Deepfakes : un label IA est un premier pas, un droit sur sa propre image et sa voix est l’étape suivante

Par Wouter Torfs, Seliha Buelens et Charlotte Gerbehaye.

La Première ministre prononçant un discours qu’elle n’a en réalité jamais tenu. La voix clonée d’un proche demandant de l’argent de toute urgence. Une image dénudée d’une personne qui n’a jamais posé devant l’appareil photo. Les deepfakes ne sont plus une curiosité technologique, mais un risque quotidien pour toute personne dont une photographie ou un enregistrement vocal se trouve quelque part en ligne.

Avec le règlement sur l’intelligence artificielle, le législateur européen a apporté une première réponse sous la forme d’obligations de transparence. Le récent règlement omnibus numérique relatif à l’IA (« omnibus IA ») y ajoute une interdiction des applications générant des images dénudées de personnes identifiables ou du matériel d’abus sexuels sur enfants (CSAM). Il s’agit d’une avancée importante, mais un label ne suffit pas, à lui seul, à rendre un deepfake licite. C’est précisément cette lacune qu’une nouvelle proposition de loi belge entend combler, en reconnaissant à chacun un droit voisin sur son image et sa voix. Dans cet article, nous examinons pourquoi l’article 50 du règlement sur l’IA constitue un bon début sans pour autant suffire, ce que prévoit la proposition belge et comment les Pays-Bas et le Danemark abordent la même problématique.

Le règlement sur l’IA : des obligations de transparence, pas d’interdiction générale

Le règlement sur l’IA donne pour la première fois une définition légale du deepfake harmonisée à travers l’Union européenne, traduit dans sa version française par le terme « hypertrucage ». Il s’agit d’une image ou d’un contenu audio ou vidéo généré ou manipulé par l’IA, présentant une ressemblance avec des personnes, des objets, des lieux, des entités ou des événements existants et pouvant être perçu à tort comme authentique ou véridique par une personne (article 3, point 60, du règlement sur l’IA). Les systèmes qui produisent des deepfakes ne relèvent, en principe, ni des pratiques d’IA interdites – sauf lorsqu’ils génèrent des images intimes non consenties ou du CSAM – ni de la catégorie des systèmes d’IA à haut risque. Ils sont généralement soumis uniquement à des obligations de transparence.

Les obligations de transparence relatives aux deepfakes sont prévues à l’article 50 du règlement sur l’IA et s’articulent autour de deux niveaux. Les fournisseurs de systèmes d’IA générative doivent veiller à ce que les résultats de leurs systèmes soient marqués dans un format lisible par machine et détectables comme ayant été générés ou manipulés artificiellement (article 50, paragraphe 2). Les déployeurs qui utilisent un système d’IA pour créer un deepfake doivent, quant à eux, indiquer que le contenu a été généré ou manipulé par une IA (article 50, paragraphe 4). Pour les œuvres manifestement artistiques, créatives, satiriques ou fictives, une indication qui n’entrave pas l’affichage ou la jouissance de l’œuvre suffit. Ces obligations s’appliquent depuis le 2 août 2026, avec une période transitoire jusqu’au 2 décembre 2026 pour les systèmes relevant de l’article 50, paragraphe 2, qui étaient déjà sur le marché avant le 2 août 2026.

Afin de préciser ces obligations et de favoriser une mise en œuvre aussi uniforme que possible, la Commission européenne cherche à en faciliter le respect au moyen d’un code de bonnes pratiques relatif à la transparence des contenus générés par l’IA. Ce code propose aux fournisseurs des mécanismes techniques concrets pour apposer des filigranes sur les résultats de leurs systèmes. Il prévoit également des icônes européennes standardisées (« AI generated » et « AI modified »), permettant aux déployeurs de signaler les deepfakes comme tels lorsque cela est nécessaire.

Il existe donc, pour la première fois, une obligation harmonisée à l’échelle de l’Union de rendre les contenus synthétiques identifiables, assortie d’une boîte à outils technique concrète reposant sur les métadonnées et les filigranes. Cela permet au public de distinguer le vrai du faux, ce qui revêt une importance particulière en matière de désinformation politique et de fraude.

Si cette transparence est assurément souhaitable et nécessaire, l’article 50 du règlement sur l’IA ne s’attaque pas nécessairement au cœur du problème : il n’empêche pas la création de deepfakes non souhaités.

1. Un label ne rend pas le contenu licite. Un deepfake réalisé sans le consentement de la personne concernée reste tout aussi préjudiciable pour celle-ci, même s’il porte correctement l’icône « AI generated ». La transparence protège le public contre la tromperie, mais pas la personne représentée contre les utilisations abusives.

2. Les usages privés échappent au dispositif. Selon l’article 3, point 4, du règlement sur l’IA, une personne qui utilise un système d’IA dans le cadre d’une activité personnelle non professionnelle n’est pas un déployeur. La personne qui crée chez elle un deepfake d’une camarade de classe n’est donc précisément pas soumise à l’article 50, paragraphe 4.

3. Aucun droit subjectif pour la victime. L’article 50 ne confère pas à la personne concernée un droit subjectif lui permettant d’obtenir la suppression du deepfake ou de réclamer des dommages et intérêts. Son application relève des autorités de surveillance du marché.

4. Des limites techniques. Les métadonnées peuvent disparaître lors d’une capture d’écran, et des acteurs malveillants peuvent utiliser des modèles à code source ouvert dépourvus de marquage.

Une partie de cette lacune a récemment été comblée grâce à l’omnibus IA. L’article 5 modifié du règlement sur l’IA introduit désormais une interdiction des systèmes d’IA qui génèrent, sans consentement exprès, des images réalistes à caractère intime ou sexuellement explicite de personnes physiques identifiables. Cette interdiction s’appliquera à partir du 2 décembre 2026. Elle reste toutefois limitée aux contenus intimes : un clonage vocal utilisé à des fins d’escroquerie ou un deepfake politique n’entre pas dans son champ d’application.

La proposition de loi belge : un droit voisin sur l’image et la voix

Le droit belge offre déjà un fondement de protection civile par le biais du droit à l’image (article XI.174 du Code de droit économique, ci-après « CDE »). Ce droit est technologiquement neutre, mais il repose sur un portrait existant (protégé par le droit d’auteur), s’éteint vingt ans après le décès et implique nécessairement une mise en balance des intérêts. Les droits des artistes-interprètes ou exécutants (articles XI.204 et suivants du CDE) ne protègent, quant à eux, que les artistes. La proposition de loi modifiant le Code de droit économique en ce qui concerne la protection contre les deepfakes (Doc. Parl. Chambre, 2025-2026, n° 56-1728/1) entend précisément combler cette lacune.

Premièrement, la proposition ajoute une définition du deepfake à l’article I.16, § 1er, 9°, du CDE. Celle-ci reprend dans une large mesure la définition du règlement sur l’IA, mais se limite à la ressemblance avec une personne physique vivante ou décédée. Le règlement sur l’IA a un champ plus large et vise également les objets, lieux, entités ou événements existants. La proposition insère en outre une nouvelle section 1/1 dans le livre XI, titre 5, chapitre 3, du CDE. Cette section comprend un article unique, XI.203/1, qui instaure un nouveau droit voisin sur l’image et la voix de toute personne. Ses principaux éléments sont les suivants :

• Droit moral (§ 1er). Toute personne physique se voit reconnaître un droit moral inaliénable sur son image et sa voix. Une renonciation globale à l’exercice futur de ce droit est nulle. Même après avoir donné son consentement, la personne conserve le droit de s’opposer à un deepfake susceptible de porter atteinte à son honneur ou à sa réputation.

• Droit patrimonial exclusif (§ 2). Chacun peut autoriser ou interdire la création, la reproduction, la distribution et la communication au public d’un deepfake de son image ou de sa voix. Le choix du législateur de créer ce droit d’interdiction pour la personne dès le stade de la création mérite d’être souligné.

• Durée de protection et exercice après le décès (§§ 4 et 5). Les droits subsistent jusqu’à cinquante ans après le décès. Après le décès de la personne concernée, ils sont exercés par ses héritiers, ses légataires ou une personne désignée.

• Exceptions (§ 6). Il n’y a pas d’atteinte au droit lorsque la personne concernée a donné son consentement ou lorsque l’utilisation poursuit une finalité de parodie, de satire ou de critique sociale, à condition de respecter un juste équilibre avec la liberté d’expression et de ne pas porter une atteinte disproportionnée à l’honneur ou à la réputation.

• Protection contractuelle (§§ 7 à 9). Sur le modèle des droits des artistes-interprètes ou exécutants, la proposition prévoit un droit à une rémunération appropriée et proportionnelle, une exigence de preuve écrite et une interprétation restrictive des contrats. Des règles plus souples s’appliquent aux salariés et aux prestations réalisées sur commande dans le secteur publicitaire ou non culturel.

• Mesures d’exécution et de réparation (§§ 10 à 12). En cas d’urgence, le juge peut ordonner le blocage de comptes ou de noms de domaine, la suppression de contenus et leur déréférencement dans les résultats de recherche, ainsi qu’accorder des dommages et intérêts, y compris la restitution des bénéfices. Les intermédiaires en ligne, tels que les plateformes, qui proposent leurs services au public belge doivent mettre ces mesures en œuvre sans délai, sans préjudice du règlement sur les services numériques (DSA).

La proposition présente des mérites indéniables : elle crée un droit clairement défini dont le titulaire est identifiable, protège expressément la voix et donne à la victime des moyens d’action concrets lorsqu’un deepfake la concernant circule déjà en ligne. Les plateformes connaissent d’ailleurs déjà ces mécanismes dans le cadre d’autres droits de propriété intellectuelle. Certaines réserves s’imposent néanmoins. On peut notamment se demander si un droit susceptible d’exploitation commerciale et de licence portant sur les attributs de la personnalité ne risque pas davantage d’organiser un marché des deepfakes que de lutter contre les abus. Son articulation avec le droit harmonisé de l’Union, le RGPD et l’acquis en matière de droit d’auteur et de droits voisins doit également être examinée de manière approfondie. En outre, un tel droit ne résout pas le problème pratique posé par des acteurs souvent anonymes et opérant depuis l’étranger.

Il convient toutefois de rappeler qu’il s’agit encore d’une proposition de loi : la poursuite de son examen parlementaire et l’avis du Conseil d’État restent attendus.

Regard au-delà des frontières : les Pays-Bas et le Danemark

Aux Pays-Bas, une proposition de loi d’initiative parlementaire intitulée « Wet naburig recht deepfakes van personen » (loi relative à un droit voisin concernant les deepfakes de personnes) a été soumise à consultation publique à la fin de l’année 2025, du 30 octobre au 31 décembre. Elle modifie la loi sur les droits voisins et accorde à toute personne physique ainsi qu’à ses proches survivants le droit d’autoriser ou d’interdire la création, l’utilisation et la diffusion de deepfakes de sa voix ou de son apparence.

La proposition belge suit ce modèle, mais les critiques formulées aux Pays-Bas sont vives. En mai 2026, la Commission néerlandaise du droit d’auteur a recommandé de renoncer à la création d’un nouveau droit voisin, estimant que la propriété intellectuelle se prête mal à la lutte contre les abus dans les contextes de pornographie, de fraude et de tromperie. Elle a également souligné les tensions possibles avec le droit de l’Union. La doctrine s’interroge elle aussi sur le risque que la proposition normalise et commercialise les deepfakes plutôt qu’elle ne les combatte (P.B. Hugenholtz, « Een naburig deepfake-recht. Echt? », NJB 2026, n° 6, p. 442). Entre-temps, le règlement omnibus numérique relatif à l’IA a toutefois prévu une interdiction des deepfakes à caractère sexuel de personnes physiques identifiables, comblant ainsi au moins partiellement cette lacune. Il reste donc à voir comment la proposition de loi évoluera en Belgique, où des moyens d’action sont prévus en cas d’urgence et où le droit pénal en matière d’infractions sexuelles offre déjà certains recours.

Le Danemark, quant à lui, a choisi de légiférer par le biais de sa loi sur le droit d’auteur. La proposition de loi, fondée sur un large accord politique du 26 juin 2025, prévoit l’insertion d’un nouvel article 73a interdisant de mettre à la disposition du public, sans consentement, des imitations numériques réalistes des caractéristiques physiques personnelles d’une personne, telles que son apparence et sa voix. Cette protection s’étend jusqu’à cinquante ans après le décès de la personne représentée. Un nouvel article 65a protège, pour sa part, les artistes-interprètes ou exécutants contre l’imitation numérique de leurs prestations. Des exceptions sont prévues notamment pour la caricature, la satire, la parodie et la critique. Contrairement à la proposition belge, le dispositif danois vise uniquement la mise à disposition du public, et non la création. Le gouvernement danois souhaite également promouvoir ce modèle à l’échelle européenne, mais la proposition a suscité, dans le cadre de la procédure de notification TRIS, des interrogations sur sa compatibilité avec le droit d’auteur harmonisé. L’entrée en vigueur prévue le 31 mars 2026 a été perturbée par la tenue d’élections anticipées.

Conclusion

La récente proposition de loi visant à reconnaître à chacun un droit voisin sur son image et sa voix pourrait apporter la réponse attendue aux deepfakes non souhaités. L’article 50 du règlement sur l’IA et la proposition belge constituent en effet deux éléments complémentaires et nécessaires. Le label IA protège le public contre la tromperie, tandis que le droit voisin proposé donne à la personne concernée la maîtrise de l’utilisation de son image et de sa voix, ainsi que des recours assortis de moyens d’action concrets. C’est précisément l’efficacité de ces moyens d’action qui constitue le véritable test. Un droit n’est effectif que si les victimes peuvent obtenir rapidement la suppression des deepfakes, y compris lorsque leurs auteurs sont anonymes ou établis à l’étranger. À notre sens, le débat parlementaire sur la proposition de loi devrait donc porter avant tout sur cette question.

Timelex suit ces évolutions de près. Si vous avez des questions concernant les obligations de transparence du règlement sur l’IA ou la protection de l’image et de la voix, n’hésitez pas à nous contacter !