IA et vie privée : que devient la photo que vous importez ?

Réponse courte : une photo importée dans un outil IA est en général envoyée à un système distant, traitée par un modèle, puis le résultat vous est renvoyé. La question de savoir si la photo est conservée, pendant combien de temps, si elle sert à améliorer les modèles et avec qui elle est partagée dépend de la politique de confidentialité de l'outil. Cet article est indépendant de toute marque : nous ne décrivons le fonctionnement d'aucune application précise. Nous expliquons ce qu'il faut lire et les fondements des droits que vous confèrent le RGPD et la loi turque KVKK. Ce n'est pas un conseil juridique.

Que devient en général la photo importée ?

Dans la plupart des outils IA, le parcours suit ces étapes (la politique de l'outil peut en changer les détails) :

1. Import : la photo est envoyée via Internet au système de l'outil, ou à un fournisseur de modèle utilisé par celui-ci.
2. Traitement : un modèle lit la photo et applique la modification demandée.
3. Résultat : la sortie vous est affichée et est souvent conservée dans votre historique.
4. Journalisation et contrôle : le système peut enregistrer les requêtes ; ces traces peuvent être examinées pour détecter les abus.
5. Usage ultérieur : selon la politique, la photo ou les résultats peuvent servir à améliorer le service, ou être supprimés après un certain délai.

Il est donc important de savoir si l'outil est une société unique ou s'il transmet les photos à des fournisseurs de modèles tiers. Dans les politiques, ces fournisseurs sont appelés « sous-traitants ultérieurs » ou « prestataires de services ».

Une photo est-elle une donnée personnelle ?

La photo reconnaissable d'une personne est en général une donnée personnelle. Le RGPD définit la donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable. D'autres données présentes dans la photo renseignent aussi : les photos prises avec un téléphone contiennent souvent des informations intégrées (EXIF) comme l'heure de prise de vue, le modèle de l'appareil et parfois la localisation. Les panneaux visibles à l'arrière-plan, l'image du logement ou les visages d'autres personnes apportent eux aussi des informations.

Que vérifier dans la politique de confidentialité ?

Question	Où la trouver	Bon signe
Qui traite ma photo ?	Responsable du traitement et sous-traitants	Identité et contact de la société clairs, prestataires énumérés
Dans quel but ?	Finalités du traitement	Finalité claire ; « fournir le service » et « améliorer » sont distingués
Sert-elle à entraîner le modèle ?	Mentions « amélioration du service », « entraînement »	Dit clairement, avec une option pour refuser
Combien de temps est-elle conservée ?	Section sur la durée de conservation	Durée ou critère qui la détermine indiqués
Avec qui est-elle partagée ?	Destinataires et transferts	Catégories de destinataires et transferts hors UE précisés
Comment la supprimer ?	Droits et paramètres du compte	Étapes de suppression du compte et de l'historique
Et les enfants ?	Limite d'âge	Limite d'âge et information des parents

Si l'un de ces points reste flou, ou si vous ne trouvez pas de politique, n'importez pas de photo sensible dans cet outil.

Quels droits le RGPD vous donne-t-il ?

Dans l'UE, les organisations qui traitent des données doivent vous informer : leur identité, les finalités, les destinataires, la durée de conservation et l'existence de vos droits (RGPD, article 13). La page de guide du CEPD (EDPB) énumère les droits des personnes :

• Accès : savoir si des données sont traitées et en obtenir une copie gratuitement.
• Rectification : faire corriger une donnée inexacte ou compléter une donnée incomplète.
• Effacement : demander la suppression dans certains cas, par exemple lorsque la donnée n'est plus nécessaire à la finalité de la collecte.
• Limitation du traitement : l'organisation peut conserver la donnée, mais ne peut plus la traiter.
• Portabilité : recevoir vos données dans un format structuré, courant et lisible par machine ; uniquement dans certaines conditions.
• Opposition : s'opposer au traitement fondé sur l'intérêt légitime ou l'intérêt public, pour un motif tenant à votre situation particulière ; l'opposition au marketing doit être suivie sans motif à fournir.

L'organisation doit répondre dans un délai d'un mois ; pour les demandes complexes, ce délai peut être prolongé de deux mois, mais elle doit vous en informer dans le premier mois. En cas de refus, elle doit en donner les motifs et vous informer de votre droit de saisir l'autorité de contrôle.

Quels droits la loi KVKK vous donne-t-elle ?

Selon la loi n° 6698 sur la protection des données personnelles (KVKK), le responsable du traitement doit, lors de la collecte, vous informer de son identité, de la finalité du traitement, des personnes et des finalités pour lesquelles les données peuvent être transférées, de la méthode et de la base juridique de la collecte, ainsi que de vos droits de l'article 11 (article 10). Selon l'article 11, en adressant une demande au responsable du traitement, vous pouvez :

• Savoir si vos données personnelles sont traitées et demander des informations.
• Connaître la finalité du traitement et savoir si les données sont utilisées conformément à cette finalité.
• Connaître les tiers auxquels les données sont transférées, au pays ou à l'étranger.
• Demander la rectification des données incomplètes ou inexactes.
• Demander l'effacement ou la destruction des données dans les conditions prévues, et que cette mesure soit notifiée aux tiers auxquels elles ont été transférées.
• Vous opposer à un résultat défavorable résultant uniquement de l'analyse de données par des systèmes automatisés.
• Demander réparation du dommage subi en raison d'un traitement illicite.

Selon l'article 13, le responsable du traitement traite la demande gratuitement, au plus tôt et au plus tard dans un délai de trente jours selon la nature de la demande ; il l'accepte ou la rejette en motivant sa décision. Si votre demande est rejetée, si la réponse est jugée insuffisante ou si aucune réponse n'est donnée dans le délai, vous pouvez saisir le Conseil de la protection des données personnelles (article 14).

Modèles d'IA et débat sur les données personnelles

La question de savoir si un modèle conserve des données personnelles une fois entraîné est un sujet que les régulateurs examinent. Le CEPD (EDPB) a adopté, le 18 décembre 2024, l'avis 28/2024 sur certains aspects de la protection des données liés aux modèles d'IA ; cet avis a été préparé à la demande de l'autorité irlandaise de contrôle et porte notamment sur la base juridique et l'anonymisation. L'ICO britannique a également consacré des chapitres distincts à la licéité et à la transparence dans son guide sur l'IA et la protection des données. En pratique, si une société utilise votre photo pour l'entraînement, elle est censée le préciser clairement ; si ce n'est pas le cas, n'hésitez pas à poser la question.

Des étapes concrètes pour protéger votre photo

1. N'importez pas ce qui n'est pas nécessaire : évitez les photos sensibles comme les pièces d'identité, les documents, les photos d'enfants et les photos privées d'autres personnes.
2. Supprimez la localisation : votre téléphone propose une option pour ne pas partager la localisation lors d'un envoi.
3. Recadrez : retirez de l'image les panneaux et documents visibles à l'arrière-plan.
4. Demandez l'accord des autres : si une autre personne figure sur la photo, demandez-lui d'abord.
5. Consultez les paramètres : cherchez les options pour désactiver l'usage pour l'entraînement et pour effacer l'historique.
6. Nettoyez l'historique : une fois le travail terminé, supprimez les résultats et les envois.
7. Exercez vos droits : envoyez une demande d'accès ou d'effacement et suivez le délai de réponse.

Exemple de demande : « Bonjour, je souhaite savoir si des données personnelles me concernant, liées à mon compte, sont traitées, obtenir les finalités du traitement et la liste des destinataires, et demander l'effacement des photos que j'ai importées. »

Transfert à l'étranger et sous-traitants

De nombreux outils IA peuvent envoyer votre photo vers des serveurs ou des fournisseurs de modèles situés dans d'autres pays. La KVKK prévoit des règles distinctes pour le transfert de données personnelles à l'étranger (article 9), qui imposent des obligations au responsable du traitement ; l'article 11 vous donne en outre le droit de connaître les tiers auxquels les données sont transmises, au pays ou à l'étranger. Dans l'UE, le RGPD prévoit aussi des règles spécifiques pour les transferts. Cherchez donc dans la politique les sections « destinataires », « transferts » et « sous-traitants ».

Si ces sections sont floues, la question à poser est simple : ma photo est-elle envoyée à quelles entreprises, et dans quel but ? Si la réponse de l'outil n'est pas claire, réfléchissez à deux fois avant d'y importer vos photos sensibles. La réponse peut aussi arriver dans un courriel court ; conservez la réponse écrite.

Erreurs fréquentes

• Importer sans lire la politique : la conservation et l'usage pour l'entraînement y sont décrits.
• Supposer qu'un outil gratuit ne vend pas de données : les données peuvent financer certains services ; lisez la politique.
• Importer la photo d'une autre personne sans autorisation : cela pose à la fois un problème de consentement et de données personnelles.
• Oublier la localisation : les données intégrées restent dans le fichier partagé.
• Croire que la suppression efface tout partout : vérifiez dans la politique la durée de conservation des sauvegardes et des journaux.

Quelles photos ne jamais importer ?

Certaines photos sont trop sensibles pour qu'une erreur soit permise : pièces d'identité et permis de conduire, carte bancaire, images comportant une adresse ou une plaque d'immatriculation, photos d'enfants, images contenant des informations de santé et souvenirs privés d'autres personnes. Si vous devez traiter une telle image, masquez ou recadrez d'abord les parties sensibles. Pour tester un outil par curiosité, commencez plutôt par une photo banale, au lieu d'y envoyer votre image la plus personnelle, et observez son fonctionnement.

En résumé

• Une photo importée est en général envoyée à un système distant, traitée, puis éventuellement conservée selon la politique de l'outil.
• Une personne reconnaissable est une donnée personnelle ; les métadonnées comme la localisation en sont aussi.
• Dans la politique, regardez le responsable, la finalité, l'usage pour l'entraînement, la durée, les destinataires et la suppression.
• Le RGPD et la KVKK vous donnent des droits d'accès, de rectification, d'effacement et d'opposition ; le délai de réponse est d'un mois au titre du RGPD et au plus tard de trente jours au titre de la KVKK.
• N'importez pas de photos sensibles, supprimez la localisation et demandez l'accord des personnes présentes.