Photos professionnelles générées par IA : les questions RGPD que toute entreprise devrait se poser
Les générateurs de portraits professionnels par IA séduisent les entreprises. Mais confier les visages de ses collaborateurs à une IA n'est pas un achat logiciel comme un autre. Les questions à poser.
Le portrait professionnel est en train de changer de mains. Une séance photo en studio coûte entre 100 et 500 euros par personne, mobilise un photographe, un créneau, des retouches — multipliez par la taille d'une équipe et vous comprenez pourquoi les directions marketing regardent ailleurs. Les générateurs de portraits par IA promettent le même résultat en quelques minutes, pour une fraction du prix, avec une cohérence visuelle parfaite entre tous les collaborateurs. La promesse est réelle : la technologie sous-jacente, l'entraînement de modèles de diffusion spécialisés sur les photos d'une personne, produit aujourd'hui des portraits difficiles à distinguer d'une séance studio.
Mais il y a une différence de nature entre acheter un logiciel de comptabilité et envoyer les selfies de vos collaborateurs à un prestataire pour entraîner une IA. Cette différence s'appelle le RGPD, et elle est trop souvent découverte après signature.
Le visage n'est pas une donnée comme les autres
Une photographie n'est pas, en soi, une donnée biométrique au sens du RGPD. Le considérant 51 du règlement est précis : elle le devient lorsqu'elle est traitée par des moyens techniques spécifiques permettant l'identification unique d'une personne. Or c'est exactement ce que fait un générateur de portraits : il analyse les traits du visage sur une série de photos pour construire un modèle capable de reproduire fidèlement cette personne – et souvent, il vérifie la ressemblance des résultats par des techniques de reconnaissance faciale.
Autrement dit, une entreprise qui fait générer les portraits de son équipe déclenche potentiellement un traitement de données relevant de l'article 9 — la catégorie la plus protégée du règlement. Cela ne rend pas la pratique illégale : cela impose des exigences précises sur le consentement des collaborateurs, la base légale du traitement, et surtout sur ce que le prestataire fait réellement de ces données. C'est là que les différences entre acteurs du marché deviennent béantes.
Modèle mutualisé ou modèle privé : la question centrale
Tous les générateurs de portraits ne fonctionnent pas de la même façon, et la distinction la plus importante est rarement mise en avant sur les pages de vente : les photos de vos collaborateurs servent-elles à entraîner un modèle qui leur est propre, ou alimentent-elles un modèle mutualisé ?
Dans le premier cas, chaque personne dispose d'un modèle privé, entraîné uniquement sur ses propres photos, qui ne sert qu'à générer ses propres portraits. Dans le second, les visages de votre équipe contribuent à améliorer un système qui profite à l'ensemble des clients du prestataire — une finalité de traitement très différente de celle pour laquelle le consentement a été recueilli, et un risque réel de dilution du contrôle sur ces données.
La question mérite d'être posée par écrit avant tout engagement. Un prestataire qui ne peut pas y répondre clairement vous a déjà répondu.
Les cinq questions à poser avant de signer
Où sont physiquement stockées les données ? "Hébergement en Europe" est une formule marketing tant qu'elle ne précise pas ce qui est stocké où : les photos d'entraînement, le modèle entraîné et les portraits générés peuvent vivre sur trois infrastructures différentes, chez trois sous-traitants différents.
Qui sont les sous-traitants, nommément ? L'entraînement de modèles d'IA repose presque toujours sur des infrastructures GPU tierces. Un prestataire sérieux les nomme dans sa politique de confidentialité, avec leur localisation. Une liste de sous-traitants vague ou absente est un signal d'alarme.
La suppression est-elle implémentée, ou seulement promise ? Beaucoup de politiques de confidentialité promettent la suppression des données "sur demande". La vraie question : existe-t-il un mécanisme effectif — visible, actionnable par l'utilisateur — qui supprime les photos d'entraînement, le modèle entraîné et les données faciales intermédiaires ? Demandez une démonstration, une prevue. La différence entre une promesse contractuelle et une fonctionnalité implémentée se voit en quelques secondes.
Que devient le modèle entraîné à la fin du contrat ? Le modèle lui-même est une donnée dérivée du visage de vos collaborateurs. S'il survit à la résiliation, votre maîtrise des données aussi s'est arrêtée à cette étape.
Les portraits générés sont-ils identifiables comme tels ? La question monte en puissance avec l'AI Act européen, dont les obligations de transparence sur les contenus générés s'appliqueront largement d'ici 2026-2027. Une entreprise qui affiche des portraits générés sur son site a intérêt à savoir ce que son prestataire prévoit en matière de marquage et de traçabilité.
Une spécificité française à ne pas perdre de vue
La France a une culture du portrait professionnel plus exigeante que la moyenne : la photo sur le CV y reste une norme, le trombinoscope une institution, et le portrait des dirigeants un élément de communication à part entière. Cette culture fait du marché français un terrain d'adoption naturel pour ces outils — et donc un terrain où ces questions de conformité se poseront plus vite et plus fort qu'ailleurs. Les DRH et directions juridiques françaises ont l'occasion d'être en avance sur un sujet qui, ailleurs, n'est même pas encore identifié.
La transparence comme critère d'achat
Une précision d'honnêteté : je dirige un acteur de ce marché (Styntheticpic - https://syntheticpic.com), j'ai donc un intérêt évident à ce que ces questions soient posées — précisément parce qu'elles éliminent les prestataires qui ne peuvent pas y répondre, et qu'elles tirent le secteur vers le haut. L'IA générative appliquée au visage humain n'a pas besoin de moins d'audit, elle en a besoin de plus. Et les entreprises qui l'adoptent ont le pouvoir d'imposer ce standard : il suffit de poser les bonnes questions avant de signer...