Limites et biais de la reconnaissance faciale

La reconnaissance faciale présente des limites techniques, des biais avérés et des risques juridiques. Relevé des textes et décisions au 23/09/2026 et premières recommandations pratiques pour agir sans commettre d’erreur.

Qu’est‑ce que « reconnaissance faciale » — technique et distinction utile

La reconnaissance faciale n’est pas un seul geste technique. Il faut distinguer la recherche d’image inversée de la reconnaissance faciale au sens biométrique.

La recherche d’image inversée compare des images indexées. Elle sert à retrouver des images similaires dans une base. Juridiquement, elle ne produit pas forcément une donnée biométrique.

La reconnaissance faciale biométrique extrait un gabarit. Ce gabarit vise à identifier ou vérifier l’identité d’une personne. C’est cette extraction qui, selon le RGPD, peut transformer une simple photo en donnée biométrique.

On distingue deux usages techniques et juridiques. La vérification 1:1 compare un gabarit à un seul gabarit de référence. L’identification 1:N compare un gabarit à une base large pour trouver une correspondance. Les implications légales et les obligations sont différentes selon le mode 1:1 ou 1:N.

Limites techniques et fiabilité

Les systèmes de reconnaissance faciale sont des classifieurs probabilistes. Ils ne produisent pas de preuve absolue. Leur sortie est un score ou une probabilité, sujette à faux positifs et faux négatifs.

La performance de ces classifieurs varie selon la qualité de l’image. La recompression, le recadrage ou les compressions successives dégradent la précision. Les nouveaux générateurs et modifications d’image peuvent réduire la fiabilité des classifieurs existants.

Le NIST / FRVT est mentionné comme référence pour évaluer ces performances. Les classifications automatiques doivent donc être croisées avec d’autres éléments de preuve.

Les détecteurs de deepfake ou d’images générées par IA sont aussi probabilistes. Aucun détecteur n’est fiable à 100 %. Ces outils peuvent produire des faux positifs et des faux négatifs, en particulier sur des images recompressées ou altérées.

Biais démographiques et limites sur certains groupes

Les systèmes peuvent présenter des biais selon l’âge, le genre et le teint de peau. Ces variations de performance touchent des groupes sous‑représentés dans les jeux de données d’entraînement.

Les biais n’ont pas une seule cause. Ils résultent de la composition des jeux de données, des choix d’architecture et des seuils opérés lors du déploiement. Réduire ces biais nécessite des tests sur des données représentatives et des audits indépendants.

Au plan juridique, un système présentant un biais non contrôlé peut engager la responsabilité du fournisseur ou du déployeur. Les obligations de documentation, d’AIPD et d’audit s’appliquent aux systèmes classés à risque selon le cadre européen.

Risques juridiques et cadre réglementaire (France / UE)

Le RGPD définit la donnée biométrique comme une donnée à caractère personnel résultant d’un traitement technique spécifique, relative aux caractéristiques physiques, physiologiques ou comportementales permettant l’identification unique. Les images faciales peuvent donc devenir des données biométriques lorsqu’elles sont traitées pour identifier une personne.

Une simple photo n’est pas automatiquement une donnée biométrique. Elle le devient lorsqu’elle est traitée selon un mode technique permettant l’identification ou l’authentification unique, comme le rappelle le considérant 51 du RGPD.

L’AI Act (règlement (UE) 2024/1689) interdit depuis le 02/02/2025 certaines pratiques : le moissonnage non ciblé pour constituer des bases de reconnaissance faciale, l’inférence d’émotions au travail ou à l’école, la catégorisation biométrique par attributs sensibles, et l’identification biométrique à distance en temps réel à des fins répressives hors exceptions strictes.

Le règlement contient également des définitions utiles pour distinguer identification 1:N et vérification 1:1, ainsi que la notion d’hypertrucage pour le contenu manipulé par IA.

L’omnibus numérique (règlement (UE) 2026/1744) a ajusté le calendrier d’application de certaines interdictions et introduit de nouvelles obligations liées au marquage des contenus de synthèse. Les dates clefs post‑omnibus figurent dans les textes et doivent être prises en compte lors des déploiements.

En France, le droit à l’image repose sur l’article 9 du Code civil. Toute personne peut s’opposer à la captation et à la diffusion de son image sans autorisation, sous réserve des exceptions jurisprudentielles telles que l’actualité ou la scène de foule non individualisée.

Le Code pénal contient des incriminations pertinentes : art. 226‑1 (captation/transmission sans consentement dans un lieu privé) et les art. 226‑8 et 226‑8‑1 relatifs à la diffusion sans consentement de contenus manipulés ou reproduisant l’image/paroles d’une personne, avec des dispositions aggravées pour les contenus à caractère sexuel. Les textes consolidés doivent être consultés sur Légifrance pour les formulations exactes.

Pour les pratiques interdites par l’AI Act, des sanctions sont prévues. Le texte européen prévoit des plafonds d’amende importants et des modalités particulières pour les PME et les mid‑caps.

Cas d’usage tolérés et cas d’usage interdits

Certains usages restent tolérés sous conditions strictes. Par exemple, la vérification 1:1 peut être admise pour le déverrouillage personnel ou le contrôle d’accès, lorsque des garanties et des alternatives sont proposées. Le règlement type CNIL pour la biométrie rappelle l’obligation d’une justification d’usage, d’une AIPD et d’alternatives pour l’utilisateur.

Les usages interdits ou fortement encadrés comprennent le moissonnage non ciblé de données pour constituer des bases de reconnaissance faciale, l’inférence d’émotions au travail, et l’identification biométrique à distance en temps réel par les forces de l’ordre, sauf exceptions prévues par le droit.

Des cas concrets cités dans les sources mettent en lumière les tensions entre innovation et protection des droits. Les décisions et actions de contrôle, comme la sanction de la CNIL à l’encontre de Clearview AI, illustrent que la collecte massive non justifiée peut être sanctionnée.

Les contentieux nationaux autour d’acteurs comme PimEyes montrent que les décisions peuvent diverger selon les autorités. Certaines actions en justice ont été engagées par des acteurs de la défense des droits, parmi lesquels noyb, sur des questions de non‑action des autorités nationales.

Biais, discriminations et responsabilités

Les effets concrets des biais vont de l’exclusion à la stigmatisation. Un mauvais résultat automatisé peut conduire à des refus injustifiés, à des discriminations à l’embauche ou à des erreurs d’identification préjudiciables.

La responsabilité se répartit. Le fournisseur doit documenter et réduire les biais. Le déployeur doit réaliser une AIPD et justifier l’usage. Les autorités de contrôle peuvent exiger des mesures correctives ou prononcer des sanctions.

Des mesures recommandées pour limiter les risques incluent des audits indépendants, des tests sur des données représentatives et une documentation technique complète. Ces mesures ne sont pas des recettes magiques, mais elles sont des étapes nécessaires pour diminuer les risques de discrimination.

Si votre image circule sans votre accord — démarches pratiques

Si une image vous concernant circule sans votre accord, plusieurs actions sont possibles. Conserver des preuves (captures d’écran) est utile. Signaler le contenu à la plateforme hébergeuse est une première étape.

Demander l’effacement auprès du responsable de traitement est une voie administrative. En l’absence de réponse satisfaisante, saisir la CNIL est une option prévue par le cadre français. Pour les contenus illicites, les services de signalement spécialisés peuvent être saisis.

Pour les deepfakes intimes ou les montages à caractère sexuel, des dispositions pénales spécifiques existent et peuvent donner lieu à dépôt de plainte. Les textes de référence et les contacts des autorités compétentes doivent être consultés au moment de l’action.

Ce bloc pratique doit être adapté à chaque situation. Les numéros et adresses de signalement doivent être vérifiés le jour de la publication pour garantir leur validité.

Ressources et textes cités

Les textes et décisions cités dans cet article ont été. Ils comprennent : le RGPD (règlement (UE) 2016/679), l’AI Act (règlement (UE) 2024/1689), le règlement omnibus numérique (règlement (UE) 2026/1744), les pages et décisions de la CNIL, les publications noyb, le NIST / FRVT et les pages Légifrance pour le Code civil et le Code pénal.

Consulter les textes primaires demeure la meilleure pratique pour vérifier l’application exacte des règles à un cas concret. Les dates clés du calendrier européen sont rappelées dans les textes eux‑mêmes et doivent être vérifiées avant toute décision opérationnelle.

Mentions sur la rédaction et la relecture

Les schémas et infographies qui accompagnent cette page doivent représenter la distinction technique entre recherche d’image inversée et reconnaissance biométrique, les modes 1:1 vs 1:N, et le calendrier réglementaire tel qu’issu des textes cités. Les chiffres visuels présents dans ces infographies devront être sourcés et datés.