Un site d'actualité automatisé traite des données personnelles dès qu'il mentionne un nom propre. Le RGPD encadre ces traitements, et le règlement européen sur l'IA (AI Act) ajoute des obligations spécifiques depuis 2024. Voici le cadre opérationnel pour un média qui utilise une chaîne IA, avec les obligations qui s'imposent et les exemptions dont vous pouvez bénéficier.
Les trois zones de traitement
Un média automatisé manipule des données personnelles dans trois zones distinctes, chacune avec son régime juridique propre.
La première zone : les sources d'entrée. Un flux RSS d'agence de presse contient des noms propres (politiques, personnalités, victimes, condamnés, témoins). Ces données sont traitées dès l'ingestion par votre crawler, même si vous ne publiez rien. La conservation des sources brutes en base déclenche le régime du traitement.
La deuxième zone : la base interne de votre média. Abonnés à la newsletter, commentateurs, profils utilisateurs si vous avez un espace membre, journal d'audit qui trace l'opérateur de chaque article. Données structurées classiques, encadrées par le RGPD standard sans exemption.
La troisième zone : les articles publiés eux-mêmes. Chaque article citant une personne nommée crée un traitement permanent et public, accessible aux moteurs de recherche, indexé, archivé. C'est la zone la plus visible et la plus sensible juridiquement.
Chaque zone exige une réponse distincte : politique de purge pour la zone 1, politique de consentement et d'accès pour la zone 2, politique éditoriale et d'effacement pour la zone 3.
L'article 85 et l'exemption journalistique
La loi française reprend l'article 85 du RGPD : un traitement à des fins journalistiques bénéficie d'exemptions par rapport au régime général. Vous n'avez pas à demander le consentement de chaque personne mentionnée, ni à supprimer leur nom sur simple demande, ni à informer préalablement chaque personne qui apparaîtra dans un article.
Mais l'exemption n'est ni totale ni automatique. La CNIL précise trois conditions cumulatives : finalité journalistique authentique (pas marketing), proportionnalité du traitement (pas plus de données que nécessaire), et conformité aux règles déontologiques de la profession.
Pour un site IA, la finalité journalistique se prouve par quatre éléments concrets : ligne éditoriale publique sur une page « politique éditoriale », processus de vérification documenté (étape QA, audit), correction des erreurs sur signalement, et directeur de publication identifié conformément à la loi du 29 juillet 1881. delapresse facilite chacun de ces points (cf. article 85 LIL et IA).
Le journal d'audit obligatoire
Le RGPD impose un registre des traitements (article 30). Pour un média IA, le registre doit lister : les sources ingérées (URL des flux RSS et sites scrapés), les modèles IA utilisés avec leur version exacte, les transferts éventuels hors UE, les sous-traitants (Supabase, Anthropic, OpenAI, Google, Resend, Brevo, etc.).
delapresse maintient ce registre techniquement : chaque article garde en base la trace complète de sa chaîne (source URL, source intégrale, modèle de réécriture, prompt système complet, output, opérateur, horodatage). La sortie de ce registre est exportable en CSV pour répondre à une demande d'autorité dans un délai de quelques heures.
Pour la transparence vis-à-vis des sous-traitants, listez-les sur la page /trust ou équivalente. delapresse publie sa propre liste sur delapresse.fr/trust et delapresse.fr/securite, avec pour chaque sous-traitant : pays d'établissement, finalité, données concernées, base légale, lien vers le DPA. La mise à jour de cette liste est notifiée aux clients par email per les clauses DPA.
Le droit à l'effacement et l'actualité
Le droit à l'effacement (article 17) est contrebalancé par le droit à l'information. Une personne ne peut pas exiger la suppression d'un article qui la mentionne légitimement dans le cadre d'une actualité. La CNIL et la jurisprudence française protègent les médias, à condition que la finalité journalistique soit démontrable.
En pratique, traitez chaque demande individuellement. Si l'actualité reste pertinente (procès en cours, mandat politique, événement public en développement), refusez avec motivation explicite référençant l'article 85 LIL. Si la mention est devenue anachronique (article ancien sur une condamnation prescrite, sujet qui ne fait plus l'actualité), envisagez la désindexation (noindex sur la page concernée) plutôt que la suppression.
Le droit à l'oubli numérique français protège particulièrement les personnes condamnées après expiration du délai légal (5 à 20 ans selon la peine). Pour ces cas, la désindexation est généralement obligatoire si la personne le demande, même si l'article reste accessible directement par URL.
Les transferts hors UE
Les modèles IA (Anthropic, OpenAI, Google) opèrent partiellement aux États-Unis. Cela constitue un transfert de données personnelles hors UE dès qu'un nom propre figure dans la source envoyée au modèle. Sous l'arrêt Schrems II, ce transfert exige des Clauses Contractuelles Types (CCT) et des mesures techniques supplémentaires.
En pratique, les fournisseurs IA majeurs ont mis à jour leurs CCT en 2023-2024. Anthropic, OpenAI et Google proposent des contrats RGPD-conformes avec données chiffrées en transit et au repos, sans rétention au-delà de la requête (zéro retention sur les inputs et outputs API). delapresse signe ces contrats avec ses sous-traitants ; vous bénéficiez par cascade. Pour un audit interne ou un audit DPO, demandez la preuve écrite à delapresse via le support.
Pour les éditeurs sensibles à la souveraineté, Mistral Large offre un modèle entièrement hébergé en EU sur infrastructure Scaleway ou OVH. C'est l'option zéro-transfert, dont le coût est comparable à Sonnet (comparatif détaillé).
L'AI Act et les transparences
Le règlement européen sur l'IA, en application progressive depuis 2025, impose la transparence sur l'usage de l'IA dans la production éditoriale. Pour un site presse, cela signifie : mention publique que les articles sont rédigés ou assistés par IA, et possibilité pour le lecteur de demander des précisions sur les modèles utilisés.
La forme exacte de la mention est libre. Une note en pied d'article (« Cet article a été rédigé avec l'assistance d'une intelligence artificielle. Voir notre politique éditoriale. ») ou une page « Comment nous produisons nos contenus » accessible depuis le footer suffit, à condition d'être claire et accessible en deux clics maximum depuis n'importe quelle page du site.
L'AI Act ajoute aussi une obligation de classification des systèmes IA. Les systèmes de génération de contenu éditorial massif relèvent du « risque limité » (article 50), qui exige précisément la transparence sans aller jusqu'aux audits préalables des systèmes « à haut risque ».
Les données sensibles
Le RGPD impose des protections renforcées pour les données sensibles (article 9) : santé, opinion politique, orientation sexuelle, origine ethnique, données génétiques, données biométriques. L'exemption journalistique ne supprime pas ces protections, elle les atténue uniquement quand la finalité éditoriale est démontrée.
Pour un pipeline IA, deux mesures techniques : configurez votre modèle pour signaler tout traitement de ces catégories pour relecture humaine systématique, et excluez automatiquement les données biométriques et génétiques qui n'ont presque jamais de justification journalistique légitime.
Le rôle du DPO
Pour un site automatisé, désigner un référent RGPD (DPO formel si vous traitez régulièrement des données sensibles, ou simple référent sinon) est fortement recommandé. Ses missions : tenir le registre des traitements à jour, répondre aux demandes RGPD individuelles dans les délais légaux (un mois, prolongeable à trois pour les demandes complexes), coordonner avec votre fournisseur (delapresse) en cas d'audit.
delapresse fournit aux DPO de ses clients un accès direct au journal d'audit et à la documentation des sous-traitants, sur demande validée par le directeur de publication.
En pratique
Trois actions immédiates. Premièrement, publiez une page « Politique éditoriale » qui explique votre usage de l'IA, votre processus de vérification, et vos sous-traitants principaux. Deuxièmement, vérifiez que votre fournisseur expose un journal d'audit complet et exportable. Troisièmement, désignez un référent (DPO ou équivalent) qui traite les demandes RGPD dans les délais. Lisez l'article 85 LIL et l'IA, l'hébergement européen vs américain, et les hallucinations IA.