impossible : c'est une discipline d'ingénierie qui s'apprend et se systématise. Les organisations qui intègrent la protection des données dès la conception de leurs modèles - plutôt que de la traiter comme une formalité administrative - en retirent un double bénéfice : une conformité robuste et une confiance accrue des utilisateurs, devenue un avantage concurrentiel tangible. En 2026, avec l'entrée en vigueur de l'AI Act, la privacy by design n'est plus une option : c'est le socle de toute data science responsable. L'innovation n'a pas besoin de contourner les règles - elle a besoin de les comprendre pour les transformer en atouts.