Le moissonnage de données (web scraping) est l'extraction automatisée, par des programmes informatiques, de vastes quantités de données accessibles sur le Web. Le 9 novembre 2026, la Commission d'accès à l'information du Québec (CAI) a publié un communiqué qui rappelle que cette pratique sert notamment à entraîner les modèles d'intelligence artificielle (IA) les plus avancés. Elle demande au législateur de la définir et de l'encadrer explicitement, au moment où le nouveau gouvernement du Québec fixe ses priorités législatives.
Que demande la CAI le 9 novembre 2026 ?
Le communiqué renvoie à la section 2.1.4 du rapport quinquennal 2026 de la CAI, déposé en juin 2026. Cette section aboutit à la recommandation 38 : « Modifier les lois sur la protection des renseignements personnels de manière à définir et à encadrer le moissonnage de renseignements personnels. »
La CAI y pose trois constats :
- le moissonnage de renseignements personnels est incompatible, à plusieurs égards, avec les lois qui les protègent ;
- il expose les personnes concernées à des risques de préjudices importants ;
- certaines entreprises entretiennent une conception erronée de la notion de « renseignement à caractère public ».
Le communiqué s'inscrit dans une série : le 3 novembre 2026, la CAI avait déjà relancé sa recommandation sur le courtage en données, autre chapitre du même rapport. Notre analyse du rapport quinquennal 2026 en présente l'ensemble.
Pourquoi le moissonnage est-il central pour l'IA ?
Les grands modèles de langage exigent des volumes de données que les corpus ouverts, comme Common Crawl ou LAION, ne suffisent plus à fournir, selon la CAI. Les développeurs se tournent donc vers la transcription de vidéos, des livres protégés ou les données de leurs propres utilisateurs.
Le rapport cite deux indicateurs. Le marché des logiciels de moissonnage dépassait un demi-milliard de dollars en 2023, avec une croissance attendue de 13 % sur 12 ans. Depuis 2025, plus de la moitié du trafic Web mondial serait attribuable à des programmes automatisés.
La CAI rappelle aussi son expérience concrète. Elle a mené des enquêtes conjointes sur Clearview AI et sur OpenAI avec ses homologues fédéral, albertain et britanno-colombien. Le 23 septembre 2026, la Cour du Québec a d'ailleurs confirmé son ordonnance contre Clearview AI, une entreprise qui avait moissonné des milliards d'images de visages.
Un renseignement en ligne est-il « public » au sens de la loi ?
Non. Selon la CAI, aucune loi québécoise ne rend un renseignement personnel public du simple fait qu'il est diffusé sur Internet. La Loi sur la protection des renseignements personnels dans le secteur privé (article 1) réserve ce statut aux renseignements qu'une loi qualifie expressément de publics, comme ceux du registre foncier. Même alors, ils ne peuvent servir qu'aux fins pour lesquelles ils sont publics.
Le droit actuel impose déjà des obligations aux moissonneurs : un intérêt sérieux et légitime (article 4), la limitation aux renseignements nécessaires (article 5) et, sauf exceptions, le consentement pour une collecte auprès de tiers (article 6). Les organisations qui diffusent des renseignements doivent, elles, prendre des mesures raisonnables contre le moissonnage non autorisé (article 10).
Quelles options la CAI propose-t-elle au législateur ?
La CAI ne réclame pas une interdiction générale. Elle reconnaît que le moissonnage peut servir des fins légitimes, voire d'intérêt public, comme la recherche ou le journalisme. Elle avance deux avenues :
- Des pratiques interdites : bannir les usages les plus problématiques, sur le modèle de l'article 5(1)(e) du Règlement européen sur l'IA, qui interdit les bases de reconnaissance faciale constituées par moissonnage non ciblé d'images.
- Un critère d'intérêt public : n'autoriser le moissonnage de renseignements personnels que pour des fins d'intérêt public, avec des balises, en plus de l'intérêt sérieux et légitime exigé des entreprises.
Elle propose aussi que les organismes publics qui comptent moissonner des renseignements personnels en avisent la Commission.
Que peuvent faire les organisations dès maintenant ?
Sans attendre une modification législative, trois profils sont concernés :
- Les sites qui publient des renseignements personnels : limitation du débit par adresse IP, détection des robots, protocoles d'exclusion, conditions d'utilisation interdisant l'extraction. Ces mesures reprennent la déclaration commune de 2023 des autorités de protection des données, que le Commissariat à la protection de la vie privée du Canada (CPVP) a cosignée.
- Les organisations qui entraînent ou ajustent des modèles : documenter la provenance des données, filtrer les catégories de renseignements, supprimer ceux qui ne sont pas nécessaires et respecter les sites qui refusent l'extraction, comme le recommande aussi la Commission nationale de l'informatique et des libertés (CNIL) en France.
- Les acheteurs de solutions d'IA : exiger contractuellement du fournisseur qu'il démontre la légalité de ses données d'entraînement.
Questions fréquentes
Le moissonnage est-il interdit au Québec ?
Non, aucune loi québécoise ne l'interdit expressément en novembre 2026. La CAI estime toutefois que plusieurs opérations de moissonnage ne passent pas le test de nécessité prévu par la Loi 25, indépendamment de la légitimité de leurs fins. Une collecte involontaire de renseignements personnels contrevient elle aussi à ce principe et exige des mesures correctives.
La recommandation 38 a-t-elle force de loi ?
Non. Le rapport quinquennal est un document consultatif remis à l'Assemblée nationale. Seul le législateur peut modifier la Loi sur le secteur privé ou la Loi sur l'accès. La relance publique de la CAI vise à inscrire le sujet parmi les priorités du gouvernement formé en octobre 2026, qui compte un ministère de l'IA et du Numérique.
Une entreprise étrangère qui moissonne des données de Québécois est-elle visée ?
Oui. Dans l'affaire Clearview AI, la Cour du Québec a jugé en septembre 2026 qu'un lien réel et substantiel avec le Québec suffit à appliquer les lois québécoises, même sans bureau ni client dans la province. Une entreprise d'IA qui collecte des renseignements de résidents québécois s'expose donc à une ordonnance de la CAI.
Le fichier robots.txt suffit-il à protéger un site ?
Non, il ne lie pas juridiquement les robots et ne constitue qu'une mesure parmi d'autres. La déclaration commune des autorités de protection des données recommande de le combiner à la limitation du débit, à la détection des robots, à des conditions d'utilisation explicites et à une équipe dédiée à la surveillance des extractions.
Sources
- Moissonnage de données : mieux encadrer pour protéger la vie privée (CAI, 9 novembre 2026)
- Transparence et vie privée : protéger la démocratie à l'ère numérique, rapport quinquennal 2026, section 2.1.4 (CAI)
- Courtage en données : pour un encadrement législatif renforcé (CAI, 3 novembre 2026)
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1 (LégisQuébec)
- Déclaration commune sur l'extraction de données et la protection des renseignements personnels (CPVP, 24 août 2023)
- Règlement (UE) 2024/1689 sur l'intelligence artificielle (EUR-Lex)
- Fiche focus : collecte des données par moissonnage (CNIL, 19 juin 2025)
