À retenir : deepfakes, droit français et AI Act
- Diffusion trompeuse d’une image ou d’une voix sans consentement : risque pénal
- Contenu sexuel synthétique : sanctions spécifiques et préjudice particulièrement grave
- Étiquetage de l’intelligence artificielle : transparence, jamais autorisation automatique
- Preuves conservées rapidement : démarches de retrait et plainte mieux étayées
Deepfakes et droit pénal français : les règles depuis la loi SREN
Un visage incrusté dans une vidéo, une voix clonée au téléphone : les deepfakes rendent aujourd’hui crédibles des scènes qui n’ont jamais existé. Pour illustrer le risque, imaginons qu’une employée, Nadia, reçoive un message vocal imitant son dirigeant et lui ordonnant un virement urgent.
La loi française ne traite pas toutes ces situations de la même manière. Depuis la loi SREN du 21 mai 2024, l’article 226-8 du Code pénal vise explicitement certains contenus visuels ou sonores fabriqués ou modifiés par intelligence artificielle.
Diffusion sans consentement : ce que prévoit l’article 226-8
Pour le droit pénal, le point déterminant est notamment la communication du contenu à un tiers ou au public, sans consentement, lorsque son caractère artificiel n’est pas clairement indiqué. Selon l’article 226-8 du Code pénal, la peine prévue peut atteindre un an d’emprisonnement et 15 000 euros d’amende, portée à deux ans et 45 000 euros en cas de diffusion par un service de communication en ligne.
Un deepfake clairement présenté comme artificiel n’est donc pas automatiquement licite : le droit à l’image, la vie privée, la diffamation ou l’usurpation d’identité peuvent également entrer en jeu. Inversement, une parodie explicitement signalée ne se juge pas comme une vidéo conçue pour tromper ou nuire.
Les principales qualifications dépendent de l’usage :
- Montage trompeur diffusé sans consentement : article 226-8 du Code pénal
- Imitation destinée à obtenir un paiement : escroquerie possible
- Imitation employée pour se faire passer pour autrui : usurpation d’identité possible
- Propos imputant des faits précis : diffamation à examiner selon le contexte
Deepfakes sexuels : des peines renforcées
Les contenus à caractère sexuel font l’objet d’une disposition pénale spécifique, y compris lorsqu’ils sont synthétiques. Selon l’article 226-8-1 du Code pénal, leur diffusion sans accord est passible de deux ans d’emprisonnement et 60 000 euros d’amende, ou de trois ans et 75 000 euros lorsqu’elle intervient en ligne.
La gravité tient autant à la diffusion qu’à ses effets : humiliation, menaces, perte de contrôle sur son image ou harcèlement. Si la personne représentée est mineure, d’autres infractions relatives aux représentations pornographiques de mineurs peuvent s’appliquer ; la qualification dépend précisément du contenu et des faits.
Ces dispositions répriment principalement la diffusion, non la seule création isolée d’un fichier. Toutefois, une création accompagnée de menaces, de chantage ou d’autres actes peut relever d’autres infractions, selon les circonstances.
Le tableau distingue les principales peines prévues par ces deux articles :
| Situation | Texte | Peine prévue |
|---|---|---|
| Diffusion non sexuelle, hors service en ligne | Article 226-8 | Jusqu’à un an et 15 000 euros |
| Diffusion non sexuelle, en ligne | Article 226-8 | Jusqu’à deux ans et 45 000 euros |
| Montage sexuel diffusé, hors service en ligne | Article 226-8-1 | Jusqu’à deux ans et 60 000 euros |
| Montage sexuel diffusé en ligne | Article 226-8-1 | Jusqu’à trois ans et 75 000 euros |
AI Act et contenus synthétiques : transparence sans immunité
À ces règles nationales s’ajoutent les obligations européennes, qui concernent la transparence des contenus et le rôle des services numériques. Elles ne remplacent pas les recours pénaux ou civils : elles ajoutent des exigences de signalement et d’organisation.
Article 50 de l’AI Act : obligation d’information
L’article 50 du règlement européen sur l’intelligence artificielle prévoit des obligations de marquage et de divulgation pour certains contenus générés ou manipulés par IA. À partir du 2 août 2026, les règles de transparence concernées deviennent applicables ; les modalités dépendent du rôle de l’acteur et de la nature du contenu.
En particulier, un déployeur qui diffuse un deepfake doit révéler son caractère artificiel, sous réserve des exceptions prévues, notamment pour certaines œuvres manifestement artistiques, satiriques ou fictives. L’obligation d’étiquetage ne donne cependant pas le droit d’utiliser l’image ou la voix d’une personne sans respecter les autres règles applicables.
Concrètement, une entreprise qui publie une vidéo publicitaire avec un porte-parole synthétique ne devrait pas confondre mention de l’IA et consentement. Le droit à l’image, les droits contractuels et la responsabilité juridique restent à examiner séparément.
Plateformes numériques : signalement et traitement des contenus
Le Digital Services Act impose des mécanismes de notification des contenus potentiellement illicites et des obligations de diligence aux plateformes concernées. Selon le règlement sur les services numériques, les grandes plateformes en ligne doivent aussi évaluer et réduire certains risques systémiques, notamment ceux liés à la diffusion de contenus illégaux.
Un signalement précis aide à l’examen : adresse de la publication, identité apparente du contenu, explication de l’atteinte et éléments montrant son caractère synthétique. Le retrait n’est pas automatique dans tous les cas, mais une notification circonstanciée facilite l’évaluation juridique.
Pour distinguer les acteurs et leurs obligations, voici les principaux repères :
| Acteur ou cadre | Obligation ou fonction | Limite à retenir |
|---|---|---|
| Créateur ou fournisseur d’IA | Marquage technique prévu par l’AI Act pour certains contenus générés | Ne règle pas le consentement à l’utilisation d’une identité |
| Personne diffusant un deepfake | Divulgation du caractère artificiel dans les situations visées | Des exceptions encadrées existent |
| Plateforme en ligne | Procédure de notification et traitement des contenus signalés | Le signalement ne garantit pas un retrait immédiat |
| Victime | Recours pénal, civil et signalement selon les faits | Les démarches peuvent être menées en parallèle |
Cette répartition conduit directement aux gestes pratiques : préserver les éléments avant de demander leur suppression, puis choisir les recours adaptés.
Victime d’un deepfake : conserver les preuves et agir
Lorsqu’un contenu humiliant ou frauduleux circule, le premier réflexe est souvent de réclamer sa suppression. Il faut aussi préserver les preuves avant qu’elles ne disparaissent, car elles peuvent éclairer la plainte et la demande de retrait.
Preuves, signalement et plainte : les premiers gestes
Enregistrez l’adresse de la publication, la date de découverte, le nom du compte diffuseur et des captures d’écran contextualisées. Pour un dossier sensible, un constat réalisé par un commissaire de justice peut renforcer la conservation des éléments accessibles en ligne.
Les démarches peuvent s’enchaîner ou se mener en parallèle :
- Conserver les URL, captures, fichiers accessibles et dates de publication
- Signaler le contenu à la plateforme avec une description précise du préjudice
- Déposer plainte, y compris contre X si l’auteur reste inconnu
- Consulter un avocat pour examiner une action civile ou une procédure d’urgence
Selon le ministère de l’Intérieur, PHAROS permet de signaler certains contenus illicites en ligne ; THESEE concerne notamment des escroqueries sur internet. Ces dispositifs ne remplacent ni une plainte ni un conseil juridique, et le canal pertinent dépend des faits.
Prévention et responsabilité juridique des organisations
Pour réduire les risques, particuliers et organisations peuvent limiter l’exposition publique de fichiers très détaillés, protéger leurs comptes et vérifier toute demande financière urgente par un canal distinct. Nadia, dans l’exemple évoqué plus haut, aurait pu appeler directement son dirigeant avant d’effectuer le virement demandé par la voix clonée.
Les entreprises ont intérêt à établir des règles sur l’utilisation des visages, des voix et des contenus synthétiques : validation des autorisations, mention claire des créations artificielles et procédure interne de signalement. Une politique de transparence cohérente n’écarte pas toute responsabilité, mais aide à prévenir les usages trompeurs et à réagir rapidement.
Selon la CNIL, l’image et la voix identifiables peuvent soulever des questions de données personnelles, en fonction du traitement réalisé. Une organisation doit donc examiner à la fois le droit numérique, la protection des données, les droits de la personnalité et les obligations issues de l’AI Act.
Quelques mesures de prévention sont particulièrement concrètes :
- Vérification indépendante des demandes urgentes de paiement
- Accès limités aux enregistrements vocaux et vidéos internes
- Autorisation documentée avant toute imitation identifiable
- Procédure rapide de conservation, signalement et réponse aux victimes
Sources : Code pénal, articles 226-8 et 226-8-1 ; règlement (UE) 2024/1689 sur l’intelligence artificielle, article 50 ; règlement (UE) 2022/2065 sur les services numériques.
Le bon choix de formation dépend toujours de votre propre profil
Qu'il s'agisse d'un diplôme classique, d'un bootcamp intensif ou d'un parcours en ligne, chaque format répond à une logique différente. Comprendre ces nuances permet de choisir, de s'engager et de progresser avec plus de justesse dans son parcours en informatique.
Pour aller plus loin
- Toujours clarifier son profil et le métier visé avant de choisir une formation
- Comparer les formats sur des critères concrets, pas seulement sur leur réputation
- Tester avant de s'engager pleinement, via un module ou un projet personnel
- Garder en tête que la constance dans l'effort compte souvent plus que le point de départ
