Le 7 juillet 2026, l’Europe a posé de nouvelles règles sur vos prompts

Le 7 juillet dernier, le Comité Européen de la Protection des Données a adopté ses lignes directrices sur l’anonymisation et sur le moissonnage de données dans le contexte de l’IA générative. Le moissonnage, cette pratique qui consiste à collecter massivement des données sur le web pour entraîner ou alimenter des modèles, entre ainsi dans un cadre plus précis, un an après que la CNIL a publié ses premières recommandations sur l’application du RGPD aux systèmes d’IA, le 22 juillet 2025.

Pour les entreprises et les salariés qui utilisent quotidiennement des outils comme ChatGPT, Gemini ou Copilot, ce texte technique a des implications très concrètes. Chaque prompt contenant des données personnelles, un nom de client, une adresse email, un extrait de dossier RH, constitue un traitement de données au sens du RGPD. Et selon les recommandations de la CNIL, l’utilisation d’un service grand public pour manipuler des données sensibles ou stratégiques n’est pas conseillée sans garanties particulières, la CNIL orientant plutôt vers des solutions hébergées en interne dès que la confidentialité est en jeu.

Un flou qui commence à se dissiper

La difficulté, jusqu’ici, tenait à l’incertitude sur la manière dont le RGPD s’articule avec les modèles de langage eux-mêmes. Un modèle entraîné sur des milliards de textes peut-il être considéré comme contenant des données personnelles au sens légal, même sans jamais les restituer telles quelles ? Le CEPD avait déjà fourni des critères sur cette question l’an dernier. Les lignes directrices du 7 juillet précisent désormais comment appliquer le principe de minimisation au moment même de la collecte, avant l’entraînement, ce qui rejoint directement la logique attendue de tout utilisateur professionnel : ne transmettre à un outil que le strict nécessaire pour obtenir la réponse recherchée.

Ce cadrage juridique intervient alors qu’un autre sujet de fond gagne en visibilité dans le débat public : le coût environnemental de chaque requête. À l’échelle mondiale, la consommation électrique des centres de données liés à l’IA pourrait dépasser 1 000 térawattheures en 2026, contre 460 en 2022 selon les projections reprises par plusieurs analyses du secteur. Une conversation moyenne avec un assistant conversationnel mobiliserait par ailleurs l’équivalent d’un demi-litre d’eau pour le refroidissement des serveurs.

Sobriété numérique et conformité, un même réflexe

Ces deux sujets, protection des données et empreinte écologique, sont souvent traités séparément dans les entreprises. Ils relèvent pourtant du même changement de posture. Formuler un prompt précis, sans donnée personnelle superflue et sans relance inutile, réduit à la fois le risque juridique et le nombre de calculs mobilisés côté serveur. Choisir le bon outil pour le bon usage, un modèle léger pour une tâche simple plutôt qu’un modèle généraliste surdimensionné, relève de la même logique de sobriété que la minimisation des données prônée par le RGPD.

Cette double exigence, technique et éthique, est précisément ce que couvre la formation Utilisez l’IA générative de manière responsable et durable, qui articule les fondamentaux du RGPD appliqués aux prompts, les bonnes pratiques de sobriété numérique et le repérage des biais ou hallucinations produits par les modèles. Le programme consacre aussi un temps spécifique aux droits d’auteur, un sujet que le flou du CEPD sur le moissonnage de données rend d’autant plus actuel : une bonne partie des contenus utilisés pour entraîner les modèles proviennent d’œuvres protégées, sans que leur statut juridique soit toujours clarifié.

Reste que ce cadre européen continue de se construire pièce par pièce, entre lignes directrices du CEPD, recommandations nationales de la CNIL et obligations à venir de l’AI Act. Aucune de ces sources ne fournit encore de réponse définitive sur tous les cas d’usage. Pour les équipes qui manipulent l’IA générative au quotidien, la meilleure protection reste donc la même qu’en matière de sobriété énergétique : comprendre les mécanismes en jeu avant de s’en remettre à l’outil, plutôt que de découvrir les limites une fois l’incident survenu.