Un selfie, quelques secondes d’attente, un portrait stylisé prêt pour une photo de profil. Le geste est devenu banal.
Ce qui l’est moins : l’image de départ, elle, ne s’efface pas forcément quand l’avatar apparaît. Et selon la technique employée par le service, ce n’est pas seulement une photo qui reste sur un serveur, c’est une représentation numérique de votre visage.
Comment l’IA transforme une photo en avatar
Un générateur d’avatar ne redessine pas votre portrait au sens où un illustrateur le ferait. Il commence par le traduire en chiffres.
La chaîne est presque toujours la même. Détection du visage dans l’image, alignement sur des points de repère (yeux, nez, bouche), puis extraction d’un vecteur numérique, un embedding, qui condense la géométrie et les textures du visage en quelques centaines de valeurs. C’est ce vecteur, et non votre photo, qui guide ensuite un modèle génératif de type diffusion pour fabriquer une image neuve « qui vous ressemble ».
Deux approches coexistent, et le choix de l’une ou de l’autre décide de ce qui restera chez le prestataire.
- Le conditionnement à la volée : un encodeur d’identité lit une seule photo, en tire l’embedding, et le modèle génère dans la foulée. Aucun apprentissage, rien à entraîner, un résultat en quelques secondes.
- L’entraînement léger : le service ajuste un petit jeu de poids dédié à votre visage, typiquement par LoRA, à partir de dix à vingt photos. Le résultat est plus fidèle et plus souple, mais votre identité devient un fichier de poids stocké quelque part.
Dans le premier cas, on transmet une image. Dans le second, on laisse un modèle personnel de son propre visage sur une infrastructure tierce. Les conditions d’utilisation, elles, parlent rarement de cette nuance.
Stylisation, 3D, animation : trois familles, trois niveaux d’exposition
Les offres grand public se rangent en trois catégories, du plus léger au plus intrusif en matière de données.
La stylisation 2D reste la plus courante : une photo entre, un portrait retravaillé sort, façon illustration, peinture ou photo de studio. Les applications de retouche mobile comme YouCam Perfect, éditée par PerfectCorp, occupent ce terrain. Une photo suffit, le traitement est court, l’exposition minimale.
L’avatar animé ou vidéo monte d’un cran. Des services comme Vidnoz ou Creatify fabriquent un porte-parole synthétique qui parle, bouge, articule. Il ne s’agit plus seulement d’un visage figé mais d’un modèle de mouvement labial et d’expressions, souvent alimenté par une courte vidéo ou plusieurs angles de prise de vue.
L’avatar 3D ferme la marche, avec des outils de reconstruction volumétrique comme Hyper3D. On y produit un maillage texturé, réutilisable dans un jeu, un moteur temps réel ou un environnement virtuel. C’est la représentation la plus riche, donc la plus identifiante.
Règle simple à retenir : plus la sortie est vivante, plus l’entrée exigée est détaillée, et plus la donnée laissée derrière soi est précise.
Ce que vous cédez en envoyant votre visage
Quatre objets distincts naissent d’un même envoi, et ils ne suivent pas le même destin.
- La photo originale, hébergée le temps du traitement, parfois bien au-delà, avec ses métadonnées EXIF (date, modèle d’appareil, coordonnées GPS si la géolocalisation était active).
- L’embedding, ce vecteur d’identité qui permet de retrouver ou de recréer le visage sans conserver l’image.
- Les poids personnalisés, quand le service entraîne un modèle dédié à votre portrait.
- L’avatar produit, dont les droits d’usage sont fixés par les conditions du service, pas par vous.
Supprimer son compte efface souvent la photo d’origine. Rarement l’embedding, les poids ou l’avatar produit : les pages d’accueil ne disent presque jamais ce que deviennent ces trois-là.
Autre clause à lire avec attention : la réutilisation des contenus envoyés pour améliorer les modèles. Une licence large, non exclusive et mondiale sur les images transmises est fréquente. Elle ne signifie pas que votre visage finira en publicité, mais elle autorise un usage bien plus étendu que le simple rendu que vous êtes venu chercher. L’engagement inverse existe pourtant : Adobe affirme publiquement ne pas entraîner Firefly sur les contenus de ses clients, et comparer cette ligne d’un service à l’autre prend cinq minutes.
RGPD et données biométriques : les points à vérifier
Une photo de visage n’est pas, en soi, une donnée biométrique au sens du RGPD. Elle le devient dès qu’un traitement technique spécifique permet l’identification unique d’une personne. Un encodeur d’identité franchit ce seuil dès qu’il produit un gabarit numérique du visage.
La conséquence est lourde : on bascule alors dans l’article 9, celui des catégories particulières de données, dont le traitement est interdit par principe. L’exception la plus utilisée par les services grand public est le consentement explicite. Explicite veut dire spécifique, éclairé, séparé du reste, et révocable. Une case unique validant en bloc les conditions générales ne remplit pas ce critère.
Avant d’envoyer un portrait, cinq points méritent une vérification rapide dans la politique de confidentialité.
- La base légale invoquée pour le traitement du visage, et l’existence d’un consentement distinct pour la biométrie.
- La durée de conservation de la photo, du gabarit et des éventuels poids, exprimée en jours et non en formules élastiques du type « aussi longtemps que nécessaire ».
- Les sous-traitants et transferts hors Union européenne, avec les garanties associées.
- La réutilisation en entraînement, et surtout l’existence d’une option de refus réellement accessible.
- La procédure d’effacement : un formulaire, un délai, un interlocuteur. L’article 17 ouvre un droit à l’effacement, encore faut-il qu’un chemin existe pour l’exercer.
Le règlement européen sur l’IA ajoute un étage au décor. Son article 5 vise l’identification biométrique à distance, pas votre portrait stylisé du dimanche : votre selfie transformé n’entre pas dans ces interdictions. Mais la trajectoire réglementaire est claire, et la CNIL continue de publier régulièrement sur les usages d’IA générative et la protection des données. Le cadre bouge dans un seul sens, celui d’une exigence accrue sur les gabarits de visage.
Un dernier point, franco-français celui-là : le droit à l’image. Transformer le portrait d’un proche, d’un collègue ou d’une personnalité sans son accord reste une atteinte, quelle que soit l’élégance du rendu. Certains éditeurs l’anticipent explicitement, à l’image de Creatify qui interdit dans ses règles la création de ressemblances non consenties. Cette clause fait office de seul garde-fou contractuel entre un outil d’avatar et une fabrique de deepfakes.
Obtenir un avatar réussi sans exposer sa photo
Renoncer n’est pas la seule option. Il existe une hygiène simple, qui coûte peu et réduit beaucoup la surface exposée.
Commencez par le choix technique. Si une seule image suffit pour le rendu visé, ne fournissez pas la série de vingt clichés proposée par défaut : un conditionnement à la volée laisse infiniment moins de traces qu’un modèle entraîné sur votre visage. Pour un usage régulier, un traitement local sur votre propre machine, avec des modèles ouverts et un encodeur d’identité, supprime la question du serveur tiers. Cela demande une carte graphique correcte et une heure d’installation, pas davantage.
Ensuite, la préparation de l’image. Retirez les métadonnées EXIF avant l’envoi, un simple recadrage et un ré-export suffisent le plus souvent. Cadrez serré sur le visage, sur fond neutre : l’arrière-plan de votre salon n’améliore pas le rendu et renseigne sur votre domicile. Évitez les photos d’identité officielles, qui sont précisément le format que d’autres systèmes utilisent pour vous authentifier.
Enfin, l’après. Téléchargez le résultat, vérifiez qu’il est exploitable, puis supprimez les fichiers sources depuis l’espace du service et demandez l’effacement du modèle personnalisé s’il y en a un. Un compte dédié, avec une adresse de messagerie distincte, isole cette activité du reste de votre identité numérique. Et tenez les enfants hors de cette chaîne : un gabarit de visage créé à six ans vaudra encore quelque chose à vingt.
L’avatar, lui, se jette en trois clics. Le gabarit qui a servi à le fabriquer, non : un visage ne se change pas comme un mot de passe compromis, et c’est la seule clé d’identification que vous porterez toute votre vie. Les services qui la collectent aujourd’hui, eux, n’ont aucune obligation d’exister encore dans cinq ans pour en répondre.
Questions frequentes
Une photo de visage est-elle une donnée biométrique au sens du RGPD ?
Pas automatiquement. Une photo devient une donnée biométrique lorsqu’un traitement technique spécifique en tire un gabarit permettant l’identification unique d’une personne, ce qui la fait relever de l’article 9 du RGPD et de son régime d’interdiction de principe.
Que devient la photo envoyée à un générateur d’avatar ?
Cela dépend du service et de sa politique de confidentialité. Quatre objets peuvent subsister : la photo originale, le vecteur d’identité extrait, les poids d’un éventuel modèle personnalisé et l’avatar produit, chacun avec sa propre durée de conservation.
Peut-on faire supprimer son visage d’un service d’avatar IA ?
Oui, l’article 17 du RGPD ouvre un droit à l’effacement auprès de tout responsable de traitement soumis au règlement. La demande doit viser explicitement la photo, le gabarit biométrique et les modèles entraînés, la suppression du compte ne couvrant pas toujours ces dérivés.
Faut-il l’accord d’une personne pour créer un avatar à partir de sa photo ?
Oui. En France, le droit à l’image impose l’accord de la personne représentée avant toute diffusion ou transformation de son portrait, et plusieurs éditeurs interdisent contractuellement la création de ressemblances non consenties.
Existe-t-il une façon de créer un avatar sans transmettre sa photo en ligne ?
Oui, en exécutant un modèle génératif ouvert localement sur sa propre machine avec un encodeur d’identité. L’image ne quitte alors jamais l’ordinateur, au prix d’une carte graphique adaptée et d’une installation initiale.
