Guide RGPD — Avatars IA synthétiques

1. Cadre légal applicable

La création d'avatars synthétiques à partir de l'image d'une personne réelle constitue un traitement de données personnelles au sens du RGPD. Trois textes structurent le cadre juridique applicable en France :

• Art. 6 RGPD — Licéité du traitement. Le traitement de l'image du sujet réel exige une base légale. Pour un freelance, la base la plus adaptée est le consentement explicite (art. 6 §1 a), recueilli avant toute capture ou utilisation. Les autres bases (exécution d'un contrat, intérêt légitime) sont difficilement applicables dès lors que le sujet n'est pas lui-même client du prestataire.
• Art. 9 RGPD — Données biométriques. Lorsque les captures d'image permettent d'identifier le sujet de manière unique (traits du visage, voix) et que le modèle IA extrait des gabarits biométriques, les données traitées sont qualifiées de données sensibles (catégorie spéciale). Le traitement est alors soumis à l'interdiction de principe de l'art. 9 §1, levée uniquement par un consentement explicite (art. 9 §2 a) ou par d'autres dérogations strictement délimitées.
• Délibération CNIL du 25 juin 2024 — Systèmes d'IA générative. La CNIL a publié ses premières lignes directrices sur les traitements de données personnelles dans les systèmes d'IA générative (Délibération n° 2024-048 portant adoption de recommandations relatives aux systèmes d'intelligence artificielle générative). Elle rappelle que tout freelance utilisant une plateforme d'IA générative pour produire des avatars doit : (a) s'assurer que le sous-traitant (la plateforme IA) est lié par un DPA conforme à l'art. 28 RGPD, (b) ne pas utiliser les données des sujets pour entraîner les modèles sans consentement spécifique, et (c) documenter les traitements dans le registre des activités (art. 30 RGPD).

2. Obligations concrètes du freelance

En tant que responsable du traitement, le freelance qui crée des avatars IA synthétiques pour ses clients doit respecter les obligations suivantes :

• Consentement écrit du sujet réel. Un document signé par le sujet (la personne dont l'image sert à générer l'avatar) est indispensable. Le consentement oral est insuffisant : il doit être documenté, spécifique à la finalité (usage commercial, durée, supports) et révocable à tout moment. Le modèle de clause téléchargeable ci-dessous couvre ces exigences.
• Droit à l'image. Le droit à l'image est un droit de la personnalité distinct du RGPD (art. 9 du Code civil français). Même un consentement RGPD valide ne couvre pas automatiquement le droit à l'image commercial. La clause de consentement doit explicitement inclure une cession du droit à l'image, avec indication des supports, de la durée et de la rémunération éventuelle.
• Mention « image générée par IA » dans les livrables. L'art. 50 de l'IA Act (Règlement UE 2024/1689) impose que tout contenu généré par une IA (image, vidéo, audio) soit signalé comme tel lorsqu'il est destiné à représenter une personne réelle. En pratique : apposer la mention « Image générée par IA » ou « Avatar synthétique » de manière visible sur chaque livrable.
• Registre des traitements (art. 30 RGPD). Le freelance doit tenir un registre documentant : la finalité du traitement (production d'avatars IA pour le client X), la base légale (consentement), les catégories de données traitées (image, voix, données biométriques le cas échéant), les sous-traitants (plateforme IA utilisée), la durée de conservation des données sources et les mesures de sécurité mises en œuvre.
• DPA avec les plateformes IA. Chaque plateforme d'IA générative utilisée pour produire les avatars est un sous-traitant au sens de l'art. 28 RGPD. Le freelance doit s'assurer qu'un accord de traitement de données (DPA) est en place et que la plateforme n'utilise pas les données des sujets pour ré-entraîner ses modèles sans consentement distinct.
• Durée de conservation et suppression. Les données sources (photos, vidéos, enregistrements audio) ne doivent pas être conservées au-delà de ce qui est nécessaire à la finalité. Définir une durée maximale, la communiquer au sujet dans la clause de consentement et programmer la suppression à l'échéance.

4. Modèle de clause de consentement

Le document ci-dessous est un modèle de clause de consentement adapté à la production d'avatars IA synthétiques à partir de l'image d'un sujet réel. Il couvre : l'identification des parties, les finalités d'utilisation, la base légale RGPD (art. 6 et art. 9), la cession du droit à l'image, la durée de conservation, les droits du sujet et les blocs signature.

À adapter à chaque mission : vérifiez notamment la zone géographique, la durée d'utilisation et la rémunération avec votre client avant signature.