Supprimer un deepfake : faire retirer un hypertrucage sexuel ou diffamatoire

01Ne prouvez pas que c'est faux

C'est le point pratique le plus mal compris. Les victimes passent des jours à chercher un rapport d'expertise, un score de détection, une comparaison de pixels. Aucune des routes de retrait décrites ci-dessous ne demande cela. Ce qu'elles demandent, c'est que vous soyez identifiable et que la diffusion ait eu lieu sans votre autorisation.

L'aide de Google le dit explicitement : la demande de suppression couvre les faux contenus, c'est-à-dire les contenus fabriqués, souvent avec des outils de retouche ou de l'intelligence artificielle, qui vous montrent nu ou dans une situation sexuelle. Trois conditions suffisent : vous êtes identifiable, le contenu est faux et vous représente nu ou dans une situation sexuellement explicite, et il a été diffusé sans votre autorisation.

Le droit français fonctionne dans le même sens. L'article 226-8-1 du code pénal ne réprime pas une image authentique : il réprime précisément la publication d'un montage présentant un caractère sexuel sans le consentement de la personne. Le caractère fabriqué du contenu est l'élément de l'infraction, pas un obstacle à franchir.

La question à laquelle vous devez répondre dans un signalement n'est donc pas technique. Elle est : est-ce bien moi, et ai-je consenti à cette diffusion ? Consacrez votre effort à l'identifiabilité et à la constitution du dossier, pas à la détection.

02Figer les preuves avant de signaler

Un signalement qui aboutit fait disparaître le contenu en quelques heures, et avec lui la trace de ce qui a été publié. On fige d'abord, on signale ensuite. Ne recadrez pas les captures par pudeur et ne republiez le contenu nulle part, même pour le montrer à un proche.

03Les textes français applicables

Quatre fondements se recoupent, et le bon réflexe est de les citer ensemble plutôt que d'en choisir un. Les trois premiers sont pénaux, le quatrième est civil et c'est celui qui ouvre le retrait en urgence.

L'article 226-8-1 a été introduit par l'article 21 de la loi n°2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique. L'article 15 de la même loi a étendu l'article 226-8 aux contenus produits par un traitement algorithmique. Ce sont les deux dispositions à viser pour un hypertrucage sexuel.

Pour un deepfake non sexuel mais diffamatoire ou humiliant, c'est l'article 226-8 qui s'applique, éventuellement avec le harcèlement en ligne. La CNIL rappelle par ailleurs que l'escroquerie et la provocation à la haine peuvent être retenues selon l'usage fait du montage.

04La notification à l'hébergeur

La route de retrait de droit commun en France passe par la notification à l'hébergeur, prévue par l'article 6 de la loi n°2004-575 du 21 juin 2004 dite LCEN. Vous n'avez aucune obligation de contacter d'abord l'auteur de la publication.

Service-Public.fr détaille les mentions que le signalement doit comporter. Une notification incomplète est une notification que l'hébergeur peut écarter, donc rédigez-la en reprenant la liste point par point.

1. Vos informations d'identité et vos coordonnées, nom, prénom et adresse électronique
2. La description du contenu que vous estimez illicite
3. Sa localisation précise, c'est-à-dire l'URL exacte, et non le nom du site
4. L'exposé détaillé des motifs pour lesquels le contenu est illicite, avec les textes visés
5. Les éléments permettant d'identifier l'auteur de la publication
6. Une déclaration de bonne foi, c'est-à-dire la confirmation que vous estimez réellement le contenu illicite
7. Les démarches éventuellement déjà faites auprès de l'auteur

L'hébergeur doit apprécier le caractère illicite. S'il est avéré, il doit alerter sans délai les autorités compétentes, par exemple le procureur de la République, puis retirer le contenu ou en bloquer l'accès. S'il ne le fait pas après avoir été notifié, sa responsabilité peut être engagée, et la victime qui prouve qu'il connaissait le caractère illicite du contenu peut demander des dommages et intérêts.

Pour un site indépendant, les coordonnées de l'hébergeur figurent en principe dans les mentions légales. Lorsqu'elles sont absentes, la recherche remonte au registraire du nom de domaine et au fournisseur d'infrastructure, qui sont eux aussi notifiables.

05Article 16 du DSA et rôle de l'Arcom

Depuis le règlement (UE) 2022/2065, dit DSA ou règlement sur les services numériques, la notification n'est plus une faveur. Son article 16 impose aux hébergeurs, plateformes comprises, de mettre en place des mécanismes de notification et d'action accessibles par voie électronique.

L'Arcom décrit la chaîne complète. L'article 20 oblige les plateformes en ligne à faire fonctionner un système interne de traitement des réclamations. L'article 21 les oblige à vous informer des possibilités de règlement extrajudiciaire des litiges et des cas où vous pouvez y recourir. Les organes français de règlement extrajudiciaire sont certifiés par l'Arcom et réexaminent les décisions de modération contestées.

La loi SREN a désigné l'Arcom coordinateur pour les services numériques en France, aux côtés de la CNIL et de la DGCCRF. À ce titre l'Arcom reçoit et traite les plaintes relatives au non-respect du DSA, centralise les injonctions des autorités judiciaires et administratives françaises, désigne les signaleurs de confiance dont les signalements sont traités en priorité, et siège au comité européen des services numériques.

Retenez la hiérarchie : l'Arcom ne retire pas un contenu à votre place. Elle sanctionne en dernier recours les manquements des acteurs qu'elle supervise. Le retrait, lui, s'obtient de l'hébergeur ou du juge.

06Routes de signalement par plateforme

Utilisez la route nommée pour les contenus intimes non autorisés plutôt que le signalement générique pour nudité. La route nommée est examinée au regard d'une politique qui n'exige pas que l'image soit authentique.

Déposez un signalement par élément, et non un signalement listant plusieurs liens. Conservez le numéro de référence que chaque route renvoie : c'est lui que vous citerez pour contester un refus ou pour traiter une réapparition comme une récidive.

07Désindexation dans Google Search

Retirer une page de l'index ne la supprime pas, mais c'est souvent ce qui arrête concrètement le dommage, parce que presque personne n'atteint le site hébergeur autrement qu'en cherchant votre nom.

Google décrit deux issues possibles pour une demande acceptée. La suppression totale signifie que le site n'apparaît plus dans la recherche Google. La suppression partielle signifie qu'il n'apparaît plus pour les requêtes contenant votre nom ou un élément permettant de vous identifier, mais peut encore ressortir sur d'autres recherches.

Pour les images à caractère sexuel, Google indique rechercher et supprimer les doublons par défaut, et vous laisse désactiver cette option dans le formulaire. Laissez-la active : c'est le seul traitement automatique des copies que la procédure vous offre.

Deux limites doivent être intégrées dès le départ. Seules les URL que vous indiquez sont examinées, donc la qualité de votre relevé détermine le résultat. Et si le sujet relève de l'intérêt général, par exemple l'actualité, Google peut décider de ne pas supprimer le contenu.

Désindexation et retrait chez l'hébergeur sont deux chantiers distincts. Menez les deux. Aucun ne remplace l'autre, et Google rappelle lui-même qu'il n'agit que sur ses résultats de recherche, le contenu restant présent sur le web.

08StopNCII : ce que l'empreinte couvre

StopNCII.org calcule une empreinte numérique du fichier sur votre propre appareil et ne transmet que cette empreinte. Le fichier d'origine ne quitte pas votre téléphone ou votre ordinateur et n'est pas conservé. Les plateformes partenaires comparent ensuite les mises en ligne à la banque d'empreintes.

Les deepfakes sont éligibles. La foire aux questions du service indique que la diffusion non consensuelle d'images intimes peut inclure des images manipulées et des hypertrucages, et qu'une image synthétique peut être traitée dès lors qu'elle vous représente, que vous y avez accès et qu'elle est nue ou partiellement nue.

Les limites sont structurelles et il faut organiser le dossier autour d'elles.

• L'empreinte reconnaît un fichier, pas un visage. Les standards utilisés sont PDQ et PhotoDNA pour les photos et MD5 pour les vidéos. Une copie identique est reconnue ; un hypertrucage nouvellement généré à partir de votre visage ne l'est pas.
• Une version retouchée échappe à la correspondance. Un recadrage, un filtre ou un extrait produisent une autre empreinte et doivent être déposés séparément. L'empreinte d'une vidéo ne couvre pas ses vignettes, qu'il faut capturer et traiter à part.
• La portée s'arrête aux partenaires. Le service le dit : il ne peut pas retirer des images de l'ensemble d'internet, seulement des plateformes participantes listées sur sa page de partenaires. Y figurent notamment Facebook, Instagram, Threads, TikTok, X, Reddit, Snap, Microsoft, OnlyFans et Pornhub. Les messageries chiffrées ne sont pas couvertes.
• Le délai n'est pas immédiat. L'empreinte est créée aussitôt, mais il faut compter trois à cinq jours pour voir l'état du dossier évoluer. Le service est réservé aux personnes majeures sur l'image.

Traitez l'empreinte comme un plancher posé sous le problème, pas comme le retrait lui-même. Si le contenu est déjà en ligne, signalez d'abord aux plateformes, puis déposez l'empreinte pour la suite.

09Marquage IA : ce que le droit impose

Le règlement (UE) 2024/1689 sur l'intelligence artificielle impose, à son article 50, à celui qui déploie un système d'IA produisant un hypertrucage de révéler et d'étiqueter le caractère artificiel du contenu. Ce n'est pas une voie de retrait, mais l'absence de mention est un fait utile dans une réclamation comme devant le juge.

Cette dernière échéance a été ajoutée par le règlement omnibus sur l'IA, entré en vigueur le 27 juillet 2026, qui a par ailleurs reporté des obligations relatives aux systèmes à haut risque sans toucher aux règles de transparence. C'est la première fois qu'un texte européen vise directement l'outil de génération plutôt que le seul diffuseur.

En pratique, deux usages de ces textes. D'une part, le défaut de marquage renforce un signalement au titre de la tromperie. D'autre part, lorsque l'image provient d'une application de dénudation identifiable, le service lui-même est désormais visé, et ses conditions d'accès comme son hébergement deviennent des cibles de notification à part entière.

10PHAROS, plainte pénale et référé

Le signalement PHAROS

La plateforme internet-signalement.gouv.fr, dite PHAROS, reçoit les signalements de contenus accessibles à tous les internautes, sur un réseau social, un blog ou un forum. Les agents ne collectent en principe que votre adresse IP, qui ne permet pas de vous identifier. Si le contenu est jugé illicite, il est transmis aux autorités compétentes, qui peuvent demander sa suppression à l'hébergeur.

Trois réserves. PHAROS ne traite pas les cas urgents, qui relèvent du 17, du 15 ou du 18. Il ne vaut pas pour les injures et les diffamations, ni pour les contenus reçus dans un cadre privé, qui doivent être portés directement à la police ou à la gendarmerie. Et il ne remplace pas une plainte : signaler n'est pas porter plainte.

La plainte

La plainte se dépose au commissariat ou à la gendarmerie, ou par courrier auprès du procureur de la République du tribunal judiciaire compétent. La présence d'un avocat n'est pas obligatoire. Vous pouvez vous constituer partie civile pour obtenir des dommages et intérêts si des poursuites sont engagées. En cas de classement sans suite, ou sans nouvelles depuis plus de trois mois, une plainte avec constitution de partie civile est possible.

Allez à la plainte, et pas seulement aux plateformes, dès que l'un de ces éléments est présent : la personne représentée est mineure ; on vous menace de publication ou on vous réclame de l'argent ou des images ; la diffusion s'inscrit dans une campagne par une personne identifiable ; il y a prise de contact avec votre employeur, votre école ou votre famille. Apportez le relevé constitué, pas les fichiers.

Le référé civil

Pour obtenir un retrait rapide, la voie est le référé devant le juge civil, sur le fondement de l'article 9 du code civil. La même procédure permet de demander des dommages et intérêts et le remboursement des frais d'avocat. C'est la seule route qui produit une décision exécutoire contre un hébergeur qui refuse de retirer.

11Réapparitions et suivi

Identifier l'auteur : la limite réelle

Les plateformes ne communiquent pas les données d'un abonné à un plaignant privé. Elles les communiquent aux autorités ou sur décision de justice. Ce que vous pouvez faire vous-même, c'est construire le dossier qui rend l'une ou l'autre possible : le pseudonyme, l'URL du compte et sa date de création, les horaires de publication, les tournures et les fautes récurrentes dans les légendes, les autres comptes qui diffusent le même fichier dans la même minute, enfin l'hébergeur et le registraire de tout site autonome. Sur un forum, notez le fil et le message le plus ancien : le premier diffuseur est en général le seul qu'il vaille la peine de poursuivre.

Empêcher les remises en ligne

Attendez-vous au même fichier et à de nouvelles variantes. Un cycle de surveillance qui fonctionne tient en quatre pièces : un jeu fixe de requêtes sur votre nom, vos pseudonymes et leurs fautes de frappe, exécuté à intervalles réguliers dans les moteurs et dans les plateformes elles-mêmes ; une recherche d'image inversée sur la photographie d'origine, qui fait souvent remonter les montages construits à partir d'elle ; les dossiers d'empreinte maintenus ouverts pour que les partenaires continuent de comparer ; et la trace de chaque numéro de référence, pour qu'une réapparition soit escaladée comme une récidive au lieu d'être rouverte comme une plainte neuve.

La reconnaissance de visage est la couche qui rattrape les montages partageant votre apparence sans partager votre empreinte de fichier. C'est la seule qui tienne à mesure que de nouvelles variantes sont générées.

SARAZIM LLC intervient sur ce versant : relevé des preuves, notifications aux hébergeurs et aux plateformes, désindexation, dossiers d'empreinte et surveillance continue des remises en ligne. Nous ne sommes pas un cabinet d'avocats et nous n'assurons aucune représentation en justice.