Un selfie posté sur Instagram en 2019, une photo de groupe sur Facebook, un cliché professionnel sur un site d’entreprise. Toutes ces images alimentent des bases de données exploitables par des outils de reconnaissance faciale comme PimEyes. Ce moteur de recherche inversée par le visage permet à quiconque de retrouver des photos d’une personne à partir d’un simple portrait, en parcourant des millions de pages web indexées.
Le problème ne se limite pas à la curiosité. Des photos volées, détournées ou publiées sans consentement circulent sur des sites où elles n’ont rien à faire. Et le cadre juridique censé protéger les citoyens européens peine à s’appliquer face à un opérateur domicilié hors de l’Union européenne.
L’AI Act et le scraping de visages : une interdiction encore difficile à appliquer
Les articles consacrés à PimEyes mentionnent souvent le RGPD. Ils évoquent rarement une couche réglementaire plus récente, qui modifie pourtant la donne pour tous les services de reconnaissance faciale grand public.
Le règlement européen sur l’intelligence artificielle (AI Act), publié au Journal officiel le 12 juillet 2024 et entré en vigueur le 1er août 2024, interdit explicitement le scraping non ciblé d’images faciales depuis Internet pour construire des bases de données de reconnaissance faciale. Cette interdiction vise les usages classés à « risque inacceptable » et s’applique progressivement depuis février 2025.
Sur le papier, un service qui aspire massivement des photos de visages sur le web ouvert pour alimenter son moteur de recherche tombe directement sous le coup de cette interdiction. En pratique, l’application reste une autre affaire. PimEyes a déplacé sa domiciliation à Dubaï, hors de la juridiction directe des autorités européennes.
En novembre 2025, l’autorité de protection des données de Hambourg a conclu que les pratiques de PimEyes violaient le RGPD, sans parvenir à prendre de mesures coercitives efficaces. En avril 2026, l’ONG noyb a déposé plainte, non pas contre PimEyes, mais contre l’autorité elle-même pour inaction. Cette tension entre illégalité formelle et absence d’exécution concrète résume bien l’impasse actuelle.
Recherche inversée par le visage : ce que PimEyes trouve réellement sur les réseaux sociaux
PimEyes fonctionne par analyse biométrique. Vous uploadez un portrait, l’outil mesure les distances entre les traits du visage et compare cette empreinte à son index. Les résultats renvoient vers des pages web publiques où des photos correspondantes apparaissent.
La couverture est large : blogs, sites d’actualité, galeries en ligne, annuaires professionnels, forums. En revanche, PimEyes n’indexe pas directement les contenus protégés par les paramètres de confidentialité des réseaux sociaux. Si votre profil Facebook est verrouillé, vos photos n’apparaîtront pas via cet outil.
Le problème survient quand vos images quittent ces espaces protégés. Un ami qui partage votre photo sur un forum public, un site qui republie un cliché sans autorisation, un profil copié sur une plateforme tierce : une seule copie publique suffit à rendre votre visage traçable. Les résultats de PimEyes révèlent souvent des occurrences que la personne concernée ignorait totalement.
Demande de retrait de photos : procédures concrètes et limites
Plusieurs leviers existent pour faire supprimer des images non autorisées. Leur efficacité varie selon la nature du site hébergeur et la juridiction concernée.
- Le droit à l’effacement prévu par le RGPD (article 17) permet de demander la suppression de données personnelles, y compris des photos, à tout responsable de traitement établi dans l’UE ou ciblant des résidents européens. La demande se fait directement auprès du site qui héberge l’image.
- Le déréférencement auprès des moteurs de recherche (Google, Bing) permet de retirer un résultat des pages de recherche sans supprimer l’image à la source. Google propose un formulaire dédié pour les contenus portant atteinte à la vie privée.
- PimEyes lui-même propose une procédure d’opt-out. Le paradoxe : pour demander le retrait de votre visage de leur base, vous devez scanner votre propre visage via leur plateforme, ce qui implique de fournir vos données biométriques à l’opérateur dont vous contestez les pratiques.
Sur les réseaux sociaux, chaque plateforme dispose de son propre système de signalement pour les photos volées ou le vol d’identité. Instagram, Facebook et TikTok traitent ces signalements, mais les délais de réponse et les critères d’acceptation varient considérablement.
Ce que le retrait ne résout pas
Supprimer une photo d’un site ne garantit pas sa disparition de tous les index. Les caches, les archives web et les copies sur d’autres serveurs peuvent conserver le cliché. Une image retirée de PimEyes peut réapparaître si elle est republiée ailleurs. La surveillance reste donc un processus continu, pas une action ponctuelle.
Réduire son exposition avant que le problème ne survienne
Attendre qu’une photo soit détournée pour réagir place la personne en position de défense permanente. Quelques mesures préventives réduisent significativement la surface d’exposition.
- Vérifier les paramètres de confidentialité de chaque réseau social utilisé. Un profil « public » sur Facebook ou Instagram rend toutes les photos accessibles aux outils d’indexation.
- Effectuer régulièrement une recherche inversée de son propre visage, via PimEyes (dans la limite des recherches gratuites) ou via des outils alternatifs comme TinEye, pour identifier les occurrences non souhaitées.
- Limiter la publication de photos à haute résolution montrant clairement le visage sur des plateformes ouvertes. Les images de profil, en particulier, sont les premières captées par les systèmes de reconnaissance faciale.
- Demander systématiquement le retrait des photos publiées par des tiers sans consentement, même sur des sites qui paraissent anodins.
Ces précautions ne garantissent pas l’invisibilité. Elles compliquent le travail des outils de scraping et réduisent le nombre de points d’entrée exploitables par un tiers malveillant.
Reconnaissance faciale et vie privée en ligne : un rapport de force déséquilibré
Le cadre juridique européen dispose désormais de deux textes majeurs applicables aux outils comme PimEyes : le RGPD et l’AI Act. Les deux condamnent le principe du scraping massif de visages sans consentement. Les deux se heurtent au même obstacle pratique face à un opérateur qui a choisi de se placer hors de portée.
Les données disponibles ne permettent pas de conclure que cette situation évoluera rapidement. L’affaire noyb contre l’autorité de Hambourg illustre un paradoxe réglementaire : les lois existent, mais leur application dépend de la coopération d’acteurs qui n’ont aucun intérêt à coopérer.
Pour les particuliers, la reprise de contrôle passe moins par l’attente d’une résolution institutionnelle que par une gestion active de leur image en ligne. Recherche inversée régulière, paramétrage strict des réseaux sociaux, demandes de retrait systématiques : ces actions restent les outils les plus concrets face à un système de surveillance qui fonctionne, lui, sans interruption.
