Vos publications sur Facebook ou Instagram peuvent servir à entraîner les systèmes d’intelligence artificielle de Meta. Le groupe l’a annoncé lui-même : les contenus publics partagés par les adultes en Europe et les échanges avec son assistant conversationnel alimentent ses modèles. Face à ce traitement, le droit européen ne vous laisse pas sans moyen d’action. Vous pouvez vous opposer à l’utilisation de vos données, en exiger l’effacement, saisir la Commission nationale de l’informatique et des libertés (CNIL) et porter l’affaire devant le juge pour obtenir réparation. Cet article décrit le dispositif annoncé, le fondement juridique qui l’encadre et la méthode complète pour exercer vos droits, preuves à l’appui.

I. Vos publications peuvent servir à entraîner une intelligence artificielle : le dispositif et son fondement

A. Ce que Meta annonce pour l’Europe et ce que la CNIL en dit

En avril 2025, Meta a annoncé sur sa page officielle qu’elle allait entraîner ses modèles d’intelligence artificielle, dans l’Union européenne, sur les interactions des utilisateurs avec ses fonctions d’IA ainsi que sur les contenus publics partagés par les adultes sur ses produits, tout en ouvrant aux personnes situées dans l’Union la possibilité de s’opposer à l’utilisation de leurs données publiques à cette fin. La CNIL, qui suit ce dossier avec l’autorité irlandaise, reprend l’essentiel de ce dispositif dans sa page du 27 mai 2025 (IA : Meta entraînera ses systèmes d’IA avec les données des utilisateurs européens dès fin mai 2025) : le groupe n’utilise pas le contenu des messages privés échangés avec les proches, sauf lorsque l’utilisateur choisit de les partager avec ses fonctions d’IA, et les données publiques des comptes des mineurs ne sont pas utilisées pour l’entraînement.

Ce projet avait déjà été annoncé en 2024, puis suspendu après des échanges avec l’autorité irlandaise de protection des données, la Data Protection Commission (DPC), notamment sur la base juridique et la transparence du traitement. La CNIL, dans une page consacrée au sujet le 27 mai 2025 (IA : Meta entraînera ses systèmes d’IA avec les données des utilisateurs européens dès fin mai 2025), rappelle que Meta, dont le siège européen se trouve en Irlande, relève de la compétence de la DPC, qui échange régulièrement avec la CNIL et ses homologues. Selon la CNIL, le traitement concerne, à partir de fin mai 2025, les données de tous les utilisateurs européens adultes de Facebook et d’Instagram, anciennes comme futures : les contenus des publications publiques (textes, photos, commentaires) et les données issues des interactions avec les services d’IA, quel que soit l’âge de l’utilisateur pour ce second ensemble. La CNIL précise que les utilisateurs reçoivent une notification dans l’application ou par courriel, avec un lien vers un formulaire d’opposition à remplir sans justification, et que l’opposition formée pour un compte relié au même centre de comptes vaut pour l’ensemble de ces comptes. Point important relevé par la CNIL : l’opposition ne s’applique qu’aux contenus que vous avez publiés vous-même. Si un autre utilisateur publie une photo ou un texte qui vous concerne, votre formulaire ne couvre pas cette publication. Pour les données que vous n’avez ni publiées ni fournies directement, un formulaire d’opposition distinct reste accessible sans connexion, y compris aux personnes qui n’utilisent pas les produits du groupe. La CNIL ajoute que les autorités européennes examinent la légalité de ces pratiques, le caractère effectif du droit d’opposition et la compatibilité entre les finalités d’origine des traitements et cette nouvelle utilisation, et que les discussions avec la DPC se poursuivent.

Concrètement, deux situations doivent être distinguées. La première vise vos propres contenus publics : vos publications, vos photos visibles de tous, vos commentaires publics. La seconde vise les données qui vous concernent sans que vous les ayez publiées : une photo de vous mise en ligne par un proche, un commentaire d’un tiers qui cite votre nom, des contenus moissonnés sur d’autres sites. Dans le premier cas, le formulaire d’opposition du réseau social suffit en principe. Dans le second cas, il faut combiner l’opposition auprès de l’auteur de la publication, une demande au responsable du traitement qui exploite vos données et, si nécessaire, une plainte devant l’autorité de contrôle. Cette distinction commande toute la suite de la démarche.

B. L’intérêt légitime à l’épreuve du triple test : nécessité, information et mise en balance

Tout traitement de données personnelles doit reposer sur l’une des bases légales prévues par le règlement (UE) 2016/679, dit règlement général sur la protection des données. Pour l’entraînement des modèles d’intelligence artificielle, les acteurs invoquent le plus souvent l’intérêt légitime : le traitement doit alors être nécessaire à la finalité poursuivie, à moins que les intérêts et les droits fondamentaux de la personne, en particulier s’il s’agit d’un enfant, ne prévalent. Cette base n’est donc ni automatique ni illimitée : elle suppose une démonstration, au cas par cas, que le traitement est justifié.

Le Comité européen de la protection des données a précisé la méthode dans son avis 28/2024 du 17 décembre 2024 sur les aspects de la protection des données liés aux modèles d’intelligence artificielle, présenté par la CNIL (Modèles d’IA et RGPD : le CEPD publie son avis pour une IA responsable). L’avis retient un test en trois étapes : déterminer l’intérêt légitime poursuivi, contrôler la nécessité du traitement pour atteindre cet intérêt, puis vérifier que cet intérêt n’est pas primé par les droits et libertés des personnes. Sur la première étape, l’intérêt doit être licite, exposé de façon claire et précise, réel et actuel, et non hypothétique. Sur la deuxième, il faut examiner si le traitement permet effectivement de poursuivre l’intérêt invoqué et s’il n’existe pas de moyen moins intrusif, en prêtant attention au volume de données et au principe de minimisation. Sur la troisième, la mise en balance tient compte de la nature des données, du contexte, des conséquences possibles pour les personnes et de leurs attentes raisonnables, y compris le fait que les données aient été rendues publiques et les paramètres de confidentialité offerts. Le Comité ajoute qu’un modèle entraîné à partir de données personnelles ne saurait être tenu pour anonyme par principe, l’appréciation se faisant au cas par cas. La CNIL, dans ses recommandations du 19 juin 2025 sur la mobilisation de l’intérêt légitime pour développer les systèmes d’intelligence artificielle (Développement des systèmes d’IA : la CNIL publie ses recommandations sur l’intérêt légitime), suit la même ligne et précise les conditions du recours à cette base, y compris en cas de moissonnage de données en ligne.

La Cour de justice de l’Union européenne a fixé un cadre strict pour l’intérêt légitime des grandes plateformes. Dans son arrêt du 4 juillet 2023, Meta Platforms e.a. contre Bundeskartellamt (affaire C-252/21, texte sur CURIA), la Cour dit pour droit qu’un traitement consistant à collecter des données issues d’autres services du groupe ou de la consultation de sites et d’applications tiers, à les relier au compte du réseau social et à les exploiter, ne peut, selon la Cour, être regardé comme nécessaire aux fins d’un intérêt légitime que si l’opérateur a indiqué cet intérêt aux utilisateurs, si le traitement reste dans les limites du strict nécessaire et si la pesée des intérêts ne fait pas prévaloir les droits fondamentaux des utilisateurs. Trois exigences en résultent : un intérêt légitime annoncé aux utilisateurs, un traitement limité au strict nécessaire et une balance qui ne fait pas prévaloir les droits des personnes. La Cour ajoute que le seul fait de consulter des pages en rapport avec des catégories sensibles de données ne signifie pas que l’utilisateur a rendu ces données manifestement publiques, et qu’un paramétrage qui rend des données accessibles à un nombre illimité de personnes ne vaut divulgation publique que si l’utilisateur l’a choisi explicitement, en toute connaissance de cause.

En droit interne, la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés complète le règlement européen. Son article 48 dispose : « Le droit à l’information s’exerce dans les conditions prévues aux articles 12 à 14 du règlement (UE) 2016/679 du 27 avril 2016. » (article 48 de la loi). À ces exigences s’ajoute donc l’obligation d’informer, y compris lorsque les données n’ont pas été collectées directement auprès de vous. Lorsque les données n’ont pas été collectées directement auprès de vous, l’article 14 du RGPD impose au responsable du traitement de vous fournir son identité et ses coordonnées, les finalités et la base juridique, les catégories de données, vos droits d’accès, de rectification, d’effacement, de limitation et d’opposition, ainsi que, lorsque le traitement est fondé sur l’intérêt légitime, les intérêts poursuivis. La CNIL, dans sa fiche consacrée à l’exercice des droits dans le contexte de l’intelligence artificielle (IA : Respecter et faciliter l’exercice des droits des personnes concernées), souligne que l’exercice des droits sur une base d’entraînement soulève des questions comparables aux autres grandes bases de données, tandis que l’exercice de ces droits sur le modèle lui-même présente des difficultés propres. Elle recommande aux organismes d’indiquer clairement aux personnes comment ils interprètent leur demande, selon qu’elle vise les données d’apprentissage ou le modèle, et comment ils y répondent. Lorsque le réentraînement du modèle n’est pas possible ou serait disproportionné, elle recommande des mesures de substitution, comme des filtres qui limitent les sorties du système, et invite en priorité les fournisseurs à anonymiser les données d’entraînement ou à s’assurer que le modèle est anonyme à l’issue de son développement.

II. S’opposer, faire effacer, faire sanctionner : la méthode complète

A. Opposition et effacement, pas à pas, et preuves à conserver

Le droit d’opposition est l’outil le plus direct. Le droit d’opposition permet de refuser à tout moment, pour des raisons tenant à votre situation particulière, un traitement fondé sur l’intérêt légitime. Dès que vous vous opposez, la charge de justifier la poursuite du traitement pèse sur l’organisme, qui doit établir des motifs légitimes et impérieux. En droit français, l’article 56 de la loi du 6 janvier 1978 dispose : « Le droit d’opposition s’exerce dans les conditions prévues à l’article 21 du règlement (UE) 2016/679 du 27 avril 2016. » (article 56 de la loi). Ce droit doit être porté explicitement à votre attention, de façon claire et séparée de toute autre information, au plus tard lors de la première communication avec vous.

En pratique, commencez par restreindre la visibilité de vos contenus : passez vos publications en audience restreinte et vérifiez vos paramètres de confidentialité, car les traitements d’entraînement visent les contenus publics. Remplissez ensuite le formulaire d’opposition prévu pour votre compte, sans avoir à justifier votre demande, et répétez l’opération pour chaque compte non relié au même centre de comptes. Si vous n’utilisez pas les services concernés mais que vos données y circulent par l’intermédiaire d’autrui, utilisez le formulaire accessible sans connexion. Conservez chaque preuve : captures d’écran datées du formulaire envoyé et de son accusé de réception, copie des notifications reçues, relevés de vos paramètres de confidentialité avant et après modification, liste des contenus concernés. La CNIL précise que le responsable doit répondre à une demande d’exercice de droit le plus rapidement possible, et au plus tard dans le délai d’un mois. L’article 51 de la loi du 6 janvier 1978 le confirme : « En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation » (article 51 de la loi). Si aucune réponse ne parvient dans ce délai, ou si la réponse est un refus insuffisamment motivé, l’absence de réponse constitue déjà un premier grief à faire valoir devant l’autorité de contrôle.

Le droit à l’effacement complète l’opposition. Le droit à l’effacement permet d’obtenir du responsable, dans les meilleurs délais, la suppression des données qui vous concernent lorsque l’un des motifs prévus s’applique, par exemple quand elles ne sont plus nécessaires au regard de leur finalité. Ce droit connaît des limites, notamment quand le traitement reste nécessaire à l’exercice de la liberté d’expression et d’information. En droit français, l’article 51 de la loi du 6 janvier 1978 dispose : « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016. » (article 51 de la loi). Le même article ajoute que, « sur demande de la personne concernée, le responsable du traitement est tenu d’effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l’offre de services de la société de l’information lorsque la personne concernée était mineure au moment de la collecte ». La CNIL relève que le droit à l’effacement résulte essentiellement du droit d’opposition et qu’il faut mettre en balance le droit de la personne avec les intérêts poursuivis, en tenant compte de la faisabilité et du coût des mesures, notamment un éventuel réentraînement du modèle. Pour les contenus qui vous concernent mais qu’un tiers a publiés, adressez d’abord une demande à l’auteur de la publication, puis au responsable de la plateforme, en visant précisément chaque contenu par son adresse et sa date de capture. Pour un contenu déjà repris dans un modèle, demandez à la fois la suppression dans la base d’entraînement et le traitement de la demande au niveau du modèle, et exigez une réponse écrite qui distingue les deux niveaux, comme la CNIL le recommande aux organismes.

Certaines situations appellent une vigilance particulière. Les photographies d’enfants publiées par des adultes entrent dans le champ des questions que les autorités européennes ont posées, et la protection renforcée des mineurs pèse dans la mise en balance. Les données sensibles, comme celles qui révèlent des opinions, des convictions ou des informations de santé, font l’objet d’une interdiction de principe du traitement, avec des dérogations étroites, et leur présence dans un jeu d’entraînement fragilise la position du responsable du traitement. Les contenus à caractère professionnel ou public d’une personne exposée, en revanche, peuvent donner lieu à une mise en balance plus serrée avec la liberté d’information, comme l’illustre la jurisprudence sur le droit à l’oubli des archives de presse. Dans tous les cas, la méthode reste la même : identifier le traitement, les parties et les rôles, exercer le droit par écrit, conserver les preuves et saisir l’autorité en cas d’échec. Les lecteurs confrontés à un refus persistant d’effacement de données conservées après la fermeture d’un compte trouveront une démarche voisine décrite dans l’analyse consacrée à l’effacement après fermeture de compte, qui détaille l’articulation entre demande directe, plainte et action en justice.

B. Plainte devant la CNIL, action devant le juge et réparation : délais, preuve et sanctions

Si l’organisme ne répond pas ou maintient le traitement, la plainte devant la CNIL est l’étape suivante. Toute personne qui estime qu’un traitement de ses données viole le règlement peut introduire une réclamation devant l’autorité de contrôle, notamment celle de l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation, sans préjudice de tout autre recours. En France, la réclamation s’adresse à la CNIL. L’autorité informe l’auteur de la plainte de l’état d’avancement et de son issue. Si l’autorité ne traite pas la réclamation ou n’informe pas la personne dans un délai de trois mois, celle-ci peut former un recours juridictionnel contre l’autorité elle-même. Joignez à votre plainte un dossier complet : identité du responsable du traitement, description précise des données et des contenus, copies de votre opposition et de votre demande d’effacement, preuves d’envoi et de réception, réponse ou absence de réponse de l’organisme, captures datées et explication du préjudice subi. Un dossier ordonné accélère l’instruction et crédibilise chaque grief.

La voie juridictionnelle reste ouverte à tout moment, sans attendre l’issue de la plainte. Chaque personne concernée dispose, sans préjudice de la réclamation devant l’autorité de contrôle, d’un recours juridictionnel effectif lorsqu’elle estime que ses droits ont été violés par un traitement non conforme. L’action peut être portée devant les juridictions de l’État membre où le responsable dispose d’un établissement ou devant celles de votre résidence habituelle. Vous pouvez demander au juge d’ordonner la cessation du traitement, la suppression des données et toute mesure propre à faire cesser l’illicite, en référé si l’urgence le justifie. L’article 49 de la loi du 6 janvier 1978 prévoit qu’« En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition » (article 49 de la loi). La Cour de cassation a récemment précisé la méthode du juge face à une demande d’effacement. Dans un arrêt du 3 juin 2026 (première chambre civile, pourvoi n° 25-14.228, affaire d’une demande de suppression d’un article de presse archivé en ligne), elle rappelle que le RGPD consacre un droit à l’effacement et que l’exception tirée de la liberté d’expression et d’information impose une mise en balance entre les droits au respect de la vie privée et à la protection des données, d’une part, et la liberté d’information, d’autre part. Cette mise en balance s’apprécie selon sept critères : la nature de l’information, le temps écoulé depuis les faits et la publication, l’intérêt contemporain de l’information, la notoriété de la personne et son comportement depuis les faits, les répercussions négatives de la permanence de l’information, le degré d’accessibilité de l’archive et l’impact de la mesure sur la liberté d’expression. La Cour fait peser sur le demandeur la preuve de la gravité de l’atteinte causée par le maintien en ligne, ce qui impose de documenter concrètement le préjudice : captures montrant la diffusion, attestations, perte d’opportunités, démarches restées vaines. Le pourvoi a été rejeté parce que l’information conservait un intérêt d’actualité pour le public, que les inexactitudes invoquées étaient mineures et que le demandeur ne démontrait pas un préjudice prévalant sur la liberté d’information. L’enseignement est direct : une demande d’effacement gagne quand elle est précise, documentée et actualisée, et elle échoue quand le préjudice reste affirmé sans preuve.

La réparation du préjudice obéit à un régime propre. Toute personne qui subit un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant. Le dommage moral, comme l’anxiété liée à l’exploitation de ses publications ou la perte de contrôle sur son image, entre dans ce champ dès lors qu’il est établi. Le responsable ne s’exonère qu’en prouvant que le fait à l’origine du dommage ne lui est nullement imputable. Lorsque plusieurs acteurs participent au même traitement, chacun peut être tenu pour la totalité du dommage afin de garantir une réparation effective. Sur le plan administratif, les pouvoirs sont gradués. L’article 20 de la loi du 6 janvier 1978 dispose que « Le président de la Commission nationale de l’informatique et des libertés peut avertir un responsable de traitement ou son sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi » (article 20 de la loi). En cas d’urgence, l’article 21 prévoit que, « Lorsque le non-respect des dispositions du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi entraîne une violation des droits et libertés mentionnés à l’article 1er de la présente loi et que le président de la commission considère qu’il est urgent d’intervenir, il saisit la formation restreinte », laquelle peut ordonner « L’interruption provisoire de la mise en œuvre du traitement, y compris d’un transfert de données hors de l’Union européenne, pour une durée maximale de trois mois » (article 21 de la loi). L’exemple le plus parlant en matière d’entraînement massif de modèles reste celui de la société Clearview AI : comme le relate la lettre d’information de la CNIL d’octobre 2022 (lettre d’information d’octobre 2022), l’autorité, après une mise en demeure restée sans réponse, a infligé à la société Clearview AI une sanction de 20 millions d’euros avec injonction de cesser toute collecte et utilisation sans base légale des données des personnes se trouvant en France et de supprimer les données déjà collectées. La leçon vaut pour tout traitement d’entraînement contesté : l’absence de base légale expose à l’injonction de cesser et de supprimer, en plus de la sanction.

En résumé, agissez dans l’ordre : restreignez la visibilité de vos contenus, opposez-vous par écrit en visant l’intérêt légitime, demandez l’effacement en visant chaque contenu, conservez toutes les preuves, puis saisissez la CNIL en cas de refus ou de silence et portez le litige devant le juge pour faire cesser le traitement et obtenir réparation. Chaque étape écrite prépare la suivante, et un dossier complet fait la différence tant devant l’autorité de contrôle que devant le tribunal.

Meta a annoncé entraîner ses systèmes d’intelligence artificielle avec les publications publiques des adultes en Europe et les interactions avec son assistant, tout en ouvrant un droit d’opposition sans justification. Ce traitement repose sur l’intérêt légitime, qui n’est admis qu’au terme d’un examen strict de nécessité et d’une mise en balance avec vos droits. L’opposition renverse la charge de la preuve, l’effacement peut être exigé dans les meilleurs délais, la CNIL peut être saisie par réclamation et le juge peut ordonner la cessation et accorder réparation. La méthode exposée ici vaut au-delà d’un seul acteur : face à tout système d’intelligence artificielle qui exploite vos données, identifiez le traitement et son responsable, exercez vos droits par écrit, conservez les preuves et faites trancher tout refus persistant par l’autorité puis par le juge.