Deepfakes sexuels non consentis : l’Union européenne
les interdit à partir du 2 décembre 2026.
Ce que dit le texte, qui est visé, et pourquoi la sanction peut atteindre 7 % du chiffre d’affaires mondial.
La plupart des régulations numériques encadrent un usage. Celle-ci interdit une capacité. Un système capable de produire ces contenus de façon prévisible tombe sous le coup du texte, même si son éditeur ne l’a jamais conçu pour cela.
Le texte adopté et son statut
L’interdiction ne constitue pas un règlement autonome. Elle résulte d’une révision du règlement européen sur l’intelligence artificielle, entré en vigueur le 1er août 2024, portée par un paquet d’amendements présenté par la Commission le 19 novembre 2025 sous le nom d’omnibus numérique.
Ce paquet visait initialement la simplification : réduire la fragmentation entre les vingt-sept États membres et donner aux entreprises davantage de temps avant les échéances les plus lourdes. L’interdiction des contenus intimes non consentis s’y est ajoutée en cours de négociation.
Après l’accord politique du printemps 2026, le texte a suivi son parcours institutionnel jusqu’à sa publication. Il n’est plus au stade de l’annonce : les dispositions décrites ici sont désormais du droit applicable, avec une date d’entrée en application fixée.
Les deux interdictions ajoutées
Le règlement européen sur l’intelligence artificielle comporte une liste de pratiques purement interdites, distincte des catégories soumises à obligations. Deux entrées viennent s’y ajouter.
- Les systèmes générant ou manipulant des images, vidéos ou contenus sonores réalistes représentant les parties intimes d’une personne identifiable, ou la représentant dans des actes sexuels, sans son consentement explicite. C’est ce que les textes désignent sous le terme de dénudation.
- Les systèmes générant ou manipulant du matériel relevant de l’exploitation sexuelle d’enfants. Cette seconde interdiction est parallèle et distincte de la première.
Le périmètre est plus large que ce que la formule « applications de déshabillage » laisse entendre. Il couvre les images fixes, les vidéos et les contenus audio, et il vise autant la génération que la manipulation d’un contenu existant.
Ces deux interdictions entrent en application à la même date, le 2 décembre 2026. Elles rejoignent les pratiques déjà proscrites par le règlement, comme la notation sociale ou l’exploitation des vulnérabilités.
Une précision utile pour les personnes visées : au-delà de ce texte, les contenus mettant en scène des personnes réelles relèvent de toute façon du règlement sur les données personnelles, du droit à l’image et du droit pénal national. L’interdiction s’ajoute à ces protections, elle ne les remplace pas.
Une distinction mérite d’être posée pour éviter un contresens fréquent. Le règlement européen ne rend pas ces contenus illégaux : ils l’étaient déjà, au titre du droit pénal de chaque État membre. Ce qu’il ajoute, c’est l’interdiction du système qui permet de les produire. La cible se déplace de l’auteur du contenu vers le fournisseur de l’outil, ce qui change radicalement l’efficacité de la répression : poursuivre des milliers d’utilisateurs anonymes est impraticable, retirer un système du marché européen ne l’est pas.
Le critère juridique qui change tout
C’est l’élément le plus important du texte, et le moins commenté. La question n’est pas de savoir si un système a été conçu pour produire ces contenus, mais s’il en est capable dans des conditions normales d’usage.
La formulation retenue déclenche l’interdiction lorsque la génération de ce matériel constitue un résultat raisonnablement prévisible et reproductible du système, sans qu’il soit nécessaire d’y apporter des modifications techniques significatives.
Autrement dit : si un utilisateur ordinaire peut obtenir ce type de contenu sans contourner de protection ni modifier le modèle, le système tombe sous le coup de l’interdiction. La défense consistant à invoquer la neutralité de l’outil et la responsabilité exclusive de l’utilisateur ne fonctionne plus.
La conséquence est directe pour les modèles généralistes. Un service de génération d’images n’est pas concerné parce qu’il produirait ces contenus, mais parce qu’il ne les empêcherait pas efficacement. L’obligation devient une obligation de résultat sur les garde-fous.
Ce déplacement de l’usage vers la capacité technique constitue une première dans la régulation numérique européenne. Les textes antérieurs encadraient ce que l’on fait d’un outil. Celui-ci encadre ce qu’un outil rend possible, ce qui oblige les éditeurs à documenter et à démontrer l’efficacité de leurs filtres plutôt qu’à les annoncer.
Une limite d’application se devine toutefois. Le caractère « raisonnablement prévisible » suppose une appréciation, et personne ne sait encore où les autorités placeront le seuil. Un système résistant à une demande directe mais cédant après trois reformulations sera-t-il conforme ? La réponse dépendra des premières décisions rendues, probablement pas avant plusieurs mois après l’entrée en application. En attendant, les éditeurs prudents auront intérêt à viser large plutôt qu’à tester la frontière, puisque le palier de sanction encouru ne laisse guère de place à l’expérimentation.
Les sanctions encourues
Le règlement prévoit plusieurs paliers de sanction selon la nature du manquement. Les pratiques interdites relèvent du plus élevé, et c’est là que se situent les deux nouvelles entrées.
Un manquement expose à une amende pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial de l’entreprise concernée, le montant le plus élevé des deux étant retenu.
Ce plafond mérite une comparaison. Le règlement sur les données personnelles plafonne à 4 % du chiffre d’affaires mondial, celui sur les services numériques à 6 %. Les 7 % applicables ici constituent donc le niveau le plus élevé de l’arsenal réglementaire numérique européen.
Ce choix n’est pas symbolique. Il classe la génération de contenus intimes non consentis au même rang que les pratiques que l’Union considère comme incompatibles avec ses valeurs fondamentales, et non comme un simple manquement à une obligation de conformité.
Le calendrier complet
Le règlement se déploie par étapes depuis 2024, et la révision en a modifié plusieurs. Voici l’état des échéances telles qu’elles s’appliquent désormais.
- 2 août 2026 : obligations de transparence. Signaler qu’un interlocuteur est une machine, identifier les contenus manipulés, marquer les contenus produits artificiellement. Le Bureau européen de l’IA obtient à la même date ses pleins pouvoirs de sanction sur les fournisseurs de modèles à usage général.
- 2 décembre 2026 : entrée en application des deux nouvelles interdictions.
- 2 août 2027 : mise en place des bacs à sable réglementaires nationaux, reportée par la révision.
- 2 décembre 2027 : obligations applicables aux systèmes à haut risque fonctionnant de façon autonome, dans la santé ou la sécurité notamment.
- 2 août 2028 : mêmes obligations pour les systèmes intégrés à d’autres produits.
Un allègement moins visible mérite d’être signalé : l’obligation relative à la maîtrise de l’intelligence artificielle passe d’une exigence de garantir un niveau suffisant à une exigence de prendre des mesures pour en soutenir le développement. L’obligation de résultat devient une obligation de moyens.
Ce calendrier révèle un arbitrage. Les échéances les plus coûteuses pour les entreprises ont été repoussées de seize mois, tandis que l’interdiction touchant à la dignité des personnes est arrivée rapidement et sans délai supplémentaire.
La lecture politique est transparente : un paquet de simplification impopulaire auprès des défenseurs des droits a été rendu acceptable par l’ajout d’une mesure de protection difficilement contestable.
Les reports, et les critiques
Le report des obligations applicables aux systèmes à haut risque a été justifié par un argument pratique : les entreprises n’étaient pas prêtes pour l’échéance initiale, et les normes techniques harmonisées censées les guider n’étaient pas disponibles.
Cet argument n’a pas convaincu tout le monde. Le Contrôleur européen de la protection des données a exprimé publiquement son désaccord, estimant que reporter des obligations destinées à protéger les personnes contre des systèmes potentiellement dangereux revient à transférer le risque vers les utilisateurs finaux, et que ce sont les normes harmonisées qu’il faut accélérer plutôt que l’application du règlement qu’il faut repousser.
En France, la Défenseure des droits a rejoint cette analyse dans une déclaration commune signée en mars 2026 avec plus de soixante institutions européennes équivalentes, appelant à conditionner tout report à un renforcement des garanties applicables aux systèmes biométriques déployés dans l’espace public.
Ces demandes n’ont été que partiellement entendues. Le débat rejoint celui que nous avions documenté dans notre article sur la vidéosurveillance algorithmique et son expérimentation, où la question du contrôle des dispositifs biométriques se posait déjà dans les mêmes termes.
Pourquoi maintenant
Trois facteurs se sont conjugués pour rendre cet ajout politiquement incontournable en quelques mois.
La banalisation technique. Produire ce type de contenu à partir d’une photographie ordinaire ne demande plus aucune compétence particulière. Les modèles de génération d’images ont franchi un seuil de qualité et d’accessibilité qui a fait basculer le problème d’une niche vers un phénomène de masse.
La visibilité politique. Des responsables publics ont été visés, dont la présidente du Conseil italien, qui a dénoncé des images générées la représentant en qualifiant ces procédés d’outils dangereux. Lorsque des dirigeants sont touchés, un sujet cesse d’être traité comme un problème de modération.
L’ampleur des victimes anonymes. Les signalements impliquant des personnes sans notoriété, dont des mineures, ont augmenté au point de déclencher une enquête européenne après un épisode ayant provoqué un tollé en France.
S’y ajoute un climat général de vigilance sur les capacités des modèles les plus récents, dont certaines performances en matière de détection de vulnérabilités ont relancé le débat sur les risques posés par les systèmes les plus avancés.
Ce que cela change pour les entreprises
Pour les éditeurs de systèmes
L’obligation porte désormais sur l’efficacité démontrée des protections. Annoncer un filtre ne suffira pas : il faudra pouvoir établir qu’un utilisateur ordinaire n’obtient pas ces résultats sans effort particulier.
Cela suppose des tests documentés, un dispositif de traitement des signalements et une capacité à réagir rapidement lorsqu’un contournement est identifié.
Pour les entreprises utilisatrices
Le choix d’un outil de génération d’images devient un point de vigilance. Intégrer dans ses services un système qui viendrait à être interdit sur le marché européen crée un risque de rupture opérationnelle, indépendamment de tout usage fautif.
Pour les personnes visées
Le texte ne crée pas de recours individuel nouveau, mais il renforce l’arsenal existant en désignant clairement le fournisseur comme responsable. Les voies classiques restent ouvertes : plainte, signalement à l’autorité de protection des données, action fondée sur le droit à l’image.
La réactivité compte. Conserver des preuves horodatées et signaler sans attendre reste le réflexe le plus utile, exactement comme dans les fraudes exploitant des informations personnelles réelles.
Ce texte s’inscrit dans un mouvement plus large d’encadrement des technologies grand public, qu’il s’agisse des dispositifs portables analysés dans notre article sur les lunettes connectées et la position de la CNIL, ou de secteurs sans rapport apparent où la même logique d’interdiction par capacité s’observe, comme le montre le durcissement réglementaire appliqué à certains produits en France. Les assistants généralistes eux-mêmes sont concernés, qu’il s’agisse des services comparés dans notre analyse des grandes IA conversationnelles ou de leur intégration au système d’exploitation décrite dans notre article sur leur arrivée sur Android.
Interdiction européenne : les réponses essentielles.
Que devient exactement interdit ?
Deux catégories de systèmes s’ajoutent à la liste des pratiques interdites : ceux générant ou manipulant des contenus représentant les parties intimes d’une personne identifiable ou la montrant dans des actes sexuels sans consentement explicite, et ceux produisant du matériel d’exploitation sexuelle d’enfants.
À partir de quand ?
Le 2 décembre 2026 pour les deux interdictions. Elles résultent d’une révision du règlement européen sur l’intelligence artificielle, portée par un paquet d’amendements présenté en novembre 2025 et adopté au terme des négociations du printemps 2026.
Les IA généralistes sont-elles concernées ?
Oui, et c’est le point décisif. Un système généraliste dont les garde-fous n’empêchent pas efficacement la production de ces contenus tombe sous le coup de l’interdiction, même s’il n’a jamais été conçu pour cet usage.
Comment l’interdiction se déclenche-t-elle ?
Lorsque la génération de ce matériel constitue un résultat raisonnablement prévisible et reproductible du système, sans nécessiter de modifications techniques significatives. Le critère est la capacité technique, pas l’intention du concepteur : l’argument de l’outil neutre ne fonctionne plus.
Quelles sanctions sont prévues ?
Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. C’est le palier le plus sévère du règlement, et le plus élevé de l’ensemble de l’arsenal réglementaire numérique européen.
D’autres échéances ont-elles changé ?
Oui. Les obligations applicables aux systèmes à haut risque ont été repoussées au 2 décembre 2027 pour les systèmes autonomes et au 2 août 2028 pour les systèmes intégrés, soit seize mois de délai supplémentaire. Les bacs à sable réglementaires nationaux sont reportés à août 2027.
Ces reports ont-ils été contestés ?
Oui. Le Contrôleur européen de la protection des données a estimé que reporter ces obligations revenait à transférer le risque vers les utilisateurs. En France, la Défenseure des droits a rejoint cette analyse avec plus de soixante institutions européennes équivalentes en mars 2026.
Quels recours pour une personne visée ?
Le texte ne crée pas de recours individuel nouveau mais renforce l’arsenal existant en désignant le fournisseur comme responsable. Les voies classiques restent ouvertes : plainte, signalement à l’autorité de protection des données, action fondée sur le droit à l’image et le droit pénal national.
- Texte consolidé du règlement européen sur l’intelligence artificielle
- Commission européenne — Cadre réglementaire applicable à l’intelligence artificielle
- Siècle Digital — Accord européen et déclarations des négociateurs
- Analyse détaillée des modifications apportées au règlement et des paliers de sanction
- Contrôleur européen de la protection des données — Positions publiques sur les reports
- Défenseure des droits — Déclaration commune du réseau européen des institutions d’égalité
WY-Créations analyse les évolutions du web, de l’intelligence artificielle et de leur encadrement. Ces éléments sont d’ordre général et ne constituent pas un conseil juridique. Nos retours clients et notre page contact restent à disposition. Pour aller plus loin : toutes les actualités web.
Choisir un outil, c’est aussi hériter de ce qu’il rend possible.
WY-Créations accompagne les entreprises sur leurs sites, leurs outils et leurs usages numériques depuis 2018.