Deepfake et RGPD : pourquoi associer ces deux sujets ?

Deepfake et RGPD sont désormais des sujets liés. Une entreprise peut utiliser une photo, une vidéo ou un enregistrement vocal, dans un projet utilisant de l’intelligence artificielle. Les contenus générés peuvent contenir des données personnelles. Leur utilisation doit donc respecter les règles applicables à la protection des données.

Le sujet va plus loin que le simple risque de fraude.

Un deepfake peut reproduire un visage, une voix ou des mouvements. Il peut aussi créer un contenu fictif à partir de données réelles. La CNIL rappelle que les hypertrucages peuvent porter atteinte à la vie privée et à la réputation. Ils peuvent aussi faciliter l’usurpation d’identité et certaines fraudes.

Pour une entreprise, la première question n’est donc pas seulement : « Est-ce un deepfake ? »

Il faut aussi demander : « Quelles données personnelles ont été utilisées pour le créer, le faire fonctionner ou l’entraîner ? »

1. Deepfake et RGPD : pourquoi l’entreprise est concernée ?

Le RGPD définit largement la donnée à caractère personnel. Il s’agit de toute information qui se rapporte à une personne physique identifiée ou identifiable.

La CNIL cite notamment les photos, les enregistrements sonores de voix et les données biométriques, parmi les exemples de données personnelles. Une personne peut également être identifiée par le croisement de plusieurs informations.

Deepfake et RGPD : une photo peut être une donnée personnelle

Prenons la photo d’un salarié qui est utilisée sur :

• le site internet de l’entreprise ;
• une présentation commerciale ;
• un trombinoscope ;
• un profil professionnel ;
• une vidéo de formation ;
• une conférence enregistrée.

Si la personne est identifiable, la photo constitue une donnée personnelle au sens du RGPD.

L’entreprise doit donc analyser le traitement qu’elle réalise avec cette image. Elle ne doit pas uniquement regarder le résultat final. Elle doit regarder la collecte, l’utilisation, le stockage, les destinataires et la durée de conservation.

Deepfake et RGPD : une voix peut également être une donnée personnelle

La même logique s’applique à un enregistrement vocal.

Une voix enregistrée peut permettre d’identifier une personne. La CNIL la cite explicitement parmi les exemples de données personnelles.

Cela concerne notamment :

• les assistants vocaux ;
• les vidéos d’entreprise ;
• les podcasts ;
• les formations ;
• les appels enregistrés ;
• les démonstrations commerciales ;
• les échantillons utilisés dans un outil de clonage vocal.

Le fait qu’une entreprise dispose déjà légalement de l’enregistrement ne signifie pas qu’elle peut automatiquement le réutiliser pour une nouvelle finalité.

2. Deepfake et RGPD : attention à la confusion avec la biométrie

C’est un point qui mérite d’être précisé.

Une photo ou une voix n’est pas automatiquement une donnée biométrique au sens du RGPD.

Le RGPD définit les données biométriques comme des données résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne, et qui permettent ou confirment son identification de façon unique.

La reconnaissance faciale illustre bien cette différence.

Une simple photographie peut être une donnée personnelle.

En revanche, lorsqu’un système extrait des caractéristiques du visage afin de produire un gabarit utilisé pour identifier ou authentifier une personne, les données issues de ce traitement peuvent relever de la biométrie. La CNIL décrit précisément ce fonctionnement pour la reconnaissance faciale.

Deepfake et RGPD : quand la voix ou le visage deviennent-ils biométriques ?

Il faut donc regarder ce que fait techniquement le système.

Exemple :

Cas 1 : photographie

Une entreprise conserve la photo d’un salarié dans son trombinoscope.
→ Il s’agit d’une donnée personnelle si le salarié est identifiable.

Cas 2 : reconnaissance faciale

Une solution transforme les caractéristiques du visage en gabarit afin d’authentifier le salarié.
→ Le traitement peut relever des données biométriques au sens du RGPD.

Cette distinction est importante. Elle évite de qualifier automatiquement toute image ou toute voix de « donnée biométrique ».

3. Deepfake et RGPD : quelles obligations pour l’entreprise ?

Il n’existe pas une obligation RGPD spécifique intitulée « obligation deepfake ».

L’entreprise doit appliquer les règles du RGPD au traitementconcerné, dès lors qu’il concerne des données personnelles.

Cela commence par plusieurs questions fondamentales.

Deepfake et RGPD : définir une finalité précise

Pourquoi l’entreprise utilise-t-elle ces données ?

Par exemple :

« Créer une vidéo de formation avec un avatar représentant un salarié. »

Cette finalité doit être clairement définie.

L’entreprise doit ensuite vérifier que les données utilisées sont pertinentes pour cette finalité.

La CNIL rappelle que la collecte et l’utilisation de données personnelles dans un système d’IA doivent respecter le RGPD et les droits des personnes.

4. Choisir une base légale

Une entreprise doit identifier la base légale applicable au traitement.

Selon le contexte, différentes bases prévues par l’article 6 du RGPD peuvent être pertinentes.

Il faut toutefois éviter une erreur fréquente : le consentement n’est pas automatiquement la bonne réponse dès lors qu’une photo ou une voix est utilisée.

Le choix de la base légale dépend du traitement concret, de sa finalité et du contexte.

La CNIL rappelle plus largement que les traitements réalisés avec des systèmes d’IA doivent respecter les principes du RGPD.

Lorsque le traitement porte sur des données relevant de catégories particulières, les exigences supplémentaires de l’article 9 du RGPD doivent également être examinées.

5. Deepfake et RGPD : informer les personnes

L’information des personnes constitue un autre point essentiel.

Une personne dont les données sont utilisées pour le développement ou l’utilisation d’un système d’IA conserve les droits prévus par le RGPD.

La personne dispose de droits :

• d’accès ;
• de rectification ;
• d’effacement ;
• de limitation ;
• de portabilité, lorsque les conditions sont réunies ;
• d’opposition, lorsque les conditions sont réunies.

Et elle doit être informée, tel que précisé dans les articles 13 et 14 du RGPD.

L’entreprise doit donc déterminer quelles informations doivent être fournies aux personnes concernées, et comment elles pourront exercer leurs droits.

Exemple : utiliser la voix d’un salarié pour entraîner une IA

Une entreprise dispose de plusieurs heures d’enregistrements réalisés dans le cadre de formations. Elle souhaite maintenant utiliser ces fichiers pour développer un système de clonage vocal.

Elle ne devrait pas partir directement de la question : « Avons-nous déjà ces fichiers ? »

Elle doit commencer par : « Quelle est la nouvelle finalité ? Quelles données sont utilisées ? Sur quelle base juridique ? Quelles informations ont été fournies aux personnes ? Quels droits peuvent-elles exercer ? »

C’est cette analyse qui permet de déterminer le cadre applicable.

6. Deepfake et droit à l’image : deux sujets à ne pas confondre

RGPD et droit à l’image sont liés, mais ils ne se confondent pas.

La CNIL le rappelle expressément : la protection des données personnelles et le droit à l’image doivent être distingués.

Le droit à l’image relève notamment du droit au respect de la vie privée prévu par l’article 9 du Code civil.

Respecter le droit à l’image signifie se poser la question suivante : L’entreprise peut-elle reproduire et diffuser l’image de cette personne dans le contexte envisagé ?

Le RGPD, lui, pose une autre question : Quel traitement de données personnelles l’entreprise réalise-t-elle ? Ce traitement respecte-t-il les exigences du RGPD ?

IA et droit à l’image : un accord n’épuise pas nécessairement le sujet RGPD

Prenons un cas concret.

Un salarié accepte que son entreprise utilise sa photo sur le site internet. Quelques mois plus tard, l’entreprise utilise cette même photo pour générer un avatar destiné à des vidéos commerciales.

Il faut alors examiner la nouvelle utilisation.

L’autorisation initiale de diffusion de la photo ne permet pas, à elle seule, de conclure que tous les traitements ultérieurs sont couverts.

Il faut analyser la finalité, le cadre juridique et les conditions de réutilisation.

7. Deepfake et RGPD : le cas du clonage vocal

Le clonage vocal mérite une attention particulière.

Une entreprise peut disposer de nombreux enregistrements :

• réunions ;
• webinaires ;
• podcasts ;
• vidéos ;
• formations ;
• appels ;
• interviews.

Ces fichiers peuvent contenir des voix identifiables. La CNIL rappelle que les enregistrements sonores de voix peuvent constituer des données personnelles.

Le risque apparaît lorsque l’entreprise change l’usage de ces fichiers.

Exemple

Usage initial : Enregistrer une formation interne.

Nouvel usage : Utiliser les enregistrements pour entraîner un outil capable de reproduire la voix du formateur.

Ce ne sont pas les mêmes traitements. L’entreprise doit donc analyser le nouveau projet.

Elle doit notamment examiner :

• la finalité ;
• la base légale ;
• la nécessité des données ;
• l’information des personnes ;
• la durée de conservation ;
• les destinataires ;
• les mesures de sécurité ;
• les éventuels sous-traitants.

8. Deepfake et RGPD : que faire des photos et vidéos des salariés ?

Les entreprises accumulent souvent beaucoup de contenus.

Une seule campagne de communication peut produire :

• plusieurs centaines de photographies ;
• des heures de vidéos ;
• des interviews ;
• des enregistrements audio ;
• des contenus publiés sur les réseaux sociaux.

Ces fichiers ne devraient pas être considérés comme une simple bibliothèque marketing. Ils peuvent contenir des données personnelles.

Deepfake et image : limiter la collecte

Le principe de minimisation impose de ne pas collecter ou conserver plus de données personnelles que nécessaire pour la finalité poursuivie.

Le RGPD oblige d’intégrer les principes de protection des données dès la conception d’un traitement de données personnelles, et donc dès la conception d’un système d’IA. Il faut aussi tenir compte du principe de minimisation dans la gestion des données d’apprentissage de l’IA.

Il faut donc se poser la question suivante : « Avons-nous réellement besoin de conserver cette vidéo originale aussi longtemps ? »

Si la réponse est non, la conservation doit être réévaluée.

9. Deepfake et RGPD : attention aux données d’entraînement

C’est probablement l’un des sujets les plus importants.

Pour développer ou adapter un système d’IA, une entreprise peut utiliser un jeu de données d’apprentissage.

Ce jeu peut contenir :

• des photos ;
• des vidéos ;
• des voix ;
• des textes ;
• des informations professionnelles ;
• des données issues de bases existantes.

La CNIL rappelle que la constitution d’une base de données pour l’apprentissage d’un système d’IA peut présenter des risques importants pour les droits et libertés. Dans certaines situations, une AIPD est obligatoire.

Deepfake et RGPD : conserver les données après l’entraînement

Il faut également regarder ce qui se passe après l’entraînement.

Voici les questions à se poser :

• Les fichiers originaux sont-ils encore nécessaires ?
• Où sont-ils stockés ?
• Qui peut y accéder ?
• Combien de temps sont-ils conservés ?
• Le fournisseur d’IA les réutilise-t-il ?
• Existe-t-il une nouvelle finalité ?
• Les données sont-elles transférées à un autre prestataire ?

Il faut une gestion rigoureuse des données d’apprentissage ; il faut aussi que la protection des données soit prise en compte dès leur conception.

10. Deepfake et RGPD : faut-il réaliser une AIPD ?

Pas automatiquement.

Une AIPD est requise lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, sous réserve des situations prévues par le RGPD et les listes applicables.

La CNIL rappelle que l’AIPD permet notamment d’évaluer :

• la nécessité du traitement ;
• sa proportionnalité ;
• les risques pour les personnes ;
• les mesures techniques et organisationnelles nécessaires pour limiter ces risques.

AIPD et IA : un réflexe utile

La CNIL indique que la constitution d’une base d’apprentissage d’un système d’IA peut nécessiter une AIPD lorsqu’elle engendre un risque élevé.

Elle identifie notamment plusieurs risques propres à l’IA, dont le risque de produire un contenu fictif erroné sur une personne réelle, avec des conséquences possibles sur sa réputation.

Il serait donc imprudent d’affirmer qu’un projet de deepfake nécessite toujours une AIPD.

La bonne approche consiste en fait à évaluer le risque du traitement concret.

11. Deepfake et RGPD : sécurité et sous-traitance

Le risque ne vient pas uniquement de l’utilisation interne. L’entreprise peut transmettre ses données à un fournisseur d’IA. Il faut alors déterminer les rôles des différents acteurs.

La qualification de responsable du traitement, sous-traitant ou responsables conjoints dépend des faits et des décisions réellement prises. Elle ne dépend pas simplement de ce que prévoit le contrat.

Cette analyse est importante avant de transmettre :

• des photos ;
• des vidéos ;
• des voix ;
• des fichiers RH ;
• des contenus commerciaux ;
• des données d’entraînement.

Le contrat et les mesures de sécurité doivent ensuite être cohérents avec le rôle de chaque acteur.

12. Deepfake et RGPD : un exemple concret en entreprise

Imaginons une entreprise qui souhaite créer une série de vidéos de formation. Elle filme un salarié, enregistre sa voix et transmet ensuite les fichiers à un fournisseur d’IA afin de générer plusieurs vidéos.

Étape 1 : la donnée

La vidéo permet d’identifier le salarié. La voix permet également de l’identifier. Il s’agit donc de données personnelles dans le champ du RGPD.

Étape 2 : la finalité

L’entreprise doit définir pourquoi elle utilise ces données.

Par exemple : Création de contenus de formation internes.

Étape 3 : la base juridique

Elle doit identifier la base légale appropriée au traitement.

Étape 4 : l’information

Le salarié doit recevoir les informations nécessaires sur le traitement applicable.

Étape 5 : le fournisseur d’IA

L’entreprise doit déterminer le rôle du fournisseur d’IA et encadrer la relation conformément au RGPD lorsque cela s’applique.

Étape 6 : la conservation

L’entreprise doit définir combien de temps elle conserve les vidéos et les fichiers audio.

Étape 7 : les risques

Elle doit évaluer les risques liés :

• à l’accès aux fichiers ;
• à leur réutilisation ;
• à leur diffusion ;
• à une violation de données ;
• à la création de contenus trompeurs.

Étape 8 : l’AIPD

Elle vérifie si le traitement présente un risque élevé nécessitant une AIPD.

Cette démarche est beaucoup plus solide que de simplement demander au salarié : « Est-ce que cela vous dérange si on utilise votre vidéo avec une IA ? »

13. Deepfake et RGPD : les 7 erreurs à éviter

1. Penser qu’une photo publique est librement réutilisable

Le fait qu’une photo soit accessible sur Internet ne signifie pas que toutes les utilisations sont autorisées. Une photo identifiable constitue une donnée personnelle. Et le droit à l’image peut également s’appliquer.

2. Confondre consentement et droit à l’image

Le consentement peut être une base juridique du RGPD dans certaines situations. Mais le droit à l’image constitue un sujet distinct. Il faut analyser les deux cadres séparément.

3. Considérer que toute voix est biométrique

Ce n’est pas exact. Une voix peut être une donnée personnelle sans être automatiquement une donnée biométrique au sens du RGPD. La qualification dépend notamment du traitement réalisé et de sa finalité.

4. Utiliser d’anciens fichiers pour une nouvelle finalité

Une donnée collectée pour une finalité donnée ne devient pas disponible pour toutes les utilisations futures. Il faut examiner la compatibilité et le cadre juridique du nouveau traitement.

5. Oublier les données d’entraînement

Les fichiers utilisés pour entraîner ou adapter un système d’IA doivent être intégrés dans l’analyse. La CNIL recommande par ailleurs une gestion rigoureuse de ces données.

6. Ne pas vérifier la conservation

Le projet peut être terminé. Mais les fichiers peuvent rester dans plusieurs systèmes. L’entreprise doit donc identifier les lieux de conservation et les durées applicables.

7. Penser uniquement au risque technique

Un deepfake peut aussi créer un risque pour la personne. La CNIL cite notamment l’atteinte à la vie privée, à la réputation et l’usurpation d’identité, parmi les risques liés aux hypertrucages.

14. Deepfake et RGPD : une checklist pour les entreprises

Avant d’utiliser le visage ou la voix d’une personne dans un projet d’IA, posez-vous les questions suivantes :

Données

• Quelles données utilisons-nous ?
• S’agit-il de photos, vidéos, voix ou autres informations ?
• Les personnes sont-elles identifiables ?
• Certaines données relèvent-elles de catégories particulières ?

Finalité

• Pourquoi utilisons-nous ces données ?
• La finalité est-elle clairement définie ?
• Cette utilisation correspond-elle à ce qui avait été prévu lors de la collecte ?

Base juridique

• Quelle base juridique justifie le traitement ?
• Si des données de l’article 9 sont concernées, quelle condition supplémentaire s’applique ?

Personnes

• Les personnes sont-elles correctement informées ?
• Peuvent-elles exercer leurs droits ?
• Comment l’entreprise répond-elle aux demandes ?

Les personnes dont les données sont utilisées dans le développement d’un système d’IA disposent de droits sur ces données.

Fournisseur

• Qui traite les données ?
• Quel est le rôle de chaque acteur ?
• Où les données sont-elles traitées ?
• Combien de temps sont-elles conservées ?
• Sont-elles réutilisées pour d’autres finalités ?

Sécurité

• Qui peut accéder aux fichiers ?
• Comment sont-ils protégés ?
• Que se passe-t-il en cas de fuite ?

AIPD

• Le traitement présente-t-il un risque élevé ?
• Une AIPD est-elle obligatoire ?
• Les risques résiduels sont-ils acceptables ?

15. Deepfake et RGPD : le vrai enjeu est l’identité numérique

Le deepfake change la nature du problème.

Auparavant, une entreprise protégeait les données suivantes : nom, adresse, adresse e-mail, numéro de téléphone, identifiant.

Aujourd’hui, elle doit aussi réfléchir aux contenus qui représentent directement une personne : son visage, sa voix, son image et parfois aussi ses caractéristiques biométriques.

La CNIL rappelle que les hypertrucages peuvent reproduire une voix, un visage ou des mouvements avec un réalisme croissant.

Le sujet rejoint donc la protection des données personnelles, mais aussi la cybersécurité et la protection de l’identité numérique.

Une entreprise peut avoir correctement sécurisé son système informatique et rester vulnérable à un autre type de menace : quelqu’un utilise l’identité visuelle ou vocale d’un collaborateur pour produire un contenu crédible.

Cela ne transforme pas automatiquement chaque deepfake en violation du RGPD. Mais cela montre pourquoi une entreprise doit intégrer les usages de l’IA dans son analyse globale des risques.

FAQ — Deepfake et RGPD

Conclusion : le deepfake devient aussi un sujet RGPD

Les sujets du deepfake et du RGPD se rencontrent dès qu’une entreprise utilise des données personnelles pour créer, modifier, entraîner ou exploiter un système d’intelligence artificielle.

Le visage et la voix sont particulièrement importants. Mais il faut éviter les raccourcis. Une photo n’est pas automatiquement une donnée biométrique. Une voix n’est pas automatiquement une donnée biométrique. Un deepfake n’est pas automatiquement une violation du RGPD.

En revanche, une photo ou une voix permettant d’identifier une personne peut constituer une donnée personnelle. Et leur utilisation dans un système d’IA doit être analysée au regard des règles applicables.

L’entreprise doit donc regarder l’ensemble du cycle :

collecte → finalité → base juridique → information → utilisation → fournisseur → conservation → sécurité → droits → évaluation des risques.

Et, lorsque le risque est élevé, elle doit déterminer si une AIPD est nécessaire.

En somme, le véritable enjeu n’est pas seulement de savoir si l’entreprise utilise un deepfake.

C’est de savoir ce qu’elle fait des données qui permettent de représenter une personne.

C’est là que le sujet du deepfake, de l’IA, du RGPD et de l’identité numérique devient un véritable sujet de gouvernance des données.  Alors n’hésitez pas, contactez DMOuvrard ou prenez rendez-vous sur https://meet.brevo.com/mickael-ouvrard/diagnostic-flash pour échanger sur votre situation.

Découvrez également ici l’ensemble de nos services et l’ensemble de nos formations.

DMOuvrard, l’atout des petites structures !

Sources et dates de référence

• CNIL — « Hypertrucage (deepfake) : comment se protéger et signaler les contenus illicites ? », 3 février 2026 : la CNIL décrit les hypertrucages comme des contenus audio, photo ou vidéo créés ou modifiés par IA pouvant imiter une voix, un visage ou des mouvements. Elle évoque notamment les risques pour la vie privée, la réputation et l’usurpation d’identité.
  Hypertrucage (deepfake) : comment se protéger et signaler les contenus illicites ? | CNIL

• CNIL — « RGPD : de quoi parle-t-on ? », 10 avril 2018 : définition des données personnelles et exemples incluant voix, image et données biométriques.
  RGPD : de quoi parle-t-on ? | CNIL

• CNIL — « Identifier les données personnelles », 27 janvier 2020 : exemples de photos et d’enregistrements sonores de voix.
  Identifier les données personnelles | CNIL

• CNIL — « Reconnaissance faciale » :pour distinguer une simple image d’un traitement biométrique destiné à authentifier ou identifier une personne.
  Reconnaissance faciale | CNIL

• CNIL — « Demander le retrait de votre image en ligne », 25 janvier 2016 : pour la distinction entre protection des données personnelles et droit à l’image.
  Demander le retrait de votre image en ligne | CNIL

• Légifrance — « Code civil, article 9 » :pour le droit au respect de la vie privée.
  Article 9 – Code civil – Légifrance

• Service-Public.fr — « Droit à l’image et respect de la vie privée », vérifié le 6 mai 2022 :Source complémentaire sur le droit à l’image.
  Droit à l’image et respect de la vie privée | Service Public

• CNIL — « IA : Respecter et faciliter l’exercice des droits des personnes concernées », 7 février 2025 : pour les droits des personnes dans le contexte de l’IA.
  IA : Respecter et faciliter l’exercice des droits des personnes concernées | CNIL

• CNIL — « IA : Tenir compte de la protection des données dans la collecte et la gestion des données », 8 avril 2024 : minimisation, durée de conservation, gestion des données d’apprentissage et la protection des données dès la conception.
  IA : Tenir compte de la protection des données dans la collecte et la gestion des données | CNIL

• CNIL — « IA : Réaliser une analyse d’impact si nécessaire », 8 avril 2024 : AIPD et risques spécifiques liés aux systèmes d’IA.
  IA : Réaliser une analyse d’impact si nécessaire | CNIL

• CNIL — « L’analyse d’impact relative à la protection des données. » : pour les conditions générales de réalisation d’une AIPD et son objectif.
  L’analyse d’impact relative à la protection des données (AIPD) | CNIL

• CNIL — « Responsable du traitement, sous-traitants : comment bien identifier son rôle ? », 6 juin 2025 : pour la qualification des rôles dans les traitements de données.
  Responsable du traitement, sous-traitants : comment bien identifier son rôle ? | CNIL