Deepfake et droit à l’image : une photo publique ne vaut pas accord

État au 10 octobre 2026.

L’autorité de protection des données personnelles (UODO) a détaillé une saisine adressée à la police à la suite d’informations médiatiques concernant la manipulation de l’image d’une élève mineure par une autre mineure à l’aide d’outils d’IA. Le communiqué du 24.06.2026 porte sur une intervention administrative, non sur un jugement judiciaire. Le cœur de ce dossier réside dans la distinction entre la simple accessibilité d’une photo et le droit de l’utiliser. La nature artificielle ou falsifiée d’un visuel n’annule nullement la question de la responsabilité liée à sa création et à sa circulation.

Chronologie des faits

1. 24.06.2026 - communiqué officiel relatif à l’intervention.
2. 22.09.2026 - prise de position plus large sur les deepfakes et les contenus illicites, sans constituer un dénouement du dossier initial.

Ce qui ressort des démarches engagées

Déroulement : de l’écho médiatique à la réaction de l’autorité

Le point de départ a été une alerte relayée par les médias. L’autorité de protection a souligné que le fait qu’une photographie soit accessible publiquement ne constitue pas automatiquement une base juridique autorisant un tel traitement. UODO, 24.06.2026. Il s’agit d’une nuance fondamentale : la possibilité technique de télécharger un fichier ne préjuge en rien de la légitimité de son exploitation. La question n’est donc pas uniquement de savoir où la photo a été trouvée, mais ce qui en est fait.

Analyse : image artificielle, responsabilité bien réelle

L’authenticité technique et le préjudice subi doivent être évalués séparément. Déterminer qu’une image a été générée ou altérée par une IA répond à la question de sa conformité avec le réel. Cela ne répond pas à la question de savoir si l’exploitation de l’image d’autrui viole l’intégrité de la personne concernée. Le contexte imposé, la perte de contrôle sur sa propre représentation et l’exposition au regard des tiers constituent des critères majeurs, même lorsque les spectateurs identifient la manipulation. Nul besoin de croire que l’image est authentique pour prendre l’atteinte au sérieux.

L’argument reposant sur la disponibilité publique déplace la charge de la responsabilité du mauvais côté. La personne qui met en ligne un portrait devrait anticiper chaque altération possible, tandis que l’utilisateur de l’outil génératif n’aurait aucun compte à rendre sur ses choix. Le point de départ approprié consiste à examiner l’acte lui-même : la finalité, l’ampleur de l’usage et les modalités de partage. La prudence de la personne représentée ne saurait remplacer la responsabilité de celle qui traite son image.

L’IA reste un simple outil, non une excuse exonérant de l’évaluation des décisions humaines. Sélectionner un cliché, lui attribuer un nouveau sens et relayer le résultat sont des phases distinctes. Il convient de les séparer : stopper la création de nouvelles altérations ne revient pas à endiguer la diffusion d’un contenu déjà existant. Une procédure focalisée uniquement sur l’identification technique de l’outil omet la question essentielle : que faire du contenu déjà visible par des tiers ?

De la même façon, il est indispensable de dissocier le signalement d’un abus de sa rediffusion. Ajouter un commentaire indigné ne change rien au fait qu’une copie supplémentaire parvient à de nouveaux destinataires. Les bonnes intentions ne suffisent pas : seule compte la nécessité réelle de transmettre le fichier à la personne ou au service compétent. Une mise en garde peut parfaitement expliciter les faits sans dupliquer le visuel. Réduire la diffusion des détails ne signifie pas minimiser l’incident, mais refuser d’alimenter un nouveau relais de propagation.

Gagnants et perdants : résultat immédiat contre démarche pérenne

Dans ce dossier, il n’y a pas lieu d’établir un bilan entre vainqueurs et vaincus. Le simple communiqué ne prouve ni la reprise de contrôle sur l’image, ni l’interruption effective de sa circulation. On peut en revanche identifier les bénéfices et les contraintes d’une réaction structurée. La personne ciblée tire profit d’un dispositif qui lui permet de dénoncer l’abus sans se retrouver une nouvelle fois exposée sur la place publique. C’est l’objectif visé, et non une issue confirmée de cette intervention spécifique.

Une entreprise, un établissement scolaire ou le gestionnaire d’un groupe en ligne peut y gagner une répartition claire des rôles. La réception de l’alerte, la prise de décision et l’information sur le suivi ne doivent pas reposer sur le premier utilisateur venu. Le coût d’une telle organisation réside dans le temps à y consacrer et la prise de responsabilité. Une prise en charge n’a de réelle valeur que si elle limite l’incident, et non si elle sert seulement à clore hâtivement un ticket interne.

L’internaute qui renonce à republier le document renonce à satisfaire la curiosité d’autrui, mais il coupe un canal de transmission. Cette attitude n’a rien de spectaculaire : elle n’apporte aucune preuve publique d’engagement militant. C’est précisément pour cela qu’il convient de juger une réaction à ses effets concrets, non à sa visibilité. S’abstenir de relayer protège souvent bien mieux la victime qu’une dénonciation véhémente accompagnée du visuel incriminé.

Enseignements pour les organisations et les utilisateurs

Une procédure efficace n’exige pas de la personne qui signale qu’elle identifie formellement le modèle d’IA employé ou qu’elle qualifie juridiquement l’infraction. Le protocole doit simplement permettre de décrire le problème et de transmettre les éléments utiles à l’évaluation. La détection technique d’un deepfake ne peut pas être un préalable à la prise en compte du signalement. L’organisation a besoin d’un circuit de traitement lisible, et l’utilisateur d’une démarche simple pour donner l’alerte sans propager l’image.

• L’organisation doit désigner un canal d’alerte confidentiel et un référent identifié. L’accès aux pièces doit être restreint aux seules personnes chargées du dossier, sans exposition à l’ensemble des équipes.
• L’accusé de réception doit distinguer la prise en charge des vérifications de la résolution définitive du problème. Promettre la suppression intégrale de tout contenu sur le web exige des garanties réelles, et non de simples déclarations d’intention.
• L’utilisateur témoin doit s’abstenir de faire suivre le fichier, relever l’adresse URL ainsi que l’horodatage de la diffusion, puis alerter la plateforme et les canaux compétents.
• En cas d’incertitude sur les éléments à fournir, il est préférable de solliciter directement le service chargé du recueil plutôt que de multiplier les copies pour demander conseil autour de soi.

Mise en situation : signalement sur un espace collaboratif interne

Imaginons qu’une image manipulée d’un collaborateur apparaisse sur une messagerie d’équipe. Cet exemple vise à appliquer ces principes sans reproduire l’affaire initiale. Le premier dilemme concerne la mise en garde des collègues : faut-il diffuser l’image pour que chacun comprenne le problème, ou expliciter la consigne sans joindre le visuel ? Le choix le plus rigoureux consiste à rappeler l’interdiction de diffusion et à rediriger le signalement vers le canal désigné. L’équipe n’a pas besoin de contempler le montage pour respecter la consigne.

Le second dilemme porte sur l’archivage de la preuve. Le modérateur a besoin d’éléments précis pour identifier la publication, mais envoyer la capture à l’ensemble des managers n’est pas nécessaire. L’adresse, l’horodatage et les identifiants techniques peuvent être consignés, puis les suites déterminées avec la personne référente. L’objectif consiste à permettre l’intervention, non à créer une base documentaire partagée de contenus diffamatoires. Retirer la publication de l’espace commun et documenter l’incident constituent deux démarches bien distinctes.

Reste enfin la communication avec la personne visée. La réponse doit préciser les démarches concrètes entreprises et fournir un point de contact dédié, sans affirmer précipitamment que toutes les versions ont disparu. Vouloir clore le dossier immédiatement soulage l’administrateur, mais ne garantit nullement la disparition des copies. Cet exemple illustre la juste posture : restreindre l’accès tout en préservant la capacité d’action, et informer en toute transparence sans promettre un résultat impossible à vérifier.

Les zones d’ombre

La suite donnée à la procédure et le nombre précis de destinataires ne sont pas connus publiquement. UODO, 24.06.2026. Il convient de ne pas combler ces manques en spéculant sur les intentions ou l’état émotionnel des parties impliquées. Les principes directeurs demeurent sans ambiguïté : l’accès technique n’est pas une autorisation, le trucage n’efface pas l’atteinte, et un signalement administratif ne vaut pas condamnation. C’est sur ces critères qu’il convient de bâtir ses règles internes et ses réflexes quotidiens en matière de partage. Pour d’autres retours d’expérience, consultez notre série sur les cas pratiques d’IA.

Que recommander à un témoin ?

La personne qui découvre une telle manipulation a besoin d’une consigne directe : ne pas relayer l’image, consigner l’adresse où elle se trouve et utiliser le canal de signalement dédié. Demander de l’aide ne doit pas imposer de raconter publiquement les faits. Une procédure adaptée doit également prévoir la possibilité d’un signalement par un tiers bienveillant lorsque la personne représentée ne souhaite pas s’adresser elle-même aux administrateurs.

Sources

• UODO : communiqué d’intervention - 24.06.2026.
• UODO : prise de position sur les deepfakes et contenus illicites - 22.09.2026.