Deepfakes : l'UE et la Chine légifèrent en ordre dispersé, un casse-tête de conformité pour les entreprises

Une analyse comparative publiée le 13 juillet 2026 par le cabinet DLA Piper dresse un constat net : face aux deepfakes, l'Espagne, l'Allemagne, l'Italie et la Chine avancent en ordre dispersé. Chaque pays construit sa propre réponse juridique, avec des définitions, des sanctions et des priorités différentes. Pour les entreprises qui opèrent à l'international, ce patchwork réglementaire n'est pas un détail théorique : il détermine directement leur exposition au risque.

Un patchwork réglementaire des deux côtés du globe

L'étude de DLA Piper identifie trois familles de risques associés aux deepfakes : l'usurpation d'identité, la diffusion de contenus intimes non consensuels, et la désinformation. Or chaque juridiction analysée traite ces risques avec des outils distincts. L'Espagne et l'Italie s'appuient largement sur leur droit pénal existant (atteinte à l'image, diffamation) complété par des textes sectoriels, tandis que l'Allemagne mobilise à la fois son droit de la personnalité et sa régulation des médias. La Chine, de son côté, a choisi une approche plus centralisée et prescriptive, avec des obligations de marquage et d'identification des contenus générés par IA imposées directement aux plateformes.

Cette divergence n'est pas propre aux deepfakes : elle reflète la manière dont chaque système juridique articule protection des données, droit pénal et régulation de l'IA. Mais elle crée un vrai défi pour les organisations qui traitent des données de personnes physiques dans plusieurs de ces pays, ou qui déploient des outils de détection ou de génération de contenus synthétiques à l'échelle internationale.

Pourquoi c'est important pour les DPO

En droit européen, un deepfake reste avant tout une donnée personnelle au sens du RGPD dès lors qu'il représente un visage ou une voix identifiable. C'est exactement le raisonnement qui a permis d'engager la responsabilité d'un établissement scolaire dans l'affaire des deepfakes sexuels de Mourmelon-le-Grand, où le RGPD s'est cumulé au droit à l'image et au droit pénal. Le même raisonnement s'applique aux usages professionnels : un deepfake utilisé pour contourner un dispositif de vérification d'identité, comme l'a démontré une étude Synacktiv sur le contournement des preuves de vie par IA générative, constitue à la fois un incident de sécurité et, potentiellement, un traitement illicite de données biométriques.

L'AI Act ajoute une couche supplémentaire. Le compromis final du Digital Omnibus AI Act a durci l'interdiction des deepfakes à caractère intime générés par IA, avec une application prévue au 2 décembre 2026. Les organisations qui développent, intègrent ou utilisent des outils de génération ou de détection de contenus synthétiques doivent donc composer avec trois strates de règles simultanées : RGPD, droit pénal national, et désormais AI Act.

Ce que ça change pour les organisations

Concrètement, cette fragmentation réglementaire impose trois réflexes aux équipes conformité. D'abord, cartographier les usages de contenus synthétiques dans l'organisation, qu'ils soient internes (formation, marketing) ou liés à des prestataires (vérification d'identité, modération de contenu). Ensuite, documenter le raisonnement juridique applicable pays par pays lorsque l'activité est internationale : un contenu licite en Chine sous obligation de marquage peut être un traitement de données à caractère personnel illicite en France s'il n'est pas consenti. Enfin, anticiper l'échéance du 2 décembre 2026 pour les interdictions AI Act sur les deepfakes intimes, qui viendra durcir un cadre déjà mouvant. Le guide Leto sur la sensibilisation des équipes à l'IA offre un point de départ concret pour structurer cette montée en compétence, tout comme la cartographie des autorités compétentes en France pour identifier le bon interlocuteur en cas de doute.

Ce que Leto pense de cette décision

Cette étude comparative confirme une tendance de fond : la régulation des deepfakes se construit en silos nationaux alors que la menace, elle, est parfaitement transfrontalière. Attendre une harmonisation internationale serait une erreur de calendrier. Les DPO et RSSI ont tout intérêt à traiter dès maintenant le deepfake comme un risque de traitement de données à part entière — au même titre qu'une fuite de données — plutôt que comme un sujet de communication ou de sécurité IT isolé. C'est cette approche transversale, et non l'attente d'un texte unique, qui protégera réellement les organisations.

Sources : DLA Piper Privacy Matters