Le CEPD veut qu'on horodate les données collectées pour entraîner l'IA : ce que dit le projet de lignes directrices

L'horodatage sortait rarement du champ de la preuve d'antériorité. Le 8 juillet 2026, il est apparu là où on ne l'attendait pas : dans un projet de lignes directrices du Comité européen de la protection des données (CEPD) consacré au moissonnage de données pour l'intelligence artificielle générative. Le régulateur y recommande, noir sur blanc, d'enregistrer l'horodatage des données collectées avant de s'en servir pour entraîner un modèle.

Le signal est intéressant, mais il faut le lire avec prudence. Ce texte n'est pas définitif : c'est un projet, ouvert à consultation publique. Voici ce qu'il dit, ce qu'il ne dit pas, et pourquoi la traçabilité datée devient un sujet au-delà des seuls créateurs.

Ce que recommande le projet du CEPD

Dans le volet consacré au web scraping, le CEPD aborde la manière dont les données personnelles collectées sur le web peuvent être traitées de façon licite pour l'IA générative. Parmi les mesures avancées, une phrase retient l'attention pour notre sujet.

Selon la synthèse relayée par la CNIL, le CEPD recommande d'extraire les données uniquement à partir de sources fiables, d'en enregistrer l'horodatage et de les valider avant utilisation. L'objectif affiché : garantir le respect du principe d'exactitude.

Ce principe n'est pas nouveau. Il figure à l'article 5.1.d du RGPD : les données personnelles doivent être « exactes et, si nécessaire, tenues à jour ». Ce que le projet ajoute, c'est une méthode : dater la collecte pour pouvoir démontrer, plus tard, l'état d'une donnée au moment où elle est entrée dans le jeu d'entraînement.

Pourquoi dater une donnée collectée change quelque chose

Une donnée moissonnée sur le web n'est pas figée. Une page évolue, une information devient obsolète, un contenu est corrigé ou supprimé. Sans repère temporel, impossible de savoir à quoi ressemblait la donnée au moment de sa capture.

Enregistrer un horodatage répond à trois besoins concrets :

• Tracer l'origine : à quelle date, depuis quelle source, la donnée a-t-elle été extraite ?
• Documenter l'état : la donnée utilisée pour l'entraînement correspondait à telle version, à telle date.
• Répondre à une contestation : si l'exactitude, la fraîcheur ou la licéité d'une donnée est mise en cause, un horodatage vérifiable objective ce qui a été utilisé.

Ce que ça prouve, ce que ça ne prouve pas

Il serait faux de conclure qu'« horodater ses données rend un traitement IA conforme ». L'horodatage est un maillon de traçabilité, pas une conformité en soi.

Le projet du CEPD rappelle d'ailleurs que le traitement de catégories particulières de données (données sensibles au sens de l'article 9 du RGPD) est en principe interdit, sans exemption générale : dater une collecte ne lève évidemment pas cette interdiction. De même, la licéité d'un moissonnage suppose une base légale, le respect de la minimisation et l'information des personnes.

Autrement dit, l'horodatage documente le quand et le quoi. Il ne règle ni le pourquoi (la finalité), ni le droit (la base légale). C'est une brique probatoire utile, à condition de ne pas lui faire dire plus qu'elle ne dit.

Un réflexe qui dépasse l'IA

Au-delà des équipes qui entraînent des modèles, cette orientation illustre une tendance de fond : documenter la date et l'intégrité d'une donnée au moment où elle entre dans un processus devient un réflexe de conformité et de traçabilité.

Une entreprise qui constitue un dossier de preuve, un service qui archive des livrables, une organisation qui doit démontrer ce qu'elle détenait à un instant donné : tous ont intérêt à figer une empreinte datée plutôt qu'à s'en remettre à une mémoire approximative. Le projet du CEPD ne fait qu'appliquer à l'IA une logique déjà éprouvée ailleurs.

Et LegalStamp dans tout ça ?

LegalStamp produit exactement ce type de repère : une empreinte SHA-256 calculée localement, ancrée sur la blockchain Bitcoin via OpenTimestamps, et un reçu vérifiable indépendamment. Le fichier ne quitte jamais votre machine ; seule l'empreinte est publiée.

Pour une équipe data ou un responsable de traitement, cela permet de figer l'état d'un jeu de données, d'un journal de collecte ou d'un lot de fichiers à une date précise, sans dépendre d'un tiers pour la vérification ultérieure. L'horodatage ne remplace pas la gouvernance des données ; il lui ajoute une preuve temporelle solide.

LegalStamp reste un service d'horodatage non qualifié au sens d'eIDAS : la valeur probatoire du reçu s'apprécie au cas par cas, dans le cadre de la liberté de la preuve.

Conclusion

Le projet de lignes directrices du CEPD envoie un signal clair : l'horodatage n'est plus réservé à la propriété intellectuelle, il s'invite dans la traçabilité de la donnée elle-même. Mais tant que le texte reste en consultation jusqu'au 30 octobre 2026, il faut le traiter comme une orientation, pas comme une règle établie.

La bonne posture est double : anticiper la bonne pratique (dater et valider ses données en amont) tout en gardant à l'esprit que l'horodatage documente, sans dispenser d'une conformité complète.

FAQ

Disclaimer : cet article est fourni à titre informatif et pédagogique. Il ne constitue pas un avis juridique et commente un projet de texte en cours de consultation, susceptible d'évoluer. Pour la conformité d'un traitement de données ou d'un projet d'IA, faites valider votre stratégie par un professionnel du droit ou votre délégué à la protection des données.