Deepfake non consenti : infractions, sanctions et recours juridiques en France (2026)

En France, créer ou diffuser un deepfake non consenti est punissable jusqu'à 2 ans d'emprisonnement et 60 000 € d'amende depuis la loi du 24 juillet 2023. Face à l'explosion des hyper-trucages générés par IA — une étude de Sensity AI estimait déjà en 2023 que 96 % des deepfakes en ligne avaient un contenu à caractère pornographique non consenti — le droit français s'est progressivement doté d'un arsenal juridique. Mais entre l'article 226-8-1 du Code pénal, la loi SREN, le Règlement européen sur l'IA (AI Act) entré en vigueur en août 2024, et le Digital Services Act (DSA), les victimes disposent aujourd'hui de recours multiples qu'il convient de maîtriser.

Cet article fait le point complet sur les infractions constituées, les régimes de responsabilité, les obligations des plateformes, et les démarches concrètes à suivre en 2026 pour obtenir réparation — que vous soyez un particulier, un artiste ou une personnalité publique.

Contexte juridique

Le deepfake désigne tout contenu audiovisuel synthétique généré par IA substituant ou manipulant l'apparence d'une personne réelle sans son consentement.

Un deepfake (contraction de deep learning et fake) est une technique de manipulation numérique avancée qui utilise des réseaux de neurones adversariaux (GAN) ou des modèles de diffusion pour substituer le visage, la voix ou les gestes d'une personne dans une vidéo, une image ou un enregistrement audio. Selon Proofpoint, ces contenus constituent une "forme élaborée de média synthétique" dont la détection est devenue un enjeu technologique majeur — des modèles comme VIMAL, présenté en mars 2022, ont atteint des performances de pointe sur les benchmarks FaceForensics++ et Celeb-DF.

Juridiquement, la France a intégré le deepfake dans plusieurs corpus législatifs successifs :

• Loi du 3 juillet 2018 (article 67 de la loi ELAN modifiant l'article 226-8 du Code pénal) : premier cadrage sur le montage de l'image d'une personne sans consentement.
• Loi du 24 juillet 2023 (loi SREN — Sécuriser et Réguler l'Espace Numérique) : création de l'article 226-8-1 du Code pénal spécifiquement dédié aux deepfakes, renforcement des peines et obligations nouvelles pour les plateformes.
• Digital Services Act (DSA), applicable depuis février 2024 aux très grandes plateformes en ligne (VLOP).
• AI Act européen, entré en vigueur en août 2024, dont plusieurs dispositions concernent les systèmes d'IA générant du contenu synthétique.

Analyse approfondie

L'article 226-8-1 du Code pénal sanctionne spécifiquement le deepfake non consenti avec des peines pouvant atteindre 5 ans et 75 000 € d'amende selon le contexte.

Le régime pénal : les infractions constituées

L'article 226-8-1 du Code pénal, issu de la loi SREN, punit le fait de publier, sans le consentement de la personne, un contenu audiovisuel généré par traitement algorithmique ou IA représentant son image ou ses paroles. Les peines de base sont 2 ans d'emprisonnement et 60 000 € d'amende.

Des circonstances aggravantes font monter les sanctions :

• Deepfake à caractère sexuel : jusqu'à 5 ans d'emprisonnement et 75 000 € d'amende (aggravation prévue par renvoi à l'article 226-2-1 du Code pénal, relatif à la captation ou diffusion d'images sexuelles sans consentement).
• Deepfake ciblant un mineur : peines portées à 7 ans et 100 000 €, avec possible assimilation à la production de contenus pédopornographiques (article 227-23 du Code pénal).
• Deepfake électoral : l'article L97 du Code électoral, complété par la loi SREN, punit spécifiquement les manipulations visant à influencer un scrutin, avec des peines d'1 an d'emprisonnement et 15 000 € d'amende.

D'autres qualifications pénales peuvent concurrir :

Le régime civil : la responsabilité des auteurs et des plateformes

Sur le plan civil, la victime peut agir sur plusieurs fondements :

• Droit à l'image (article 9 du Code civil) : toute personne dispose d'un droit exclusif sur son image. La reproduction non autorisée ouvre droit à réparation sans nécessité de prouver un préjudice moral spécifique (Cour de cassation, 1re civ., 20 février 2001, n° 98-23471).
• Atteinte à la vie privée (article 9 du Code civil) : les deepfakes intimes constituent une atteinte caractérisée, permettant des dommages-intérêts significatifs.
• Responsabilité délictuelle de droit commun (article 1240 du Code civil) : faute, dommage, lien de causalité.

Les obligations des plateformes sous le DSA et la loi SREN

Depuis l'entrée en pleine application du Digital Services Act, les très grandes plateformes (VLOP) — dépassant 45 millions d'utilisateurs mensuels dans l'UE — sont soumises à des obligations renforcées :

• Retrait "dans les meilleurs délais" des contenus illicites signalés, sous peine de sanctions pouvant atteindre 6 % du chiffre d'affaires mondial annuel.
• Mécanismes de signalement accessibles et traitement prioritaire pour les deepfakes à caractère sexuel ou électoral.
• Transparence algorithmique sur les systèmes de recommandation diffusant ces contenus.

La loi SREN a également institué l'obligation pour les plateformes de mettre en place un filtre de détection des deepfakes pour les contenus à caractère sexuel, sous le contrôle de l'ARCOM (Autorité de régulation de la communication audiovisuelle et numérique).

L'AI Act impose quant à lui, depuis août 2024, que tout contenu généré par IA soit marqué comme tel (obligation de watermarking ou de métadonnées) pour les systèmes d'IA à usage général (GPAI). Le non-respect expose l'éditeur du système à des amendes allant jusqu'à 15 millions d'euros ou 3 % du CA mondial.

Implications pratiques

Victimes, artistes et entreprises disposent en 2026 de voies de recours concrètes, mais leur efficacité dépend de la rapidité d'action et de la localisation des auteurs.

Du côté des victimes — particuliers et personnalités publiques

Pour un particulier victime de deepfake pornographique non consenti :

1. Conserver les preuves (captures d'écran horodatées, constats d'huissier numérique — aujourd'hui facilités par le service officiel de l'INPI ou des huissiers spécialisés).
2. Signaler immédiatement sur la plateforme concernée via le mécanisme DSA, en précisant la nature du contenu et en se prévalant de l'article 226-8-1.
3. Porter plainte auprès du Parquet ou via la brigade PHAROS (plateforme d'harmonisation, d'analyse, de recoupement et d'orientation des signalements), qui dispose depuis 2024 d'une unité spécialisée deepfakes.
4. Saisir l'ARCOM pour demander un retrait d'urgence en cas d'inaction de la plateforme (délai de traitement : 24 à 72 heures pour les contenus sexuels).

Pour les artistes et personnalités publiques :

La protection est identique en droit pénal, mais le régime civil présente une nuance : les personnes publiques ont un droit à l'image réduit pour leurs activités publiques. Toutefois, un deepfake les représentant dans une situation privée, sexuelle ou dégradante reste pleinement sanctionnable. Des artistes comme Taylor Swift aux États-Unis ont démontré l'impact médiatique des recours ; en France, plusieurs procédures ont été engagées depuis 2025 contre des créateurs de deepfakes de personnalités télévisuelles, même si les jugements définitifs restent encore rares en 2026.

Du côté des entreprises et des créateurs légitimes de contenu IA

Il existe des usages légitimes du deepfake — doublage cinématographique, restauration patrimoniale, jeux vidéo, accessibilité — encadrés par :

• Le consentement explicite et éclairé de la personne dont l'image est utilisée (contrat de cession de droits à l'image).
• L'obligation de watermarking imposée par l'AI Act.
• Pour les œuvres audiovisuelles : mention obligatoire "Contenu généré ou modifié par IA" dans les génériques ou métadonnées.

Perspective critique : les limites du dispositif actuel

Si le cadre juridique français est l'un des plus avancés d'Europe, plusieurs lacunes subsistent :

• L'anonymat des auteurs : la grande majorité des deepfakes malveillants sont créés via des services étrangers ou le dark web, rendant l'identification complexe.
• La vitesse de diffusion : selon une étude de la fondation Reset (2025), un deepfake viral peut être vu par plusieurs millions de personnes en moins de 6 heures, avant tout retrait.
• L'asymétrie des moyens : les victimes, surtout les particuliers, font face à des coûts de procédure élevés face à des auteurs souvent insolvables ou introuvables.

Points clés à retenir

• L'article 226-8-1 du Code pénal, créé par la loi SREN de juillet 2023, punit spécifiquement le deepfake non consenti de 2 ans d'emprisonnement et 60 000 € d'amende.
• Les deepfakes à caractère sexuel sont passibles de 5 ans d'emprisonnement et 75 000 € d'amende, avec des peines encore plus lourdes si la victime est mineure.
• Les plateformes VLOP sont soumises au DSA et doivent retirer les deepfakes illicites rapidement, sous peine de sanctions atteignant 6 % de leur CA mondial.
• L'AI Act, entré en vigueur en août 2024, oblige les créateurs de contenu IA à apposer un marquage technique ("watermark") sur tout deepfake, y compris à usage commercial légitime.
• L'ARCOM est l'autorité compétente pour ordonner le retrait d'urgence de deepfakes sur les plateformes en France, avec un délai de 24 à 72 heures pour les contenus à caractère sexuel.
• Le droit à l'image (article 9 du Code civil) permet une action civile autonome en complément de la voie pénale, sans nécessité de prouver un préjudice moral distinct.
• La conservation des preuves (constats d'huissier numérique, captures horodatées) est une étape cruciale, car les contenus deepfake sont souvent supprimés rapidement après signalement.

Questions fréquentes

Qu'est-ce qu'un deepfake en droit français et à partir de quand est-il illégal ?

Un deepfake est illégal en France dès lors qu'il représente l'image ou les paroles d'une personne réelle sans son consentement, quel que soit le contenu. L'article 226-8-1 du Code pénal, issu de la loi SREN du 24 juillet 2023, constitue la base légale principale. Il n'est pas nécessaire que le contenu soit à caractère sexuel pour que l'infraction soit constituée.

Quelle est la peine maximale pour avoir créé un deepfake en France ?

La peine maximale est de 7 ans d'emprisonnement et 100 000 € d'amende lorsque la victime est mineure et que le contenu est à caractère sexuel. Pour un deepfake sexuel impliquant un adulte, la peine atteint 5 ans et 75 000 €. Pour un deepfake non sexuel, le maximum est de 2 ans et 60 000 €.

Comment signaler un deepfake et obtenir son retrait rapidement ?

La procédure la plus efficace en 2026 est de signaler simultanément sur la plateforme hébergeant le contenu (via le mécanisme DSA), auprès de la plateforme PHAROS (signal.spam ou internet-signalement.gouv.fr), et de saisir l'ARCOM pour les contenus sexuels. L'ARCOM peut ordonner un retrait sous 24 à 72 heures pour les contenus les plus graves.

Les personnalités publiques ont-elles les mêmes droits que les particuliers contre les deepfakes ?

Oui, la protection pénale de l'article 226-8-1 est identique pour tous. En matière civile, les personnes publiques ont un droit à l'image légèrement réduit pour leurs activités publiques, mais tout deepfake les représentant dans une situation privée, sexuelle ou dégradante reste pleinement actionnable sur le fondement de l'article 9 du Code civil et de l'article 1240.

Un deepfake est-il légal s'il est clairement présenté comme une parodie ou une satire ?

La parodie bénéficie d'une exception légale en droit de la propriété intellectuelle (article L122-5 du Code de la propriété intellectuelle), mais cette exception ne couvre pas les atteintes à la vie privée ou à la dignité de la personne. Un deepfake "parodique" reste illicite s'il porte atteinte à la réputation, à l'image ou à la vie privée de son sujet de façon disproportionnée — l'appréciation est laissée au juge au cas par cas.

Les plateformes comme Instagram, TikTok ou X sont-elles responsables des deepfakes hébergés ?

Les plateformes bénéficient d'un régime de responsabilité limitée en tant qu'hébergeurs (article 6 de la LCEN, transposant la directive e-Commerce, désormais aligné sur le DSA). Elles ne sont responsables que si elles n'agissent pas promptement après notification d'un contenu illicite. Depuis le DSA, les VLOP sont soumises à des obligations proactives renforcées, et leur inaction peut être sanctionnée par la Commission européenne.

Peut-on poursuivre le créateur d'un deepfake si on ne connaît pas son identité ?

Oui, il est possible de déposer plainte contre X (auteur inconnu), ce qui déclenche une enquête de police permettant d'identifier l'auteur via les adresses IP, les comptes utilisés ou les métadonnées des fichiers. La coopération internationale (Europol, Interpol) est parfois nécessaire pour des auteurs situés à l'étranger. Les résultats sont variables selon la sophistication technique de l'auteur.

Qu'impose l'AI Act aux entreprises qui créent des outils de génération de deepfakes ?

L'AI Act, applicable depuis août 2024, impose aux fournisseurs de systèmes d'IA générant du contenu synthétique (images, vidéos, audio) d'intégrer un marquage technique permettant de détecter l'origine artificielle du contenu (watermarking). Ils doivent également informer clairement les utilisateurs que le contenu est généré par IA. Le non-respect expose l'entreprise à des amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel.