Meta AI RGPD : ce que Meta fait de vos données, et comment vous y opposer

La réponse courte d’abord. Depuis fin mai 2025, Meta utilise les publications publiques des adultes et leurs échanges avec ses outils d’IA pour entraîner ses modèles, comme le décrit la CNIL. Vous pouvez vous y opposer, sans avoir à vous justifier. Et au travail, la règle la plus utile tient en une phrase : ne mettez ni données personnelles ni informations confidentielles dans un assistant grand public. Le reste de cet article détaille ce qui est utilisé, ce qui ne l’est pas, et ce que l’arrivée des agents IA change.

Un point de méthode : cet article décrit les positions publiées par la CNIL et les annonces de Meta. Il ne remplace pas un avis juridique. Pour une situation précise dans votre organisation, votre délégué à la protection des données reste l’interlocuteur.

Meta AI en France : de quoi parle-t-on

Meta AI est l’assistant intégré à WhatsApp, Instagram, Facebook et Messenger. Il est arrivé en Europe le 20 mars 2025, dans 41 pays européens et 21 territoires d’outre-mer, selon Meta. L’entreprise écrivait alors qu’il lui avait fallu plus de temps que prévu, parce qu’elle continuait « à naviguer dans un système réglementaire européen complexe ».

La version européenne était plus limitée qu’aux États-Unis : un chat textuel, sans génération d’images, disponible en six langues dont le français. En France, on le reconnaît à l’icône bleue dans les conversations et à la mention @MetaAI dans WhatsApp.

Depuis, Meta a lancé son modèle Muse Spark, présenté dans Muse Spark : ce qu’est le modèle de Meta. Meta indique avoir déployé ses nouvelles fonctions « dans certains marchés » sans publier la liste. À la date de cet article, en septembre 2026, rien ne confirme que Meta AI en France tourne déjà sur Muse Spark. Ne tenez pas l’un pour l’autre.

Ce que la CNIL dit de l’entraînement de Meta

La page de la CNIL, datée du 27 mai 2025, distingue clairement ce qui entre dans l’entraînement et ce qui en est exclu. Voici ce qu’elle décrit.

• —Utilisé : les publications publiques des utilisateurs adultes, c’est-à-dire les textes, les photos et les commentaires.
• —Utilisé : les interactions avec les outils d’IA de Meta.
• —Exclu : les messages privés.
• —Exclu : les interactions avec Meta AI dans WhatsApp.
• —Exclu : les contenus des utilisateurs de moins de 18 ans.

La CNIL précise aussi que Meta a renforcé ses filtres après des échanges avec la DPC, l’autorité irlandaise de protection des données. Elle ne s’arrête pas là. Elle se dit vigilante sur « la légalité de ces pratiques » et sur « le caractère effectif du droit d’opposition ». Autrement dit, l’autorité ne présente pas le dispositif comme réglé. Elle le surveille.

Ce qui est public sur votre profil n’est pas la même chose que ce qui est privé dans vos messages. C’est la première distinction à avoir en tête avant de décider quoi faire.

Comment vous opposer à l’entraînement

Le droit d’opposition passe par les formulaires proposés par Facebook et Instagram. Selon la CNIL, deux points comptent : aucune justification n’est exigée, et l’opposition s’applique à tous les comptes liés au même Centre de comptes. Cet article ne détaille pas de chemin dans les menus : partez des formulaires eux-mêmes, sur chaque application.

1. 01Faites la liste de vos comptes Meta, personnels et professionnels, et vérifiez lesquels sont reliés au même Centre de comptes.
2. 02Remplissez le formulaire d’opposition sur Facebook ou Instagram. Il suffit d’un seul envoi pour les comptes liés entre eux.
3. 03Pour un compte qui n’est pas relié à ce Centre de comptes, refaites la démarche.
4. 04Gardez une trace de votre envoi, une capture d’écran datée suffit.
5. 05Relisez ce qui est public sur vos profils. S’opposer à l’entraînement ne rend pas une publication privée.

La même logique de consentement, appliquée à la voix d’une personne, est au cœur de Clonage voix IA : la méthode qui ne saute pas l’étape du consentement.

Et Muse, le nouvel agent de Meta

Muse est un agent personnel qui ne se contente pas de répondre : il peut envoyer des e-mails ou faire des achats pour vous. Lancé le 8 septembre 2026, il n’est disponible qu’aux États-Unis, pour les personnes de 18 ans et plus. Aucune date n’est annoncée pour l’Europe, comme l’explique Meta Muse en France : pourquoi l’agent n’est pas disponible.

Meta met en avant plusieurs garanties dans son annonce officielle de Muse.

• —Vous choisissez les services connectés et le niveau d’accès, par exemple la lecture seule d’une boîte mail plutôt que l’envoi.
• —L’agent demande votre accord avant d’envoyer un e-mail ou de faire un achat.
• —Vous pouvez refuser que vos échanges servent à entraîner les modèles de Meta, et lui demander d’oublier certaines informations.
• —Muse tourne sur une machine virtuelle dédiée, et un agent séparé nommé Sentinel contrôle les actions envoyées vers internet.
• —Selon Meta, Muse ne partage ni vos conversations ni les données de cette machine avec ses systèmes publicitaires.

Ces promesses ont une limite, relevée par Trending Topics : l’architecture n’empêche pas Meta d’accéder aux données quand c’est nécessaire pour faire fonctionner, sécuriser ou assister le service. TechCrunch rappelle aussi l’historique de l’entreprise, dont une sanction de 5 milliards de dollars de la FTC en 2019. Cela ne dit rien du fonctionnement réel de Muse. Cela explique pourquoi les promesses se lisent de près.

Ce que la CNIL dit des agents IA en général

Le 20 juillet 2026, la CNIL et le Conseil de l’IA et du numérique ont publié une note exploratoire sur l’IA agentique. Elle ne nomme aucun produit commercial, Muse compris. Elle décrit des risques qui concernent tous les agents.

• —La mémoire persistante construit des profils très précis, avec un « risque d’une perte de maîtrise de l’utilisateur sur ses données personnelles ».
• —Les flux entre services sont opaques, ce qui complique la question de savoir qui est responsable de quoi.
• —Parmi les pistes : une validation humaine pour les décisions les plus critiques, et une validation « purement formelle ou automatique » est jugée insuffisante.
• —Pour chaque tâche, l’utilisateur devrait pouvoir voir les données mobilisées, les agents et services tiers impliqués, et la chronologie.
• —Seules les données strictement nécessaires devraient être utilisées.

La note complète rappelle que l’article 22 du RGPD, sur les décisions automatisées, reste applicable. Elle souligne aussi que le règlement européen sur l’IA ne prévoit pas de règles spécifiques pour les agents.

Cette exigence d’un vrai contrôle humain rejoint la méthode décrite dans Automatisation IA : un enchaînement qui ne casse pas en silence. L’ANSSI va dans le même sens dans sa recommandation R9 : proscrire l’usage automatisé de systèmes d’IA pour des actions critiques, comme des transactions bancaires ou la production de contenu public.

Au travail : les règles qui s’appliquent déjà

Vous n’avez pas besoin d’attendre Muse pour vous poser la question. Si vous utilisez Meta AI ou un autre assistant grand public pour votre travail, les questions-réponses de la CNIL sur l’IA générative donnent un cadre clair.

1. 01Réservez ces services à des tâches non confidentielles, et désactivez la réutilisation des données quand c’est possible.
2. 02Évitez les comptes personnels pour un usage professionnel.
3. 03Ne partagez jamais d’informations confidentielles ni de données personnelles, qu’il s’agisse de clients, de candidats ou de collègues.
4. 04Retenez que l’organisme qui déploie l’outil est responsable. Une analyse d’impact est recommandée, en impliquant le délégué à la protection des données.
5. 05De votre côté, écrivez ces règles dans une courte charte interne, pour que chacun sache ce qui est permis.

Pour une petite structure, la CNIL a publié avec France Num et la CPME des fiches pratiques pour les TPE et PME. Elles invitent aussi à se prémunir contre la perte de savoir et la dépendance à un outil. Le sujet n’a rien de marginal : 18 % des entreprises de 10 salariés ou plus utilisaient au moins une technologie d’IA en 2025, selon l’INSEE.

Un exemple concret

Prenez Claire, chargée de clientèle dans une agence immobilière à Nantes. Elle veut transformer ses notes de rendez-vous en compte rendu propre, et elle a Meta AI sous la main dans WhatsApp.

Version à éviter : elle colle ses notes telles quelles. On y trouve le nom du couple, son adresse actuelle, son budget et la raison du déménagement. Le résultat est bien écrit. Mais elle vient de mettre des données personnelles de clients dans un service grand public, ce que la CNIL déconseille explicitement.

Version prudente : elle remplace les noms par « client A », retire l’adresse et arrondit le budget en fourchette. Elle demande ensuite une structure en trois parties : besoin, contraintes, prochaines étapes. Elle réintègre les vrais détails elle-même, dans l’outil de l’agence. Le gain de temps est presque le même. Le risque n’a rien à voir. La façon de formuler ce type de demande est détaillée dans Formation prompt IA : les quatre éléments d’une bonne demande.

Ce que vous faites cette semaine

1. 01Vérifiez quels comptes Meta sont liés à votre Centre de comptes, puis décidez si vous vous opposez à l’entraînement.
2. 02Relisez ce qui est public sur vos profils personnels et professionnels.
3. 03Choisissez une tâche de bureau où vous utilisez déjà un assistant IA, et retirez-en toute donnée nominative.
4. 04Si vous encadrez une équipe, rédigez trois règles d’usage et partagez-les.

Si vous hésitez encore entre plusieurs assistants, Formation ChatGPT : comment reconnaître une bonne formation aide à séparer ce qui relève de l’outil de ce qui relève de la méthode.

Savoir quoi confier à une IA, et quoi garder pour vous, s’apprend. Coursium est une app iPhone qui vous apprend à utiliser l’IA au travail, par petites leçons pratiques : vous pouvez découvrir Coursium ici.