Toute équipe qui entraîne un modèle d'IA est exposée à deux risques juridiques distincts, qui viennent de deux directions différentes. Le premier est de nature réglementaire : à partir du 2 août 2026, l'article 10 du règlement européen sur l'IA impose aux fournisseurs de systèmes d'IA à haut risque de documenter leurs jeux de données d'entraînement, de validation et de test, y compris les processus de collecte des données et l'origine de ces données. Le second est de nature civile : un titulaire de droits d'auteur peut faire valoir que son œuvre a été utilisée sans autorisation, et la charge de la preuve revient alors à l'entreprise d'IA, qui doit démontrer quelles données elle a effectivement utilisées et comment elle se les est procurées.
Ces deux risques posent en réalité une variante de la même question : que contient le jeu de données, d'où vient-il, et quand a-t-il été obtenu. C'est précisément ce que signifie la "provenance" en pratique, et il est utile d'être précis sur ce qu'un enregistrement horodaté peut prouver, et ce qu'il ne peut pas prouver.
Ce que l'article 10 exige réellement
L'article 10 s'applique aux systèmes d'IA à haut risque et définit les pratiques de gouvernance des données qu'un fournisseur doit mettre en place. Les obligations couvrent les choix de conception effectués lors de la collecte des données, le processus de collecte lui-même et l'origine des données, les étapes de préparation telles que l'annotation, l'étiquetage et le nettoyage, une évaluation de la pertinence et de la représentativité suffisante du jeu de données au regard de sa finalité prévue, ainsi qu'un examen des biais possibles. Lorsqu'un fournisseur identifie des lacunes qui empêchent la conformité, celles-ci doivent également être documentées.
Rien de tout cela ne demande à une entreprise de prouver qu'elle a levé tous les droits d'auteur présents dans un jeu de données d'entraînement. L'article 10 est un régime de qualité et de gouvernance des données, pas un régime de levée des droits d'auteur. Mais pour bien y répondre, il faut le même type d'enregistrement de base que celui dont une défense en matière de droit d'auteur a besoin : quelles données ont été intégrées, d'où elles proviennent, et quand.
Le risque civil, distinct
Les revendications de droit d'auteur portant sur les pratiques d'entraînement des IA constituent un contentieux actif et bien réel dans plusieurs juridictions, avec des affaires portées par des éditeurs, des auteurs, des titulaires de droits musicaux et des banques d'images contre des développeurs d'IA majeurs. Les théories juridiques diffèrent selon la juridiction et l'affaire, et les tribunaux sont encore en train de trancher des questions fondamentales telles que celle de savoir si l'entraînement sur du contenu protégé par le droit d'auteur constitue un usage transformatif, et comment les obligations de licence interagissent avec les exceptions de fouille de textes et de données. Nous n'allons pas prédire l'issue d'une affaire donnée, et un dossier de provenance des données d'entraînement ne tranche pas non plus cette question.
Ce dont dépend réellement, en pratique, une telle revendication, ce sont les preuves. Si un titulaire de droits allègue que son œuvre a été collectée sans autorisation, la réponse de l'entreprise d'IA dépend de sa capacité à démontrer, à l'aide d'un enregistrement qu'elle n'a pas rédigé après coup, ce qu'elle a collecté, d'où, et selon quelles conditions. Une entreprise incapable de reconstituer sa propre chaîne d'approvisionnement en données ne peut argumenter que de mémoire, face à un plaignant porteur d'un grief précis.
Ce que signifie la "provenance" d'un jeu de données, en pratique
La chaîne de conservation d'un jeu de données d'entraînement se décompose en trois éléments qu'il convient de suivre séparément :
- Enregistrement d'acquisition. À quel moment une source a été ajoutée au corpus, à partir de quelle URL, quelle API, quel concédant de licence ou fournisseur, et sous quelle version des conditions de cette source, en vigueur à ce moment-là.
- Enregistrement de licence. Quel accord, le cas échéant, couvre l'utilisation, qu'il s'agisse d'une licence directe, d'un octroi via les conditions d'utilisation d'une plateforme, d'une licence ouverte, ou du recours à une exception de fouille de textes et de données telle que l'article 4 de la directive sur le droit d'auteur dans le marché unique numérique, et si le titulaire des droits avait réservé ses droits à l'encontre de cette exception sous une forme lisible par machine.
- Enregistrement d'intégrité. La preuve que le jeu de données auquel une entreprise se réfère aujourd'hui est bien celui sur lequel elle a effectivement entraîné son modèle, et non une reconstitution assemblée après coup aux fins d'un litige.
Parmi ces trois éléments, l'enregistrement d'intégrité est celui pour lequel la plupart des équipes n'ont pas de bonne réponse. Les enregistrements d'acquisition et de licence ont tendance à se retrouver dispersés dans des courriels, des contrats fournisseurs et des wikis internes. Même lorsqu'ils existent, il n'y a souvent aucun moyen de prouver que le jeu de données référencé dans ces documents correspond, des mois ou des années plus tard, exactement au même ensemble de fichiers sur lequel le modèle a réellement été entraîné.
Ce qu'un horodatage qualifié prouve, et ce qu'il ne prouve pas
Sceller l'empreinte cryptographique d'un jeu de données au moment de son acquisition, avec un horodatage qualifié, crée un enregistrement défendable prouvant qu'un ensemble précis d'octets existait et se trouvait en votre possession à un moment donné. C'est une affirmation limitée, mais réellement utile. Elle signifie que vous pouvez démontrer à un tribunal, des mois ou des années plus tard, exactement à quoi ressemblait le jeu de données au moment de sa collecte, sans avoir à vous appuyer sur votre seule parole ou sur un document qui aurait pu être modifié par la suite.
Il faut être précis sur les limites de cette affirmation, car l'exagérer est pire que de ne pas la faire. Une empreinte scellée prouve l'existence et la possession à un moment donné. Elle ne prouve pas que vous aviez l'autorisation d'utiliser le contenu, et elle ne prouve pas non plus que le contenu a été obtenu licitement en premier lieu. La licence et l'autorisation sont des questions juridiques distinctes qu'un horodatage ne peut résoudre à lui seul. Ce qu'il permet, en revanche, c'est d'éliminer toute une catégorie de litige, à savoir si vous êtes seulement capable de démontrer ce que vous déteniez et à quel moment, de sorte que le véritable débat sur les conditions de licence puisse se dérouler sur la base des faits, et non sur la version des événements à laquelle un tribunal est disposé à croire.
Pour une entreprise confrontée à un régulateur s'interrogeant sur la gouvernance des données au titre de l'article 10, ou à un titulaire de droits alléguant une utilisation non autorisée, la différence entre "voici une empreinte horodatée du jeu de données exact, scellée à la date de son acquisition, accompagnée de nos enregistrements de licence" et "nous pensons que c'est à peu près ce que nous avons utilisé" est celle qui sépare une position défendable d'une position invérifiable.
Comment intégrer cela dans un flux de travail concret
Les équipes qui développent des produits d'IA et doivent défendre à la fois la question de gouvernance de l'article 10 et la question sous-jacente de droit d'auteur ont intérêt à traiter l'acquisition d'un jeu de données comme un événement distinct et scellé, plutôt que comme un dossier continu et modifiable. Calculez l'empreinte et scellez un instantané du jeu de données au moment de l'acquisition, joignez les conditions de licence qui s'appliquaient à ce moment-là, et conservez cet enregistrement séparément de tout nettoyage ou filtrage effectué en aval. Si un litige survient plus tard, portant sur une source précise, une date précise ou une licence précise, l'enregistrement existe déjà, au lieu de devoir être reconstitué dans l'urgence.
Notre page consacrée à la provenance des jeux de données d'IA explique comment cela fonctionne pour les équipes qui ont besoin d'un enregistrement horodaté et recevable en justice, indiquant ce que contenait un jeu de données et quand il a été acquis, accompagné de la documentation de licence répondant à la question distincte de l'autorisation.
