Deepfake : ce que dit la loi en France, et que faire si vous êtes visé

Si vous avez tapé « deepfake loi » dans un moteur de recherche ces jours-ci, l’affaire Mia Goth y est sans doute pour quelque chose. Une fausse photo de l’actrice, fabriquée par IA, a circulé sur Instagram puis ailleurs, au point d’être reprise par des sites people comme si elle était vraie. En France, ce genre de diffusion ne tombe pas dans un vide juridique. Depuis la loi SREN de mai 2024, le code pénal vise expressément l’hypertrucage, et les plateformes ont des obligations précises. Reste la question pratique : que faire le jour où c’est votre visage qui circule ?

L’affaire Mia Goth : une fausse photo, de vrais dégâts

Les faits, tels que les rapporte The Verge le 13 octobre 2026. Début octobre, la presse annonce que Mia Goth a demandé le divorce de l’acteur Shia LaBeouf. Dans la foulée, un compte Instagram nommé miagoth_, présenté comme un compte de fan mais doté du badge bleu de vérification et suivi par plus d’un million de personnes, publie une photo de l’actrice en tee-shirt, barré d’un slogan qui semble viser son ex. Des centaines de milliers de « j’aime » suivent, et des magazines en font un article.

Sauf que l’image a été générée par IA, selon les représentants de l’actrice. Ils disent avoir déposé plusieurs plaintes auprès d’Instagram contre ce compte, qui publiait régulièrement de fausses images d’elle. Meta a fini par indiquer au média américain que le compte avait été supprimé pour usurpation de l’identité d’une personnalité publique. Pas pour le faux lui-même, donc.

Le détail qui fâche est ailleurs. D’après The Verge, les règles de Meta prévoient une étiquette « IA » pour certaines vidéos photoréalistes, mais pas pour les images fixes. Une photo truquée, crédible, sans rien de choquant, peut donc circuler sans la moindre mention. C’est le cas que le droit français a voulu couvrir : pas besoin de nudité ni de chantage pour qu’un hypertrucage fasse du tort. Il suffit qu’on y croie.

Deepfake loi SREN : ce que punit le code pénal

Le texte de référence est la loi n° 2024-449 du 21 mai 2024, dite loi SREN. Elle a réécrit l’article 226-8 du code pénal et créé l’article 226-8-1, en vigueur depuis le 23 mai 2024 et inchangés depuis (version consolidée consultée sur Légifrance le 14 octobre 2026). Le mot hypertrucage est celui de la CNIL et de la version française de l’AI Act.

L’article 226-8 punit d’un an d’emprisonnement et 15 000 euros d’amende le fait de porter à la connaissance du public ou d’un tiers un contenu visuel ou sonore « généré par un traitement algorithmique » qui représente l’image ou les paroles d’une personne, sans son consentement. Il vise le faux qui se fait passer pour vrai : il ne joue pas quand le caractère artificiel apparaît « à l’évidence » ou qu’il est « expressément » mentionné. Diffusé par un service en ligne (un réseau social, typiquement), l’hypertrucage coûte deux ans et 45 000 euros.

Un point souvent mal compris : c’est la diffusion qui est punie, pas la fabrication. Générer une fausse image dans son coin ne relève pas de cet article ; la publier ou l’envoyer à quelqu’un, si. Et le texte dit « par quelque voie que ce soit ». À la lettre, celui qui relaie un faux non signalé se place sur le même terrain que celui qui l’a posté. Le partage « pour rire » ne protège de rien.

Les faux sexuels : l’article 226-8-1, sans porte de sortie

Pour les contenus « à caractère sexuel », la loi SREN a créé un délit à part. L’article 226-8-1 prévoit deux ans d’emprisonnement et 60 000 euros d’amende, portés à trois ans et 75 000 euros quand la publication passe par un service en ligne. Ici, aucune exception pour le trucage évident ou signalé : un hypertrucage sexuel reste punissable même étiqueté « généré par IA ». Logique, le dommage ne vient pas de la confusion mais de l’image elle-même.

Les autres textes qui peuvent jouer

Selon l’usage du faux, d’autres infractions s’ajoutent : l’usurpation d’identité (un an et 15 000 euros), le harcèlement (deux ans et 30 000 euros), l’escroquerie (cinq ans et 375 000 euros), rappelle la CNIL. Les arnaques à la voix clonée, détaillées dans notre article sur le clonage de voix par IA et son cadre légal, relèvent souvent de la dernière. Pour repérer une voix synthétique avant de répondre, voyez notre guide deepfake audio : reconnaître une voix générée par IA.

Le tribunal peut aussi suspendre les comptes ayant servi à l’infraction, jusqu’à six mois (un an en récidive) : l’article 226-8 et l’article 226-8-1 figurent dans la liste de l’article 131-35-1 du code pénal, et la plateforme qui ne bloque pas encourt 75 000 euros d’amende. Côté civil, l’article 9 du code civil permet de demander au juge, en référé s’il y a urgence, de faire cesser l’atteinte, sans préjudice de la réparation.

Instagram et les autres : ce que le DSA leur impose

Les plateformes relèvent du règlement européen sur les services numériques (DSA), applicable à toutes depuis le 17 février 2024. Son article 16 impose un mécanisme de notification électronique « facile d’accès et d’utilisation ». Une notification complète contient quatre éléments : pourquoi le contenu est illicite, son URL exacte, votre nom et votre adresse électronique, une déclaration de bonne foi. La plateforme doit trancher « en temps opportun, de manière diligente, non arbitraire et objective ».

Ce n’est pas une formalité. Une notification précise vaut connaissance effective du contenu illicite, et l’hébergeur n’échappe à sa responsabilité que s’il agit « promptement » ensuite (article 6). Après votre signalement, il ne peut plus dire qu’il ne savait pas. En cas de refus, il doit motiver sa décision (article 17), et vous avez au moins six mois pour la contester gratuitement en interne (article 20), puis devant un organe extrajudiciaire certifié (article 21).

Instagram porte une couche de plus. La Commission européenne l’a désignée très grande plateforme le 25 avril 2023 (259 millions d’utilisateurs actifs mensuels dans l’Union, selon la liste officielle). Parmi les mesures d’atténuation des risques, l’article 35 cite un marquage bien visible des images, sons ou vidéos générés qui ressemblent à des personnes réelles, avec une fonction de signalement facile. Un hypertrucage photoréaliste sans étiquette, sur un compte certifié : c’est le scénario visé. L’amende peut atteindre 6 % du chiffre d’affaires mondial annuel.

Si la plateforme fait la sourde oreille, reste la plainte auprès du coordinateur pour les services numériques (article 53). En France, c’est l’Arcom, qui travaille avec la CNIL et la DGCCRF. Pour Instagram, dont le coordinateur compétent est irlandais, elle peut transmettre la plainte à Dublin.

AI Act : l’étiquette « généré par IA » obligatoire depuis le 2 août 2026

Troisième étage, le règlement européen sur l’IA. Il définit l’hypertrucage comme une image ou un contenu audio ou vidéo généré ou manipulé par l’IA, qui ressemble à des personnes, lieux ou événements existants et « pouvant être perçu à tort » comme authentique. Son article 50, paragraphe 4, impose à celui qui utilise l’outil (le « déployeur ») d’indiquer que le contenu a été généré ou manipulé par une IA.

Ces obligations s’appliquent depuis le 2 août 2026, rappelle la Commission dans ses lignes directrices sur l’article 50. Le Digital Omnibus (règlement 2026/1744) ne les a pas repoussées. Il laisse seulement aux outils déjà sur le marché avant le 2 août 2026 jusqu’au 2 décembre 2026 pour marquer leurs sorties dans un format lisible par machine. Nous avons fait le point sur ce qui s’applique déjà de l’AI Act en 2026.

Deux nuances. L’œuvre manifestement artistique, satirique ou fictive voit l’obligation allégée, pas supprimée : il suffit de signaler le contenu généré sans gâcher l’œuvre. Et l’AI Act ne remplace pas le code pénal. Il sanctionne le défaut d’étiquette par des amendes administratives pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial (article 99), mais n’envoie personne en prison.

L’omnibus ajoute une interdiction applicable au 2 décembre 2026 : mettre sur le marché ou utiliser un système d’IA qui génère des images, vidéos ou sons réalistes montrant les parties intimes d’une personne identifiable, ou cette personne dans une activité sexuellement explicite, sans son consentement explicite. Les applications qui prétendent « déshabiller » des personnes réelles sont en première ligne. Fournisseur ou déployeur ? Notre guide AI Act pour les entreprises détaille les obligations selon le rôle, et notre panorama de la réglementation européenne de l’intelligence artificielle remet le texte en contexte.

Signaler un deepfake et porter plainte : les démarches dans l’ordre

Vous découvrez un hypertrucage de vous en ligne. Premier réflexe : ne rien partager, même pour dénoncer, et garder des preuves. La CNIL recommande des captures d’écran et les liens ; Service-Public, sur sa fiche consacrée au cyberharcèlement, insiste pour que tout soit daté. Notez l’URL, le nom du compte, la date et l’heure. Un commissaire de justice peut aussi dresser un constat, payant. Ensuite, quatre recours, du plus rapide au plus lourd.

1. Signaler un deepfake à la plateforme

C’est la voie la plus rapide, celle que la CNIL conseille en premier. Choisissez dans le formulaire le motif le plus précis (usurpation d’identité, contenu sexuel non consenti, contenu trompeur) et reprenez les quatre éléments de l’article 16 du DSA, en citant l’article 226-8 ou l’article 226-8-1. Gardez une capture de votre signalement et de la réponse. Si un compte se fait passer pour vous, signalez le compte, pas seulement la publication : dans l’affaire Mia Goth, c’est l’usurpation qui l’a fait tomber.

2. Pharos et la plainte pénale

Pour un contenu illicite grave, le portail du ministère de l’Intérieur s’appelle Pharos : internet-signalement.gouv.fr. La CNIL l’indique pour le harcèlement, les menaces, les images sexuelles de mineurs et les escroqueries. Signaler n’est pas porter plainte, et l’un n’empêche pas l’autre. En cas d’urgence, c’est le 17. Les mineurs disposent d’un tchat dédié.

La plainte se dépose au commissariat ou à la gendarmerie de votre choix, tenus de l’enregistrer, ou par courrier au procureur de la République. La plainte en ligne ne couvre que les atteintes aux biens quand l’auteur est inconnu : pour un hypertrucage, le guichet ou le courrier restent la voie normale.

3. La CNIL et le droit à l’effacement

Votre visage et votre voix sont des données personnelles : vous pouvez demander leur effacement à l’organisme qui les diffuse. Selon la CNIL, il doit intervenir au plus tard en un mois, trois pour une demande complexe. Sans réponse satisfaisante sous un mois, vous pouvez saisir la CNIL. Elle est claire sur ses limites : sa plainte ne remplace pas la plainte pénale, et elle ne peut ni obtenir des dommages et intérêts ni sanctionner l’auteur d’un délit.

4. Le juge civil, pour faire cesser l’atteinte

Si l’hypertrucage continue de circuler, l’article 9 du code civil permet de saisir le juge, en référé s’il y a urgence, pour obtenir des mesures qui font cesser l’atteinte. C’est la voie la plus lourde ; un avocat est vivement conseillé.

Ce que l’affaire dit des limites du système

Sur le papier, la France est bien armée. Dans les faits, l’affaire Mia Goth montre où ça coince. Selon ses représentants, plusieurs plaintes à Instagram n’avaient pas fait tomber le compte. Le badge bleu, que Meta vend depuis plusieurs années d’après The Verge, a brouillé le signal d’authenticité. Et l’absence d’étiquette sur les images fixes a laissé passer l’hypertrucage.

La loi punit la diffusion, mais elle arrive après coup : un faux crédible fait le tour du web en quelques heures, une procédure prend des mois. D’où l’intérêt de l’étiquetage en amont imposé par l’AI Act. En attendant, le meilleur filtre reste votre œil. Nos réflexes pour détecter les deepfakes en vidéo donnent de bonnes pistes, et la CNIL cite des indices sur les images (flou, pixels, lumière et ombres incohérentes sur le visage). Avec des outils capables de produire des images réalistes avec Midjourney en quelques secondes, une photo trop parfaite mérite un doute.

Foire aux questions

Un hypertrucage signalé comme « généré par IA » est-il légal ?

Pas forcément. L’article 226-8 ne s’applique pas quand le caractère artificiel est évident ou expressément mentionné. Mais l’article 226-8-1 punit la diffusion sans consentement d’un hypertrucage sexuel, étiquette ou pas. Et un faux signalé peut encore relever du harcèlement, de l’usurpation d’identité ou de l’escroquerie.

Partager un deepfake reçu, est-ce risqué ?

Oui. Le code pénal punit le fait de porter le contenu « à la connaissance du public ou d’un tiers, par quelque voie que ce soit », sans distinguer l’auteur du relais. Partager un faux non signalé, même pour s’indigner, peut donc vous exposer. Mieux vaut signaler un deepfake à la plateforme ou à Pharos que le relayer.

Comment signaler un deepfake sur Instagram ou TikTok ?

Par le formulaire de signalement de la publication ou du compte, que le DSA impose à toutes les plateformes. Donnez l’URL, expliquez pourquoi le contenu est illicite (article 226-8 ou article 226-8-1), indiquez votre nom et votre adresse électronique. Gardez une capture : elle servira pour une réclamation, une plainte ou une saisine de l’Arcom.

Que risque une plateforme qui ne retire pas un faux ?

Une fois notifiée précisément, elle est réputée connaître le contenu illicite et perd sa protection d’hébergeur si elle n’agit pas promptement. Pour les très grandes plateformes comme Instagram, la Commission européenne peut infliger jusqu’à 6 % du chiffre d’affaires mondial annuel.

Sources

• Légifrance : code pénal, article 226-8
• Légifrance : code pénal, article 226-8-1
• Légifrance : code pénal, article 131-35-1
• Légifrance : code pénal, article 226-4-1
• Légifrance : code civil, article 9
• EUR-Lex : règlement (UE) 2022/2065 (DSA)
• EUR-Lex : règlement (UE) 2024/1689 (AI Act)
• EUR-Lex : règlement (UE) 2026/1744 (omnibus sur l’IA)
• Commission européenne : lignes directrices sur l’article 50
• Commission européenne : très grandes plateformes désignées
• CNIL : se protéger et signaler les contenus illicites
• CNIL : le droit à l’effacement
• CNIL : adresser une plainte
• CNIL : convention Arcom, CNIL et DGCCRF
• Ministère de l’Intérieur : Pharos
• Service-Public : porter plainte
• Service-Public : cyberharcèlement