Reconnaissance faciale : principes, usages et cadre juridique

Cette page explique ce qu’est la reconnaissance faciale, comment elle fonctionne techniquement, quel cadre juridique s’applique en France et en Europe au 23/09/2026, et quelles pratiques les entreprises et usagers doivent distinguer avant toute mise en œuvre.

Qu’est‑ce que la reconnaissance faciale ?

La reconnaissance faciale regroupe des techniques informatiques qui traitent des images ou des vidéos contenant des visages pour en extraire des caractéristiques exploitables. Sur le plan opérationnel, on distingue la vérification 1:1 et l’identification 1:N. La vérification 1:1 compare un gabarit extrait d’une image fournie par une personne à un gabarit de référence afin de confirmer une identité. L’identification 1:N compare un gabarit à une base de gabarits pour retrouver une correspondance possible.

Sur le plan des données, une photographie brute devient une donnée biométrique lorsque son traitement technique vise à identifier ou confirmer l’identité d’une personne. Cette distinction conditionne le régime juridique applicable : image brute vs donnée biométrique traitée pour l’identification.

Les cas d’usage se déclinent et portent des enjeux différents. Le contrôle d’accès en 1:1, l’authentification lors de procédures KYC, la recherche d’images similaires et la surveillance publique n’impliquent pas les mêmes contraintes. La recherche inversée d’images compare des images indexées par similarité ; elle n’est pas équivalente à la reconnaissance biométrique qui repose sur un gabarit destiné à identifier une personne.

Pour un lecteur professionnel, distinguer ces catégories est déterminant : l’autorisation légale, l’évaluation des risques et les obligations de documentation varient selon qu’il s’agit d’une simple recherche d’image ou d’un traitement biométrique destiné à l’identification.

Dates clés citéeS23/09/2026Date de référenceCadre juridique mentionné au 23/09/202602/08/2026Marquage contenu synthèseEntrée en vigueur du marquage02/12/2026Interdictions compl.Entrée en vigueur d’interdictions complémentaires02/12/2027Report haut risqueReport du classement « haut risque » pour la biométrie21/05/2024Loi mentionnéeLoi n°2024-449 du 21/05/202417/10/2022Délibération CNILSAN-2022-019 Clearview AI

Comment ça marche (techniquement)

La chaîne technique classiquement décrite comprend plusieurs étapes. D’abord, la détection du visage dans l’image ou la séquence vidéo. Ensuite l’alignement du visage pour normaliser l’orientation et l’échelle. Puis l’extraction de caractéristiques : le système calcule un vecteur numérique appelé embedding ou gabarit qui résume les traits du visage.

La comparaison consiste à mesurer une distance ou une similarité entre vecteurs : comparaison 1:1 pour la vérification, comparaison 1:N pour l’identification. Un seuil de décision détermine si une correspondance est retenue. Le réglage du seuil affecte le taux de faux positifs et de faux négatifs. Un score produit par un modèle est probabiliste ; il ne constitue pas, à lui seul, une preuve formelle.

La recherche inversée d’images utilise d’autres approches : hashing perceptuel, empreintes visuelles et indexation par similarité pour retrouver des images proches dans des collections indexées. Ces méthodes recherchent des similitudes visuelles, elles ne produisent pas nécessairement un gabarit biométrique exploitable pour identifier une personne.

Les limites techniques sont documentées. Les modèles peuvent présenter des biais démographiques selon les jeux de données d’entraînement. La qualité de l’image (résolution, recompression, recadrage) influence la qualité des embeddings. Des attaques adversariales peuvent dégrader les performances. Les détecteurs de deepfakes et autres classifieurs fournissent des indications probabilistes ; leur résultat n’établit pas de certitude juridique.

Cadre juridique en France et en Europe (résumé opérationnel)

Plusieurs textes forment le cadre applicable au 23/09/2026. Le RGPD définit la « donnée biométrique » comme une donnée à caractère personnel résultant d’un traitement technique se rapportant aux caractéristiques physiques, physiologiques ou comportementales permettant d’identifier une personne unique. Cette définition encadre les conditions de licéité et impose des garanties particulières pour les traitements.

Le Règlement (UE) 2024/1689, dit « AI Act », fixe des définitions et des interdictions. Il identifie des pratiques interdites telles que la moisson non ciblée d’images, l’inférence d’émotion en contexte d’emploi ou d’enseignement, la catégorisation biométrique sensible et l’identification biométrique à distance en temps réel à usage répressif, sous exceptions prévues par le texte. L’AI Act institue aussi un régime de classification des risques et des obligations spécifiques pour les systèmes « haut risque ».

Le Règlement (UE) 2026/1744 complète et modifie l’AI Act. Il introduit des interdictions supplémentaires, comme la nudification et la génération d’images à caractère sexuel sans consentement, et ajuste des dates d’entrée en vigueur : marquage des contenus de synthèse applicable à partir du 02/08/2026, interdictions complémentaires applicables à partir du 02/12/2026, et report du classement « haut risque » pour la biométrie au 02/12/2027, selon le texte.

En droit pénal français, les articles 226-8 et 226-8-1 sanctionnent la diffusion d’un montage ou d’un contenu généré reproduisant l’image ou la voix d’une personne sans son consentement, avec une incrimination spécifique pour les diffusions à caractère sexuel. Ces dispositions figurent dans la version consolidée suite à la loi n°2024-449 du 21/05/2024.

La CNIL a sanctionné des traitements de reconnaissance faciale et d’indexation d’images. La délibération SAN-2022-019 relative à Clearview AI, datée du 17/10/2022, est souvent citée pour illustrer les risques liés au moissonnage et à l’indexation d’images publiques. Les autorités nationales et européennes disposent de pouvoirs de sanction en vertu du RGPD et de l’AI Act, y compris des plafonds précisés dans le règlement européen.

Usages autorisés et usages interdits

Le cadre réglementaire distingue usages acceptables et usages proscrits. Des usages peuvent être admis lorsqu’ils reposent sur une base légale claire, le consentement éclairé de la personne concernée ou une autre justification légale appropriée, et lorsqu’ils respectent les principes de minimisation et de transparence. Un exemple de cas contrôlé est la vérification 1:1 consentie par la personne pour l’accès à un service.

Les usages proscrits comprennent la constitution de bases de données faciales par moissonnage non ciblé, l’usage d’outils d’inférence émotionnelle pour des décisions en matière d’emploi ou d’éducation, et l’identification biométrique à distance en temps réel pour des finalités non répressives, sauf exceptions prévues par l’AI Act. Ces interdictions figurent explicitement dans le texte du règlement.

La recherche inversée d’images demeure un outil pour retrouver l’origine d’une photo ou détecter une réutilisation non autorisée, mais elle ne remplace pas un traitement biométrique d’identification. Son usage doit être encadré et respectueux du droit à la vie privée.

Risques, biais et fiabilité des systèmes

Les risques liés à la reconnaissance faciale combinent impacts techniques et conséquences juridiques. Un faux positif peut entraîner une atteinte aux droits d’une personne ; un faux négatif peut nuire à la sécurité opérationnelle. Les biais démographiques observés dans certains modèles peuvent conduire à des traitements discriminatoires si des mesures correctives ne sont pas mises en place.

Sur le plan juridique, un usage illégal expose à des sanctions prévues par le RGPD et par l’AI Act, y compris des plafonds mentionnés dans le règlement. Les autorités de contrôle, y compris la CNIL, peuvent prononcer des mesures et des sanctions en cas de non‑conformité.

Les bonnes pratiques d’évaluation incluent la réalisation d’analyses d’impact relatives à la protection des données (AIPD), la conduite d’audits externes, la documentation technique exigée par l’AI Act et, lorsque possible, la publication contrôlée de jeux de données d’évaluation compatibles avec le droit. Ces mesures permettent de mieux mesurer les biais, de tester la robustesse et d’établir une traçabilité des décisions techniques.

Impact pour les entreprises : points de vigilance

Avant d’intégrer la reconnaissance faciale, une entreprise doit vérifier la base légale du traitement, appliquer le principe de minimisation, étudier des alternatives non biométriques, prévoir la réalisation d’une AIPD lorsque elle est requise, limiter les durées de conservation et garantir les droits des personnes (accès, suppression). Des mesures de sécurité adaptées doivent protéger les gabarits stockés et réduire le risque de fuite.

Les documents et délibérations de la CNIL sur la biométrie pour le contrôle d’accès offrent des repères pratiques pour le déploiement. L’esprit de ces documents consiste à privilégier des solutions qui réduisent la centralisation de données biométriques et qui mettent en œuvre des garanties procédurales et techniques strictes.

Que faire si une image vous concerne sans votre accord ?

Si une image circule sans consentement, conserver des preuves (captures d’écran) est une première étape. Signaler le contenu aux plateformes hébergeant l’image, demander l’effacement au responsable du site et saisir la CNIL si aucune réponse satisfaisante n’est obtenue constituent les démarches usuelles. Pour des contenus intimes ou à caractère sexuel, des dispositifs spécifiques existent pour le signalement et la prise en charge des victimes ; des recours judiciaires et un accompagnement par un avocat ou des associations d’aide peuvent être nécessaires selon la situation.

Comment vérifier si une image est générée ou manipulée (méthodologie)

La vérification combine plusieurs couches. Commencer par rechercher la provenance : recherche inversée pour retrouver des occurrences antérieures et établir une chronologie. Examiner les métadonnées lorsque elles sont accessibles, avec prudence. Vérifier la présence éventuelle de Content Credentials / C2PA ou de tout marquage de synthèse.

Ensuite, appliquer des analyses de cohérence visuelle et recourir à des outils détecteurs comme indicateurs probabilistes. Enfin, corréler ces éléments avec d’autres sources et documenter toute conclusion. Les outils automatiques servent d’aide à l’analyse ; leur résultat doit être interprété et, pour des usages juridiques, corroboré par une expertise indépendante.