La protection des données pour les photos par IA n'est pas un sujet secondaire pour les entreprises

Il existe un type de données qu'on ne peut pas simplement réinitialiser. Un mot de passe se change, une carte de crédit se bloque, une adresse se déplace. Un visage non. C'est l'unique caractéristique biométrique que vous portez toute votre vie, et c'est précisément ce qui en fait l'un des points de données les plus sensibles qui soient. Quand des entreprises commencent à créer par IA, à partir des selfies de leurs collaborateurs, des portraits professionnels, alors elles ne font pas transiter n'importe quelle image par la ligne. Elles font transiter un original biométrique.

Beaucoup traitent pourtant le sujet comme s'il s'agissait d'un logo d'entreprise. On téléverse vite quelque chose, on clique à travers un outil et on se réjouit du résultat. Le réflexe est compréhensible, parce que le résultat a l'air si inoffensif. Mais le chemin pour y parvenir ne l'est pas toujours. Entre le selfie sur le téléphone et le portrait fini sur le site s'étend souvent un voyage à travers des centres de calcul étrangers, et sur ce voyage se décide si vous gardez le contrôle ou le cédez en silence.

Un visage est une donnée particulière

Le droit fait ici une distinction claire, et elle n'est pas une subtilité juridique, mais du bon sens sous forme de paragraphes. Les données biométriques jouissent d'une protection accrue, parce qu'elles identifient une personne de façon univoque et durable. Un visage se laisse comparer à d'autres bases de données, suivre sur des années, mettre dans des contextes qui n'ont plus rien à voir avec le but d'origine. C'est précisément pourquoi il ne suffit pas de traiter une photo comme un fichier quelconque.

Imaginez qu'une collaboratrice vous donne son selfie pour un portrait professionnel. Elle vous confie ainsi quelque chose de plus personnel que son numéro de téléphone. Si ce selfie transite par un service dont personne n'a lu les conditions, alors il peut arriver que son visage atterrisse quelque part comme matériel d'entraînement ou reste stocké pour une durée indéterminée. Elle a consenti à un portrait. Pas à devenir partie d'un modèle qui, un jour, façonne des visages étrangers.

Le chemin invisible à travers des serveurs étrangers

Le véritable risque réside rarement dans le résultat visible, mais dans le transport invisible. Une image que vous téléversez disparaît un moment de votre vue. Où va-t-elle. Qui la traite. Combien de temps reste-t-elle. Est-elle supprimée une fois le travail fait ou migre-t-elle dans une archive à laquelle vous n'avez plus accès. Ces questions sonnent techniques, mais elles sont le cœur de l'affaire, car la protection des données est toujours une question de savoir qui peut faire quoi et quand avec vos données.

Un exemple du quotidien le rend tangible. Vous ne laisseriez pas le dossier personnel de votre équipe ouvert sur un photocopieur étranger en espérant que personne ne l'emporte. Avec les images, c'est précisément ce qui arrive étonnamment souvent. On les téléverse quelque part, parce que c'est commode, et on se fie à ce que le prestataire fasse bien les choses. Le confort est ici le conseiller le plus discret et le plus coûteux, car ce qui se trouve une fois sur un serveur étranger échappe à votre disposition.

Pourquoi tout cela est l'affaire de la direction

Il y a une tendance à reléguer la protection des données à l'informatique ou à un service spécialisé. Pour les photos de collaborateurs, c'est une erreur. Car il ne s'agit pas seulement de technique, mais de confiance entre êtres humains. Quand un employé apprend que son visage a transité sans accord clair par des canaux douteux, cela endommage la relation à l'entreprise. Et ce dommage ne se répare avec aucun joli portrait.

La responsabilité signifie ici réfléchir avant le premier téléversement plutôt qu'après. Qui porte la souveraineté sur les données. Quel consentement avez-vous réellement recueilli, et pour quoi exactement. Que se passe-t-il quand quelqu'un quitte l'entreprise et que son image doit disparaître de tous les systèmes. Une entreprise qui répond proprement à ces questions paraît sûre d'elle vers l'intérieur et l'extérieur. Une qui les ignore est assise sur un risque qui reste longtemps silencieux, puis devient bruyant.

À quoi vous devriez concrètement veiller

Le levier le plus important est la question du devenir des images. Une voie sérieuse se distingue par le fait que les originaux ne sont traités que le temps nécessaire au résultat, et disparaissent ensuite. Vous devriez avoir le droit de savoir si vos images sont utilisées comme données d'entraînement, et vous devriez pouvoir vous y opposer. Un prestataire qui ne donne aucune réponse claire là-dessus vous donne déjà par là une réponse.

Tout aussi importante est la possibilité de suppression. Un bon système permet de retirer de nouveau complètement un visage, proprement et de façon vérifiable. Cela sonne comme une évidence, mais ne l'est pas, car bien des services sont conçus pour conserver les données, pas pour les rendre. Vérifiez donc non seulement combien il est facile de téléverser quelque chose, mais combien il est facile de vous en défaire de nouveau. Le chemin du retour en dit plus sur un prestataire que le chemin de l'aller.

Au fond, il reste une attitude simple. Traitez le visage de vos gens avec le même respect que leurs données de santé ou leur salaire. Il existe aujourd'hui des voies modernes, sans studio, pour faire de selfies des portraits cohérents, sans céder pour cela la souveraineté sur les données, et ce sont précisément de telles voies qu'il vaut la peine de chercher. Celui qui avance en matière de protection des données ne vend pas de la peur. Il montre de la maturité, et la maturité est le signal le plus discret mais le plus fort de professionnalisme.