Scale AI, Outlier et le RGPD : l'Europe n'est pas une variable d'ajustement

# Scale AI, Outlier et le RGPD : l'Europe n'est pas une variable d'ajustement

Il y a des affaires qui font du bruit pendant quelques jours, puis s'effacent dans le flux de l'actualité tech. Et il y a des affaires qui, au contraire, révèlent quelque chose de structurel. Les déboires de Scale AI et de sa filiale Outlier — mis en cause depuis 2025 pour des pratiques de collecte et de traitement de données incompatibles avec le RGPD — appartiennent à la deuxième catégorie. Non pas parce que l'amende sera historique, non pas parce que les victimes sont nombreuses, mais parce que ce cas illustre avec une clarté brutale ce que j'appelle le syndrome de la donnée jetable européenne.

Voilà ce que ça signifie concrètement : une entreprise américaine, valorisée à coups de milliards de dollars, constitue ses jeux de données d'entraînement en faisant travailler des contributeurs aux quatre coins du monde — y compris en Europe — sans que les obligations légales du continent ne soient traitées comme des contraintes réelles. Juste comme des formalités administratives à cocher en bas de liste, voire à ignorer tant que personne ne regarde.

Et nous, DSI, RSSI, directions métier des entreprises européennes, nous avons parfois participé à ce système. Pas toujours sciemment. Mais nous y avons participé.

La donnée européenne, carburant gratuit d'une industrie étrangère

Je veux être direct : le modèle économique des grands acteurs américains de la data pour l'IA repose, en partie, sur l'idée que la donnée européenne est une ressource accessible à bas coût et à faible risque réglementaire. Outlier, comme d'autres plateformes de *data labeling* à grande échelle, a recruté des travailleurs européens, collecté leurs contributions, et intégré ces données dans des pipelines d'entraînement dont les serveurs, les bénéfices et la gouvernance restent résolument américains.

Le RGPD existe précisément pour éviter ça. Il impose une base légale pour chaque traitement, des droits effectifs pour les personnes concernées, une transparence sur les finalités. Ce n'est pas de la bureaucratie : c'est une conception politique de ce que signifie posséder ses données. Mais quand les enquêtes des autorités de protection des données — en Irlande, aux Pays-Bas, en France — commencent à creuser, elles trouvent des écarts. Des consentements mal recueillis. Des finalités floues. Des transferts vers des tiers non documentés.

Ce n'est pas une surprise. C'est la conséquence logique d'un modèle conçu ailleurs, pour d'autres règles, et qu'on a laissé opérer ici sans friction suffisante.

Pourquoi cela nous concerne directement

On pourrait penser que tout ça concerne surtout les plateformes de crowdsourcing, les indépendants qui annotent des données depuis leur canapé. Ce serait une erreur de lecture.

Beaucoup d'entreprises européennes — PME comme ETI — ont externalisé une partie de leurs besoins en données structurées à des acteurs américains, directement ou via des partenaires qui eux-mêmes s'approvisionnent auprès de Scale AI ou de ses concurrents. La chaîne de sous-traitance en matière de données pour l'IA est longue, opaque, et rarement auditée sérieusement. Quand une violation remonte à la surface, le responsable de traitement final — souvent une entreprise européenne — se retrouve exposé juridiquement alors même qu'il n'avait aucune visibilité sur ce qui se passait trois niveaux en amont.

C'est ça, la réalité du marché en 2026 : la dépendance aux infrastructures de données américaines n'est pas seulement un risque géopolitique abstrait. C'est un risque juridique immédiat, chiffrable, qui peut atterrir sur le bureau d'un DPO un matin comme n'importe quelle autre mise en demeure.

Ce que certains acteurs européens ont compris avant les autres

Il serait malhonnête de prétendre que l'Europe ne produit rien dans ce domaine. Des structures existent — plus discrètes, moins valorisées médiatiquement, mais réelles. Des acteurs comme Dataiker ou des coopératives d'annotation comme celles qui émergent en Allemagne et en Scandinavie ont fait le pari inverse : construire des pipelines de données d'entraînement en respectant dès la conception les exigences du RGPD, avec des travailleurs correctement informés, des contrats lisibles, et une gouvernance localisée.

Ce n'est pas du tout un marché marginal. À mesure que les entreprises européennes comprennent que leurs modèles d'IA maison — ou les modèles qu'elles déploient en interne — doivent être entraînés sur des données dont elles peuvent garantir la conformité, la demande pour ces offres souveraines monte. Lentement encore, mais de façon irréversible.

Le signal Scale AI/Outlier accélère cette prise de conscience. Quand une affaire judiciaire rend le risque concret, les budgets bougent.

Il faut arrêter de traiter la conformité comme une contrainte et la lire comme un avantage

Je le pense fermement : la posture qui consiste à subir le RGPD comme un handicap compétitif est une erreur de cadrage. Ce règlement est une des rares situations où l'Europe a fixé les règles du jeu avant les autres. Et les acteurs qui ont construit leurs offres *autour* de ces règles, plutôt que *malgré* elles, sont aujourd'hui en position de force pour répondre à une demande que les acteurs américains ne peuvent pas servir de la même façon structurellement.

Un acteur américain peut signer des clauses contractuelles types, nommer un représentant en Europe, cocher toutes les cases du formulaire. Il ne peut pas changer fondamentalement sa gouvernance, sa juridiction, son obligation de répondre aux injonctions américaines sur des données qui transitent par ses serveurs. Ce n'est pas une question de bonne volonté. C'est une question d'architecture juridique.

Les DSI qui ont intégré cette réalité dans leurs critères de sélection des fournisseurs — et ils sont de plus en plus nombreux — ne le font pas par idéologie. Ils le font parce que le risque résiduel d'une dépendance mal documentée est devenu trop élevé.

Ce que je demande aux décideurs européens

L'affaire Scale AI/Outlier ne doit pas se terminer par une amende, un communiqué de presse et une reprise du business as usual. Elle doit servir de point d'appui pour trois choses concrètes.

D'abord, une cartographie honnête des chaînes d'approvisionnement en données au sein des entreprises européennes. Trop peu de DPO ont aujourd'hui une vision claire de l'origine des données qui alimentent leurs outils d'IA. C'est un angle mort qui deviendra insoutenable à mesure que la réglementation sur l'IA se précisera.

Ensuite, un soutien réel — pas symbolique — aux infrastructures de données souveraines européennes. Pas des subventions saupoudrées sur des rapports, mais des engagements d'achat public, des critères d'éligibilité qui valorisent la conformité native plutôt que de la traiter comme un minimum syndical.

Enfin, une exigence de traçabilité dans les appels d'offres IA. Quand une administration, une collectivité ou une grande entreprise lance un projet d'IA, l'origine et la conformité des données d'entraînement utilisées devraient être un critère aussi sérieux que le prix ou la performance technique.

L'Europe a mis des années à construire le RGPD. Il serait dommage de le laisser servir uniquement à sanctionner — rarement, tardivement — ceux qui l'ont violé, plutôt que de l'utiliser comme levier pour faire émerger un marché de la donnée qui nous ressemble.