RGPD et IA
RGPD et IA générative : les photos de vos salariés envoyées à un générateur vidéo peuvent entraîner ses modèles, selon deux des trois politiques que j'ai lues
Une photo de salarié est une donnée personnelle, et ce que le générateur en fait dépend de sa politique de confidentialité, pas de votre intention. Le 5 novembre 2026, j’ai lu celles de trois outils de vidéo par IA : Higgsfield, HeyGen et Synthesia. Deux d’entre elles, Higgsfield et HeyGen, écrivent que les fichiers envoyés peuvent servir à entraîner leurs modèles, et toutes les deux indiquent un siège aux États-Unis et des transferts de données vers ce pays. La troisième, Synthesia, renvoie au contrat signé avec le client pour les fichiers d’avatar.
La CNIL, dans ses questions-réponses sur l’utilisation d’un système d’IA générative (18 juillet 2024), demande, pour un outil dont la maîtrise est presque entièrement chez le fournisseur, d’être vigilant sur les données soumises, « en évitant autant que possible la saisie de données personnelles ». Elle recommande aussi un contrat de sous-traitance avec l’hébergeur ou le fournisseur, l’encadrement des transferts hors de l’Union, et une charte interne des usages autorisés et interdits.
Cet article pose côte à côte ce que disent ces trois politiques, ce que recommande la CNIL, et les six points à régler avant d’appuyer sur « générer ».
Qu’envoyez-vous vraiment en téléversant la photo d’un salarié ?
Un visage, et souvent plus. Pour la CNIL, une donnée personnelle est toute information qui se rapporte à une personne identifiée ou identifiable. Le visage d’un salarié en fait partie, son nom dans le texte de la vidéo aussi, sa voix si vous l’enregistrez.
Les outils le disent eux-mêmes. La politique de Higgsfield prévient que téléverser une photo, une vidéo ou un son qui contient un visage ou une voix peut impliquer, selon les lois, la collecte de données biométriques (une empreinte du visage ou de la voix). Elle ajoute qu’elle ne stocke pas ces données biométriques : elles sont extraites le temps du traitement, puis détruites. Synthesia écrit que la création d’un avatar demande de traiter la géométrie du visage, l’empreinte vocale, ou les deux, à partir d’un échantillon et d’un enregistrement de vérification.
Les fichiers envoyés, eux, ne suivent pas cette destruction immédiate : Higgsfield décrit leur suppression à part, et ce sont eux que Higgsfield et HeyGen citent quand ils parlent d’entraînement.
Que disent les politiques de trois générateurs vidéo ?
Chaque case vient de la politique de confidentialité de l’outil de sa colonne, lue le 5 novembre 2026. Quand une politique ne dit rien sur une ligne, la case l’écrit.
| Question | Higgsfield (mise à jour du 31/10/2026) | HeyGen (mise à jour du 15/10/2026) | Synthesia (en vigueur depuis le 01/10/2026) |
|---|---|---|---|
| Siège indiqué | San Francisco, États-Unis | Los Angeles, États-Unis | Londres, Royaume-Uni ; représentant pour l'Union au Danemark |
| Vos fichiers peuvent-ils entraîner les modèles ? | Oui : les fichiers envoyés et les résultats peuvent servir à entraîner et améliorer ses modèles et ceux de ses sociétés affiliées | Oui : les fichiers envoyés peuvent servir à entraîner les modèles, y compris ceux qui créent les avatars | Les fichiers d'avatar sont des « données du client », traitées selon le contrat ; la politique ne les cite pas parmi les données qui servent à améliorer ses modèles en général, mais cite l'ajustement du modèle pour générer les vidéos de votre avatar |
| Peut-on refuser l'entraînement ? | Aucune démarche propre à l'entraînement décrite ; pour l'Europe, un droit d'opposition aux traitements fondés sur l'intérêt légitime, base que la politique retient pour la recherche et le développement | Oui, par un courriel à son adresse de protection des données | Non précisé (renvoi au contrat) |
| Après suppression | Jusqu'à 30 jours sur les serveurs actifs, puis des copies en sauvegarde ; un contenu déjà intégré à un modèle entraîné ne peut pas en être retiré | 60 jours en sauvegarde, puis effacement ; après une demande de suppression, l'éditeur dit s'efforcer d'agir sous 72 h | Selon les instructions du client ; les données biométriques de l'avatar sont gardées tant que l'avatar est disponible |
| Hors de l'Union européenne | Pour l'Europe, la politique écrit que vos données seront nécessairement consultées et traitées aux États-Unis ; décisions d'adéquation, clauses contractuelles types, ou exceptions | Transfert vers les États-Unis ; certification au cadre de protection des données UE–États-Unis et clauses contractuelles types | Transfert possible hors du Royaume-Uni et de l'Espace économique européen ; décisions d'adéquation, clauses contractuelles types, ou exceptions |
Sources : politiques de confidentialité de Higgsfield, HeyGen et Synthesia, en anglais, lues le 5 novembre 2026. Ma traduction, résumée.
Une précision qui change la lecture de la colonne HeyGen : sa politique indique qu’elle ne s’applique pas aux offres entreprise, régies par les contrats clients. Si votre entreprise signe une offre de ce type, c’est ce contrat qu’il faut lire, pas seulement cette page.
Vos photos peuvent-elles entraîner le modèle, et peut-on revenir en arrière ?
Chez deux outils sur trois, oui pour l’entraînement, et chez Higgsfield, le retour en arrière a une limite écrite. Higgsfield précise qu’un contenu déjà intégré à ses modèles avant sa suppression ne peut pas, en pratique, en être retiré ; il s’engage seulement à ne plus l’utiliser pour les entraînements suivants. Autrement dit, la suppression vaut pour l’avenir.
Chez HeyGen, l’entraînement repose sur l’intérêt légitime de l’éditeur, et la politique donne une adresse pour s’y opposer. La démarche existe, mais c’est à vous de la faire, de préférence avant le premier envoi.
C’est exactement le cas que vise la CNIL : quand les données peuvent être réutilisées par le fournisseur selon ses conditions, elle demande à l’entreprise d’analyser au cas par cas s’il faut interdire tout envoi de données personnelles, ou seulement certaines. Elle conseille aussi de s’opposer, le cas échéant, à la réutilisation des données d’usage par le fournisseur.
Vous voulez une vidéo avec un présentateur, sans utiliser le visage d'un salarié ? Voyez comment je produis les vidéos face caméra : le présentateur est créé par intelligence artificielle, et chaque vidéo livrée le signale.
Que recommande la CNIL avant d’appuyer sur « générer » ?
Cinq gestes, tirés de ses questions-réponses de juillet 2024. Je les ai mis dans une liste, avec un sixième qui vient de ma lecture des trois politiques.
- Éviter, autant que possible, d’y mettre des données personnelles. C’est la consigne de la CNIL pour un système utilisé par interface de programmation (API), dont la maîtrise est presque entièrement chez le fournisseur. Pour un service grand public, elle va plus loin : ne jamais y partager de données personnelles.
- Lire si vos fichiers peuvent entraîner les modèles. Dans le tableau ci-dessus, c’est écrit chez deux outils sur trois.
- Refuser la réutilisation quand c’est possible. La CNIL cite la désactivation de la réutilisation des données d’usage, voire de l’enregistrement de l’historique.
- Signer un contrat de sous-traitance avec l’hébergeur, et le cas échéant avec le fournisseur de l’outil, qui précise les responsabilités et les accès aux données.
- Savoir si les données sortent de l’Union européenne, et encadrer ce transfert : les trois politiques en prévoient un.
- Écrire une charte interne qui liste les usages autorisés et interdits, et former ceux qui s’en servent.
Dans la même foire aux questions, la CNIL conseille aussi d’associer le délégué à la protection des données et, le cas échéant, de réaliser une analyse d’impact. Ce n’est pas un conseil juridique de ma part : c’est ce que la CNIL écrit, et votre délégué ou votre conseil reste le bon interlocuteur pour votre cas.
Faut-il les photos d’un salarié pour une vidéo générée par IA ?
Pas forcément, et ne pas en envoyer règle la question à la source. Il y a deux cas.
Le salarié doit apparaître, lui. C’est un avatar de la personne réelle. Synthesia et HeyGen demandent alors un enregistrement de consentement fait par cette personne, et, pour l’AI Act, la vidéo est un hypertrucage à signaler. J’ai détaillé ce cas, avec l’accord écrit à prévoir, dans l’article sur l’avatar IA d’un dirigeant, et la mention elle-même dans l’article sur l’AI Act et la mention IA.
Il faut seulement quelqu’un qui parle. Un présentateur qui n’existe pas ne demande aucune photo de salarié. C’est le cas de mes vidéos UGC pour les commerces : la page demande quelques photos du produit et du lieu, et précise que les personnes de ces vidéos n’existent pas : ce sont des présentateurs générés par intelligence artificielle, et chaque vidéo livrée le signale.
Reste la question de la propriété de ce qui sort du générateur, qui est un autre sujet : je l’ai traité dans l’article sur le droit d’auteur d’une vidéo générée par IA. Et pour savoir ce qui se génère et ce qui se tourne dans une vidéo d’entreprise, voyez ce qui trahit une vidéo d’entreprise générée par IA. Le tour d’ensemble est dans ce que l’IA change à la vidéo en 2026.
Sources : CNIL, Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative (18 juillet 2024), lue le 5 novembre 2026 ; politiques de confidentialité citées sous le tableau.