Ai-je le droit d'utiliser ces données ? Comprendre les différentes licences de données

Rédaction datée début Octobre 2026. La partie consacrée à l’IA évolue rapidement et sera mise à jour ; elle est datée séparément.

Quand on trouve un jeu de données, le premier réflexe est de chercher sa licence. C’est une bonne habitude, mais c’est la mauvaise question. Enfin pour être plus précis, c’est un quart de la bonne question.

La vraie question à se poser est : « Qu’ai-je le droit de faire avec ces données ? » Et pour y répondre, la licence ne suffit pas. Une donnée publiée sous la licence la plus ouverte qui soit peut quand même rester interdite pour la prospection. De même, une base de données sans licence (affichée) n’est pas pour autant libre d’usage. Et si en plus vous avez prévu d’utiliser de l’IA, cela ajoute une couche que la plupart des licences n’avaient pas prévues.

Dans ce guide, je pose le cadre. On passe en revue les grandes familles de licences et on répond aux questions les plus posées. Les exemples viennent de données que j’ai réellement exploitées dans mes projets.

Les quatre couches qui s’appliquent à toute donnée

Toute donnée qu’on veut ré-utiliser est soumise simultanément à quatre régimes. Chacun d’entre eux peut vous en interdire l’usage. Et comme souvent, c’est le plus restrictif qui l’emporte.

1. La licence. C’est le contrat par lequel le producteur vous autorise à réutiliser ses données, et dans quelles conditions. Parfois c’est plutôt léger : simplement citer la source. Parfois, elle vous interdit l’usage commercial, ou vous force à partager à l’identique.

2. Le droit des producteurs de bases de données. Je ne savais pas que ça existait avant de faire les recherches pour cet article. Indépendamment du droit d’auteur, le Code de la propriété intellectuelle protège pendant quinze ans le producteur d’une base de données qui a consenti un investissement substantiel pour la constituer, la vérifier ou la présenter. Il peut interdire l’extraction ou la réutilisation d’une partie importante de son contenu. Cependant, des faits bruts ne sont pas protégeables par le droit d’auteur, mais une base qui les rassemble peut l’être. Par exemple, copier un annuaire n’est pas anodin, même si chaque ligne n’est qu’un fait.

3. Le RGPD. Une licence ouverte porte sur le droit de réutiliser des informations. La licence ne vous retire aucune obligation relative aux données personnelles que ces informations peuvent contenir. Une donnée publique peut rester une donnée personnelle. Si c’est le cas, le RGPD s’applique. Tout traitement doit alors reposer sur une base légale, respecter une finalité et le principe de minimisation.

4. Les conditions d’utilisation. Le site, l’API ou la plateforme par laquelle vous accédez aux données a ses propres règles. Dès que vous les acceptez, elles vous lient contractuellement. Elles peuvent par exemple interdire l’extraction automatisée, en limiter le volume, ou interdire certains usage précis. En particulier, elles peuvent interdire la réutilisation par IA.

Le cas d’école : la base SIRENE

Aucun exemple n’illustre mieux l’empilement de ces couches que le répertoire des entreprises tenu par l’INSEE, que beaucoup de gens utilisent pour qualifier des prospects.

Sur le plan de la licence, rien de plus ouvert : la base SIRENE est réutilisable sous Licence Ouverte 2.0, y compris commercialement.

Mais la base contient des données personnelles : celles des entrepreneurs individuels notamment. L’INSEE rappelle que leur traitement relève du RGPD et de la loi Informatique et Libertés. Surtout, une personne inscrite au répertoire peut demander une diffusion partielle de ses informations. Ce statut, qui a remplacé en 2023 l’ancien statut « non diffusible », masque alors son identité et sa localisation précise. Et la règle d’usage est explicite : les informations personnelles de ces personnes ne doivent être ni rediffusées entièrement, ni utilisées à des fins de prospection.

Autrement dit : licence ouverte, usage commercial autorisé, et pourtant, prospection interdite pour une partie des personnes figurant dans la base. Il revient en outre à chaque réutilisateur de tenir compte du statut de diffusion le plus récent. Un fichier SIRENE téléchargé il y a six mois et jamais mis à jour peut vous faire contacter des personnes qui s’y sont opposées depuis.

Vérifier la licence et s’arrêter là, c’est donc rater l’essentiel.

Les grandes familles de licences

Il existe des dizaines de licences, mais elles se rangent en quelques grandes familles.

Le domaine public : CC0, PDDL. Le producteur renonce à ses droits autant que la loi le permet. Vous pouvez tout faire, sans même citer la source, même ça reste une bonne pratique. Petite subtilité : le droit français et européen ne permettant pas de renoncer à tous ses droits, la CC0 prévoit une licence de repli très permissive pour les cas où la renonciation serait impossible. Pour l’utilisateur, l’effet pratique est le même.

L’attribution simple : Licence Ouverte, CC BY, ODC-By. Vous pouvez tout faire, usage commercial, modification, combinaison, redistribution, à condition de citer la source. C’est la famille dominante de l’open data public français. La Licence Ouverte 2.0, conçue par Etalab, a été pensée pour être compatible avec les grandes licences d’attribution internationales comme la CC BY. Elle demande de mentionner la source et la date de dernière mise à jour des données.

Exemple : les données de l’AFNIC sur les noms de domaine en .fr, publiées sous Licence Ouverte. Usage commercial explicitement permis, seule obligation contractuelle : la mention de la source.

Le partage à l’identique : ODbL, CC BY-SA. Vous pouvez tout faire, y compris commercialement, mais si vous diffusez une version dérivée, elle doit être placée sous la même licence. L’ODbL est notamment la licence d’OpenStreetMap, et elle fait partie, avec la Licence Ouverte, des rares licences que les administrations françaises peuvent employer pour leurs données. C’est la famille qui cause le plus de mauvaises surprises. Elle a droit à une section dédiée plus bas.

Le non commercial : CC BY-NC et variantes. Le concept semple simple : usage commercial interdit. Le problème est que la frontière du « commercial » est floue : une analyse interne réalisée par une entreprise, une étude produite par une agence pour un client, un article sur un blog d’entreprise sont très probablement des usages commerciaux. En pratique, pour une entreprise, une licence NC signifie presque toujours qu’il faut demander l’autorisation.

Les licences d’accès restreint et propriétaires. Ce sont des données de fournisseurs commerciaux, bases sous abonnement, mais aussi de très nombreuses archives de données de recherche qui réservent l’accès gratuit à la recherche académique et à l’enseignement, et soumettent tout autre usage à une demande écrite. Ici, pas de règles : chaque contrat est différent.

L’absence de licence. C’est le cas le plus fréquent sur le web. Cependant, une page sans licence n’est pas une page libre pour autant.Par défaut, tout contenu protégé par le droit d’auteur est « tous droits réservés », la base qui le contient peut être protégée par le droit des producteurs de bases de données, et les conditions d’utilisation du site s’appliquent. Ce qui échappe toujours à la protection, ce sont les faits bruts isolés.

Les quatre questions d’usage

1. Puis-je en faire un usage commercial ?

Oui pour le domaine public, l’attribution simple et le partage à l’identique. L’ODbL et la CC BY-SA autorisent l’usage commercial ; elles imposent seulement leurs conditions de partage. Non pour les licences NC, sauf autorisation. Il faut lire le contrat pour les licences propriétaires et d’accès restreint.

2. Puis-je les croiser avec mes propres données ?

C’est la question qui compte le plus en marketing, puisque la valeur d’une donnée tient presque toujours au croisement. C’est le principe que je développe dans mon article sur les données internes.

Avec le domaine public ou une licence d’attribution simple, aucune difficulté : croisez, enrichissez, et citez la source si vous publiez le résultat.

Avec une licence de partage à l’identique, attention. Le mécanisme de l’ODbL distingue trois situations.

• L’usage interne. Vous croisez une base sous ODbL avec votre fichier clients pour une analyse qui reste chez vous : le partage à l’identique n’est pas déclenché. Il ne s’applique qu’en cas d’usage public de la base dérivée.
• La publication d’une base dérivée. Vous fusionnez les deux sources et rendez la base résultante accessible au public. Par exemple en la publiant, en la vendant, ou en l’exposant via un service our une app. La base dérivée doit alors être proposée sous ODbL. Si elle contient vos données propriétaires, elles sont concernées.
• La publication d’une œuvre produite. Vous produisez à partir de la base une carte, un graphique, un rapport, une image. Il s’agit alors d’une œuvre produite, qui n’est soumise qu’à une mention de la source — pas au partage à l’identique.

En pratique : avant de fusionner une base sous ODbL avec des données que vous souhaitez garder privées, est-ce que le résultat sera un jour rendu public ? Si oui, c’est embêtant. Le mieux est sûrement de gardez les bases séparées.

Enfin, le croisement a une dimension RGPD propre : combiner deux jeux de données anonymes ou peu identifiants peut suffire à ré-identifier des personnes. Croiser, c’est potentiellement créer de la donnée personnelle qui n’existait dans aucune des deux sources, ce qui n’est pas toujours souhaitable.

3. Puis-je redistribuer ?

Pour le domaine public, oui, librement. Pour l’attribution simple, oui, en conservant la mention de la source. Avec la Licence Ouverte, il faut la source et la date de dernière mise à jour. Pour le partage à l’identique, oui, sous la même licence. Pour le non commercial, uniquement dans un cadre non commercial. Pour les licences propriétaires, presque jamais sans accord exprès.

Et à nouveau, la couche RGPD peut être plus restrictive que la licence. Les informations personnelles des personnes en diffusion partielle dans SIRENE ne doivent pas être rediffusées, quelle que soit la licence du fichier.

4. Puis-je les utiliser avec une IA ?

J’ai ajouté une section plus bas pour répondre à cette question un peu spéciale.

Le récapitulatif

	Usage commercial	Croisement interne	Publication d’une base dérivée	Redistribution
Domaine public (CC0, PDDL)	Oui	Oui	Oui, libre	Oui, libre
Attribution (Licence Ouverte, CC BY)	Oui	Oui	Oui, avec mention de la source	Oui, avec mention de la source
Partage à l’identique (ODbL, CC BY-SA)	Oui	Oui	Oui, sous la même licence	Oui, sous la même licence
Non commercial (CC BY-NC)	Non	Si usage non commercial	Si usage non commercial	Si usage non commercial
Propriétaire / accès restreint	Selon contrat	Selon contrat	Rarement	Rarement
Aucune licence	Faits bruts seulement	Faits bruts seulement	Non	Non

Ce tableau ne porte que sur la licence. Les trois autres couches mentionnées plus haut restent d’actualité.

Données et IA

Section arrêtée fin septembre 2026. Ce domaine évolue au rythme des décisions de justice et des textes en préparation.

Quatre questions distinctes

La première erreur consiste à parler « d’IA » comme d’un usage unique. Il y a en réalité plusieurs grosses catégories d’usage, dont le régime juridique diffère :

1. Entraîner un modèle sur des données.
2. Alimenter un assistant au moment de la réponse : lui fournir des documents dans son contexte, ou le brancher sur une base documentaire qu’il consulte pour répondre.
3. La restitution en sortie : le modèle reproduit tout ou partie d’un contenu protégé dans ce qu’il génère.
4. La protection du contenu généré lui-même.

Pour une PME, il s’agit presque toujours du 2 : donner du contexte à une IA.

L’entraînement : l’exception de fouille de textes et de données

Le droit européen prévoit deux exceptions au droit d’auteur et au droit des bases de données pour la fouille de textes et de données, c’est-à-dire l’analyse automatisée de contenus pour en dégager des tendances, des constantes ou des corrélations. Elles ont été transposées en droit français à l’article L122-5-3 du Code de la propriété intellectuelle.

• La fouille à des fins de recherche scientifique, par des organismes de recherche et des institutions patrimoniales, sur des contenus auxquels ils ont accès licitement. Les titulaires de droits ne peuvent pas s’y opposer.
• La fouille pour tout autre usage, y compris commercial. Elle est permise sauf si le titulaire des droits s’y est opposé.

C’est ce droit d’opposition, l’opt-out, qui fait toute la différence. Il n’a pas à être motivé, et pour les contenus en ligne il peut être exprimé par des procédés lisibles par machine, y compris des métadonnées, mais aussi simplement dans les conditions générales d’utilisation d’un site. Plusieurs sociétés de gestion collective françaises : la SACEM, l’ADAGP, la SGDL, l’ADAMI, l’ont exercé pour les œuvres de leurs membres.

Conséquence pratique : avant d’utiliser des contenus en ligne pour entraîner un modèle, il faut vérifier l’absence d’opposition, y compris dans les conditions d’utilisation. Une licence ouverte sur les données ne dispense pas de ce contrôle sur les contenus d’un site tiers.

Pour les fournisseurs de modèles d’IA à usage général, le règlement européen sur l’IA ajoute deux obligations : mettre en place une politique de respect du droit d’auteur, incluant les oppositions exprimées, et publier un résumé détaillé des contenus utilisés pour l’entraînement. Ces obligations ne concernent que les fournisseurs d’IA, pas sur les entreprises qui utilisent ces modèles.

La restitution : le risque qui se déplace

Le contentieux s’est récemment déplacé de l’entraînement vers ce que le modèle restitue. En novembre 2025, un tribunal de Munich a jugé qu’OpenAI avait porté atteinte aux droits sur les paroles de plusieurs chansons. Pas au stade de l’entraînement, mais parce que ces textes étaient mémorisés par le modèle et restitués par l’assistant. Aucune exception de fouille ne couvre la reproduction en sortie.

En France, le Sénat a adopté en avril 2026 une proposition de loi instaurant une présomption d’utilisation des œuvres au profit des titulaires de droits, ce qui renverserait la charge de la preuve. Le texte n’est pas définitivement adopté à la date de rédaction, mais la direction est claire.

Alimenter un assistant : la zone grise

Fournir un document à un assistant pour qu’il en tire une réponse, ou le brancher sur une base documentaire, n’est pas de l’entraînement : le modèle n’apprend rien de durable. Mais c’est bien une reproduction du contenu. La posture prudente consiste donc à traiter cet usage comme une réutilisation ordinaire, régie par la licence et les conditions d’utilisation qu’on a vues plus haut :

• Données publiques sous licence ouverte : aucune difficulté, en conservant la mention de la source si le résultat est publié.
• Documents internes : aucune difficulté de licence, mais attention aux données personnelles qu’ils contiennent et à l’endroit où l’assistant les traite.
• Contenus d’un tiers sans licence : c’est là que le risque se concentre, d’autant que les conditions d’utilisation de nombreux fournisseurs de données et de contenus interdisent désormais explicitement l’usage par des systèmes d’IA.
• Bases sous abonnement : il faudra lire le contrat. Beaucoup de fournisseurs ont ajouté ces dernières années une clause spécifique sur l’IA, souvent restrictive.

Le récap de pré-projet :

1. Identifier la source exacte, qui peut être différent de l’endroit où vous avez trouvé les données. Un jeu republié par un tiers peut avoir perdu sa licence d’origine en route, ou en afficher une autre que celle qui s’applique réellement.
2. Lire la licence et situer votre usage dans le tableau ci-dessus : commercial, croisement, publication, redistribution, IA.
3. Chercher les données personnelles. Y en a-t-il, directement ou par croisement ? Si oui, quelle base légale, quelle finalité, et existe-t-il des règles de diffusion propres, comme dans SIRENE ?
4. Lire les conditions d’utilisation du site ou de l’API d’accès, en cherchant spécifiquement les clauses sur l’extraction automatisée et l’IA.
5. Documenter. La source, la licence, la date de téléchargement, les vérifications faites. Si la question vous est posée un jour, c’est ce document qui répondra. Et pour une donnée qui évolue, planifiez sa mise à jour : la conformité d’un jeu de données n’est pas figée à la date du téléchargement.

Quand faire appel à un juriste

La méthode ci-dessus suffit pour la grande majorité des usages courants de données publiques. Elle ne suffit plus dans quatre situations :

• vous comptez publier ou vendre une base construite en combinant plusieurs sources, dont au moins une sous partage à l’identique ;
• vous entraînez un modèle sur des contenus que vous n’avez pas produits ;
• vous traitez à grande échelle des données personnelles issues de sources publiques ;
• le contrat d’accès contient une clause ambiguë sur votre usage, notamment en matière d’IA.

Je ne suis pas juriste : ce guide décrit un cadre général et ne vaut pas consultation.

Ce que je retiens

La licence est la couche la plus visible, et c’est pour ça qu’on s’y arrête. Mais dans mes projets, ce ne sont jamais les licences qui ont posé problème : les données publiques françaises sont, dans leur immense majorité, très ouvertes. Ce sont les trois autres couches qui décident — le droit des bases de données quand on extrait, le RGPD quand on prospecte, les conditions d’utilisation quand on automatise.

Et l’IA ne change pas cette logique : elle ajoute simplement une cinquième question à se poser, avec des réponses encore en construction.

---

Sources

• INSEE, base SIRENE en open data et règles de diffusion — data.gouv.fr
• API Sirene open data, conditions de réutilisation — data.gouv.fr
• Etalab, Licence Ouverte / Open Licence 2.0
• Open Data Commons, Open Database License (ODbL) v1.0
• Creative Commons, licences 4.0 et CC0
• AFNIC, open data du .fr — afnic.fr
• Code de la propriété intellectuelle, articles L122-5-3, L341-1 et suivants, R122-27 et R122-28
• Directive (UE) 2019/790 sur le droit d’auteur dans le marché unique numérique, articles 3 et 4
• Règlement (UE) 2024/1689 sur l’intelligence artificielle, article 53

Un projet de réutilisation de données dont vous voulez sécuriser le cadre ? Écrivez-moi.