2 août 2026.
Présentation générale
La reconnaissance faciale est une technique biométrique permettant de reconnaître automatiquement une personne à partir des caractéristiques de son visage. Un système extrait de l’image un ensemble de mesures — appelé gabarit facial — puis le compare à un ou plusieurs gabarits de référence.
Elle peut être utilisée pour :
- déverrouiller un appareil ;
- authentifier l’accès à un service ;
- vérifier l’identité d’un voyageur ;
- rechercher une personne dans une base de photographies ;
- identifier une personne dans une vidéo ;
- retrouver un suspect dans des images de vidéosurveillance ;
- contrôler l’accès à un bâtiment ;
- suivre les déplacements d’une personne.
La reconnaissance faciale doit être distinguée de la simple détection d’un visage. Une caméra peut détecter la présence d’une personne, compter des individus ou repérer un mouvement sans chercher à identifier qui ils sont. La CNIL distingue ainsi la reconnaissance faciale des caméras dites « augmentées », qui analysent automatiquement des images sans nécessairement produire une identification biométrique.
Cette distinction est juridiquement fondamentale. L’identification biométrique repose sur une caractéristique physique relativement stable, difficilement modifiable et susceptible d’être utilisée à l’insu de la personne. Une compromission d’un mot de passe peut être corrigée en le remplaçant ; la personne ne peut pas changer durablement son visage.
La reconnaissance faciale se situe au croisement de plusieurs branches du droit :
- protection de la vie privée ;
- protection des données personnelles ;
- droit de la sécurité et du renseignement ;
- procédure pénale ;
- libertés publiques ;
- non-discrimination ;
- droit du travail ;
- droit de la consommation ;
- réglementation européenne de l’intelligence artificielle.
L’entrée en vigueur progressive du règlement européen sur l’intelligence artificielle, ou AI Act, a ajouté un régime spécifique à certaines formes d’identification et de catégorisation biométriques. Le texte n’interdit toutefois pas toute reconnaissance faciale. Il distingue selon la finalité, le contexte, la personne qui utilise le système et le caractère instantané ou différé de l’identification.
Points essentiels
- La reconnaissance faciale est une forme de traitement biométrique.
- L’authentification vérifie qu’une personne est bien celle qu’elle prétend être.
- L’identification recherche l’identité d’une personne parmi plusieurs individus ou dans une base.
- La simple détection d’un visage n’est pas nécessairement une reconnaissance faciale.
- Les données biométriques utilisées pour identifier une personne de manière unique sont des données sensibles.
- Leur traitement est en principe interdit par le RGPD, sauf exception applicable.
- La reconnaissance faciale à distance dans l’espace public présente un risque particulièrement élevé pour les libertés.
- Certaines pratiques biométriques sont interdites par l’AI Act.
- D’autres sont soumises au régime des systèmes d’IA à haut risque.
- L’utilisation policière en temps réel dans les espaces accessibles au public est en principe interdite, sous réserve d’exceptions strictes.
- Une décision défavorable ne peut pas reposer uniquement sur la sortie d’un système biométrique utilisé dans ce cadre.
- Les erreurs de reconnaissance peuvent conduire à des contrôles, arrestations ou poursuites visant des personnes innocentes.
- Les performances globales d’un système peuvent masquer des taux d’erreur plus élevés pour certains groupes.
- Le consentement ne constitue pas toujours une base valable, notamment lorsqu’il n’est pas libre ou qu’aucune alternative réelle n’existe.
- Une analyse d’impact est généralement nécessaire pour les traitements biométriques présentant un risque élevé.
- La proportionnalité suppose d’examiner si un moyen moins intrusif permet d’atteindre le même objectif.
1. Fonctionnement technique
1.1. Détection du visage
Le système localise d’abord un visage dans une image ou une séquence vidéo.
Cette étape peut fonctionner sans identifier la personne. Elle peut servir à :
- compter les visages ;
- ajuster automatiquement une caméra ;
- flouter des personnes ;
- détecter une présence ;
- analyser la fréquentation d’un lieu.
1.2. Création du gabarit facial
Le système extrait ensuite des caractéristiques du visage :
- distances entre certains points ;
- contour ;
- proportions ;
- relations géométriques ;
- représentations numériques produites par un réseau neuronal.
Ces caractéristiques sont transformées en un gabarit numérique. La CNIL qualifie ce gabarit de donnée biométrique lorsqu’il sert à identifier ou à authentifier une personne.
1.3. Comparaison
Le gabarit est comparé à une référence.
Deux configurations doivent être distinguées.
Vérification « un contre un »
Le système compare le visage présenté au gabarit associé à l’identité revendiquée.
Exemples :
- déverrouillage d’un téléphone ;
- passage automatisé à une frontière ;
- accès à un compte ;
- contrôle d’un titre d’identité.
Identification « un contre plusieurs »
Le système compare le visage à une base comprenant de nombreuses personnes afin de déterminer une identité possible.
Exemples :
- recherche d’un suspect ;
- identification dans une foule ;
- rapprochement avec une base policière ;
- recherche d’une personne disparue.
L’identification « un contre plusieurs » est généralement plus intrusive, car toutes les personnes captées deviennent potentiellement l’objet d’une comparaison.
1.4. Score de similarité
La reconnaissance faciale ne produit pas nécessairement une certitude. Elle établit généralement un score de similarité.
L’opérateur ou le système applique un seuil :
- au-dessus du seuil, la comparaison est considérée comme positive ;
- en dessous, elle est écartée.
Un seuil plus permissif augmente le risque de faux positifs. Un seuil plus strict augmente le risque de faux négatifs.
2. Authentification, identification et catégorisation
2.1. Authentification
L’authentification vise à confirmer l’identité d’une personne qui accomplit volontairement une démarche.
Elle peut être moins intrusive lorsque :
- le gabarit reste stocké sur l’appareil ;
- l’utilisateur conserve le contrôle ;
- aucune base centrale n’est constituée ;
- une solution non biométrique est disponible.
La CNIL considère que le stockage du gabarit sous le contrôle exclusif de l’utilisateur réduit les risques de détournement ou de compromission.
2.2. Identification à distance
L’identification biométrique à distance permet d’identifier une personne sans proximité physique ni participation active.
Elle peut intervenir :
- en direct ;
- avec un léger décalage ;
- après l’événement, à partir d’images enregistrées.
L’AI Act distingue l’identification à distance en temps réel et l’identification a posteriori. Le léger décalage utilisé pour éviter une identification strictement instantanée reste compris dans la notion de temps réel.
2.3. Catégorisation biométrique
La catégorisation biométrique ne cherche pas nécessairement à donner un nom à la personne. Elle classe les individus à partir de caractéristiques biométriques.
Elle peut prétendre déterminer :
- l’âge ;
- le sexe ;
- l’origine ;
- certaines caractéristiques physiques ;
- des émotions supposées ;
- des traits de personnalité.
Ces pratiques présentent des risques d’erreur, de discrimination et d’assignation identitaire.
L’AI Act interdit certains systèmes de catégorisation biométrique destinés à déduire ou inférer des caractéristiques sensibles, notamment les opinions politiques, les convictions religieuses, l’orientation sexuelle ou l’origine raciale ou ethnique, sous réserve des limites et exceptions prévues par le texte.
3. Données biométriques et RGPD
3.1. Données personnelles sensibles
Le RGPD définit les données biométriques comme des données résultant d’un traitement technique spécifique relatif aux caractéristiques physiques, physiologiques ou comportementales d’une personne et permettant ou confirmant son identification unique.
Les données biométriques traitées pour identifier une personne de manière unique appartiennent aux catégories particulières de données visées à l’article 9 du RGPD.
Leur traitement est en principe interdit, sauf si l’une des exceptions prévues par le règlement est applicable.
3.2. Les principales exceptions
Selon le contexte, le traitement peut notamment reposer sur :
- le consentement explicite ;
- une obligation ou un droit spécifique en matière de travail et de protection sociale ;
- la sauvegarde des intérêts vitaux ;
- un motif d’intérêt public important prévu par le droit ;
- certaines finalités médicales ;
- la constatation, l’exercice ou la défense de droits en justice.
La base juridique de l’article 6 du RGPD doit également être identifiée. L’exception à l’interdiction des données sensibles ne dispense pas de déterminer la licéité générale du traitement.
3.3. Consentement explicite
Le consentement doit être :
- libre ;
- spécifique ;
- éclairé ;
- univoque ;
- explicite pour les données biométriques.
Il est fragile lorsque le refus entraîne une conséquence importante ou lorsqu’aucune alternative raisonnable n’est proposée.
Dans l’affaire relative à l’application française ALICEM, le Conseil d’État a examiné un système d’identité numérique utilisant une reconnaissance faciale statique et dynamique. Le dispositif prévoyait une information sur la reconnaissance faciale, le recueil du consentement et l’effacement des données collectées une fois les opérations de reconnaissance terminées.
3.4. Minimisation et stockage
Le responsable du traitement doit limiter :
- les images collectées ;
- la durée de conservation ;
- la taille de la base ;
- le nombre de personnes comparées ;
- les utilisateurs autorisés ;
- les finalités.
La conservation centralisée de gabarits biométriques augmente les risques de fuite, d’usage secondaire et d’interconnexion.
4. AI Act et reconnaissance biométrique
4.1. Pratiques interdites
Depuis le 2 février 2025, les interdictions prévues à l’article 5 de l’AI Act sont applicables.
Le règlement interdit notamment, sous réserve de ses formulations et exceptions précises :
- certaines catégorisations biométriques fondées sur des caractéristiques sensibles ;
- la constitution ou l’enrichissement de bases de reconnaissance faciale par aspiration non ciblée d’images sur internet ou de vidéosurveillance ;
- certains usages de reconnaissance des émotions dans les lieux de travail et les établissements d’enseignement ;
- en principe, l’identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives.
Cette dernière interdiction comporte des exceptions étroites.
4.2. Exceptions répressives en temps réel
L’utilisation en temps réel peut notamment être envisagée, sous conditions, pour :
- rechercher certaines victimes, notamment des personnes disparues ;
- prévenir une menace spécifique, substantielle et imminente contre la vie ou la sécurité physique, ou une menace terroriste ;
- localiser ou identifier une personne soupçonnée de certaines infractions graves.
L’utilisation doit être nécessaire et proportionnée, limitée dans le temps, l’espace et les personnes visées, et autorisée par une autorité judiciaire ou administrative indépendante dont la décision est contraignante, sauf situation d’urgence encadrée. Chaque utilisation doit également être notifiée aux autorités compétentes.
Un État membre doit adopter une base juridique nationale s’il souhaite autoriser ces usages dans les limites du règlement. L’AI Act ne constitue pas, à lui seul, une autorisation générale donnée aux forces de l’ordre.
4.3. Identification a posteriori
Les systèmes d’identification biométrique à distance a posteriori sont soumis à des garanties renforcées. Ils ne doivent pas servir à une surveillance aveugle ou indifférenciée.
Leur utilisation répressive doit demeurer liée à une enquête déterminée et respecter le droit applicable aux traitements policiers, notamment la directive (UE) 2016/680 et sa transposition nationale.
4.4. Systèmes à haut risque
Les systèmes d’identification biométrique à distance qui ne sont pas interdits relèvent en principe du régime des systèmes à haut risque, à l’exception notamment de certains systèmes de vérification biométrique ayant pour seule finalité de confirmer qu’une personne est celle qu’elle prétend être.
Les obligations de haut risque comprennent notamment :
- gestion des risques ;
- qualité et gouvernance des données ;
- documentation technique ;
- journalisation ;
- transparence pour le déployeur ;
- supervision humaine ;
- robustesse ;
- exactitude ;
- cybersécurité.
5. Police, justice et sécurité
5.1. Un usage particulièrement intrusif
La reconnaissance faciale peut permettre aux autorités de :
- identifier une personne inconnue ;
- retrouver ses déplacements ;
- rapprocher des images provenant de plusieurs lieux ;
- identifier des participants à une manifestation ;
- exploiter des images publiées sur les réseaux sociaux ;
- rechercher rétrospectivement une personne dans des vidéos.
Le Comité européen de la protection des données souligne que ces technologies doivent être soumises à une stricte analyse de nécessité et de proportionnalité dans le domaine répressif.
5.2. Affaire Glukhin c. Russie
Dans l’arrêt Glukhin c. Russie du 4 juillet 2023, la Cour européenne des droits de l’homme a examiné l’utilisation de la reconnaissance faciale pour identifier, localiser et arrêter un homme ayant participé à une manifestation pacifique dans le métro de Moscou.
La Cour a conclu à une violation des articles 8 et 10 de la Convention. Elle a jugé que le traitement biométrique particulièrement intrusif ne répondait pas, dans les circonstances de l’affaire, à un besoin social impérieux et n’était pas nécessaire dans une société démocratique.
Cette décision met en évidence l’effet dissuasif que peut produire la reconnaissance faciale sur :
- la liberté de manifestation ;
- la liberté d’expression ;
- la fréquentation de certains lieux ;
- l’exercice collectif des libertés.
5.3. Faux positifs et arrestations injustifiées
La base Dabo Tibi Ius recense le cas d’une femme américaine incarcérée pendant plusieurs mois après avoir été identifiée à tort par un logiciel de reconnaissance faciale utilisé par la police. Cette affaire illustre le risque de transformer une correspondance algorithmique en preuve suffisante sans vérification indépendante.
Une correspondance faciale devrait être traitée comme un indice à confirmer, et non comme une identification certaine.
6. Reconnaissance faciale dans les espaces publics
6.1. Surveillance généralisée
Le déploiement de reconnaissance faciale sur un réseau de caméras peut permettre de suivre une population entière plutôt que des personnes déterminées.
Les risques concernent :
- la vie privée ;
- la liberté d’aller et venir ;
- la liberté de réunion ;
- la liberté d’expression ;
- le droit de manifester ;
- la non-discrimination ;
- la présomption d’innocence.
Le simple fait de se trouver dans l’espace public ne signifie pas que toute identification automatisée soit licite.
6.2. Caméras augmentées
Une caméra augmentée peut notamment détecter :
- un objet abandonné ;
- un mouvement de foule ;
- un franchissement de ligne ;
- une personne correspondant à certains attributs visibles ;
- un véhicule ;
- une durée de présence.
Ces usages ne constituent pas nécessairement de la reconnaissance faciale. La CNIL a toutefois mis en demeure plusieurs autorités françaises au sujet de logiciels d’analyse vidéo utilisés sans cadre juridique suffisant, même lorsque ces logiciels ne réalisaient pas de reconnaissance faciale.
6.3. Jeux olympiques et paralympiques de 2024
L’expérimentation française de vidéosurveillance algorithmique liée aux Jeux de 2024 excluait la reconnaissance faciale et les données biométriques. Les systèmes ne pouvaient pas identifier une personne ni fonder seuls une décision individuelle ou un acte de poursuite.
Cette distinction démontre qu’une analyse automatisée d’images ne doit pas être automatiquement qualifiée de reconnaissance faciale.
7. Usages privés
7.1. Contrôle d’accès
Une entreprise peut souhaiter utiliser la reconnaissance faciale pour contrôler l’accès à :
- des locaux ;
- des zones sensibles ;
- des équipements ;
- des applications.
Le recours à la biométrie doit être justifié par un besoin particulier de sécurité. Une solution moins intrusive, comme un badge, doit être privilégiée lorsqu’elle permet d’atteindre l’objectif.
La CNIL a adopté un règlement type relatif au contrôle d’accès biométrique sur les lieux de travail. Elle rappelle que les données biométriques sont uniques, permanentes et difficilement remplaçables en cas de compromission.
7.2. Établissements scolaires
En 2019, la CNIL s’est opposée à une expérimentation de reconnaissance faciale à l’entrée de deux lycées. Elle a estimé que les objectifs de sécurisation et de fluidification pouvaient être atteints par des moyens moins intrusifs, tels qu’un badge.
La vulnérabilité des mineurs et le caractère contraint de la relation scolaire rendent particulièrement délicat le recours au consentement.
7.3. Stades et manifestations
La CNIL a adressé un avertissement à un club ayant envisagé un système de reconnaissance faciale destiné à identifier des personnes faisant l’objet d’une interdiction commerciale de stade. L’autorité a souligné l’absence de base juridique suffisante pour un tel dispositif.
7.4. Aéroports
Les dispositifs aéroportuaires peuvent être conçus comme une authentification volontaire permettant de comparer le visage du voyageur à son document.
Le Comité européen de la protection des données recommande notamment :
- une conservation limitée ;
- une architecture protectrice dès la conception ;
- un stockage sous le contrôle du voyageur lorsque cela est possible ;
- une solution alternative effective.
8. Biais et discriminations
8.1. Performances variables
Un taux de précision global peut masquer des différences entre groupes.
Les écarts peuvent résulter :
- d’un corpus insuffisamment représentatif ;
- de conditions d’éclairage ;
- de la qualité des images ;
- de l’âge ;
- de caractéristiques physiques ;
- de la caméra ;
- du seuil de décision ;
- du contexte de déploiement.
8.2. Conséquences juridiques
Une performance inégale peut entraîner :
- davantage de contrôles pour certains groupes ;
- des refus d’accès ;
- des arrestations erronées ;
- une surveillance disproportionnée ;
- une discrimination directe ou indirecte.
L’intention discriminatoire n’est pas toujours nécessaire : une pratique apparemment neutre peut être illicite si elle désavantage particulièrement un groupe sans justification proportionnée.
8.3. Tests par sous-groupes
L’évaluation ne devrait pas se limiter à un score moyen. Elle doit examiner :
- les faux positifs ;
- les faux négatifs ;
- les performances selon les populations ;
- les conditions réelles d’utilisation ;
- la qualité des images ;
- les effets du seuil retenu.
La fiche Dabo Tibi Ius consacrée aux discriminations algorithmiques souligne que les biais peuvent provenir des données, des choix de conception et des conditions de déploiement.
9. Conditions de licéité
Un projet de reconnaissance faciale doit notamment répondre aux questions suivantes.
Finalité
L’objectif est-il précisément défini ?
Une finalité générale de « sécurité » ne suffit pas nécessairement.
Base juridique
Le traitement repose-t-il sur :
- un consentement explicite valide ;
- une obligation légale ;
- un motif d’intérêt public important ;
- une autre exception prévue par le droit ?
Nécessité
La reconnaissance faciale est-elle réellement nécessaire ?
Proportionnalité
Existe-t-il une solution moins intrusive :
- badge ;
- code ;
- contrôle humain ;
- document d’identité ;
- authentification locale ;
- vidéosurveillance sans identification ?
Conservation
Les images et gabarits sont-ils supprimés dès qu’ils ne sont plus nécessaires ?
Sécurité
Le système protège-t-il les gabarits contre :
- le vol ;
- la copie ;
- l’interconnexion ;
- la reconstitution ;
- l’usage secondaire ?
Information
Les personnes savent-elles :
- qu’une reconnaissance est réalisée ;
- dans quel but ;
- par qui ;
- pendant combien de temps ;
- avec quels droits ?
Recours
Une personne peut-elle contester une correspondance et obtenir une vérification humaine ?
10. Analyse d’impact et évaluation des droits fondamentaux
10.1. AIPD
Une analyse d’impact relative à la protection des données est généralement requise lorsqu’un traitement biométrique est susceptible d’engendrer un risque élevé.
Elle doit examiner :
- la nécessité ;
- la proportionnalité ;
- les risques de réidentification ;
- les faux positifs ;
- les discriminations ;
- la sécurité ;
- les possibilités de détournement ;
- les mesures correctrices.
10.2. AI Act
Pour certains systèmes à haut risque, l’AI Act impose également une gestion des risques, une gouvernance des données et une supervision humaine.
Les organismes publics et certaines entités fournissant des services publics peuvent devoir réaliser une évaluation d’impact sur les droits fondamentaux avant de déployer certains systèmes à haut risque.
L’AIPD du RGPD et l’évaluation de l’AI Act peuvent être coordonnées, mais elles ne sont pas identiques.
Jurisprudence et décisions de référence
CEDH, Glukhin c. Russie, 4 juillet 2023
Violation des articles 8 et 10 en raison de l’usage de la reconnaissance faciale pour identifier et arrêter le participant à une manifestation pacifique.
Conseil d’État, 4 novembre 2020, n° 432656, ALICEM
Le Conseil d’État a examiné la légalité d’un dispositif d’identité numérique utilisant la reconnaissance faciale, avec information, consentement et effacement des données à l’issue de la vérification.
Conseil d’État, 24 décembre 2021, n° 447515
Le Conseil d’État a rappelé l’encadrement des données biométriques dans les traitements de police et distingué l’enregistrement d’une photographie de la création et de l’utilisation d’un gabarit destiné à une reconnaissance faciale.
CNIL, lycées de la région Sud, 2019
La CNIL a considéré qu’une reconnaissance faciale à l’entrée des établissements était disproportionnée au regard de solutions moins intrusives.
CNIL, club de football, 2021
Avertissement concernant un projet de reconnaissance faciale destiné à identifier des personnes interdites commercialement de stade.
Acteurs
CNIL
Elle contrôle les traitements biométriques relevant du RGPD et de la loi Informatique et Libertés.
Forces de sécurité
Elles peuvent utiliser des technologies biométriques uniquement dans les conditions strictes du droit applicable aux traitements répressifs et de l’AI Act.
Fournisseurs
Ils conçoivent les modèles, fixent les performances revendiquées et doivent documenter les limites et les conditions d’utilisation.
Déployeurs
Entreprises, aéroports, établissements scolaires, clubs ou administrations doivent vérifier que l’usage concret est licite, nécessaire et proportionné.
Autorités judiciaires
Elles contrôlent les autorisations, les preuves et les atteintes aux libertés.
Comité européen de la protection des données
Il publie des lignes directrices relatives aux usages biométriques et à la reconnaissance faciale par les autorités répressives.
Débats actuels
Faut-il interdire toute reconnaissance faciale dans l’espace public ?
Les partisans d’une interdiction générale invoquent le risque de surveillance de masse et l’effet dissuasif sur les libertés. D’autres défendent des usages exceptionnels limités à la recherche de personnes ou à la prévention de menaces graves.
L’autorisation humaine suffit-elle ?
Non. Un agent peut être influencé par le résultat algorithmique. La supervision doit permettre une vérification indépendante et non une simple confirmation automatique.
Le consentement est-il une garantie suffisante ?
Seulement s’il est véritablement libre et si une solution alternative comparable est accessible.
Une photographie est-elle toujours une donnée biométrique ?
Non. Elle devient une donnée biométrique au sens renforcé du RGPD lorsqu’un traitement technique spécifique est utilisé pour identifier ou authentifier une personne de manière unique.
La reconnaissance faciale est-elle une preuve ?
Une correspondance constitue principalement un résultat probabiliste. Elle doit être corroborée par d’autres éléments et pouvoir être contestée.
Peut-on aspirer des photographies en ligne pour créer une base ?
L’AI Act interdit la constitution ou l’extension de bases de reconnaissance faciale par aspiration non ciblée d’images provenant d’internet ou de vidéosurveillance.
Ressources essentielles
Base Dabo Tibi Ius
Identifiée par un système de reconnaissance faciale par IA : une femme emprisonnée pour un crime qu’elle n’a pas commis
États-Unis : une grand-mère incarcérée par erreur à cause d’un logiciel de reconnaissance faciale par IA
Intelligence artificielle et droit pénal
Droits fondamentaux et intelligence artificielle
Discrimination algorithmique et intelligence artificielle
La place des droits fondamentaux dans l’AI Act
L’IA : un danger pour nos droits ?
CNIL
Définition de la reconnaissance faciale
Biométrie
Reconnaissance faciale : pour un débat à la hauteur des enjeux
Caméras augmentées dans les espaces publics
Reconnaissance faciale dans les aéroports
Contrôle d’accès biométrique sur les lieux de travail
Expérimentation dans deux lycées
Union européenne
Règlement (UE) 2024/1689 sur l’intelligence artificielle
RGPD
CEPD, lignes directrices 05/2022 sur la reconnaissance faciale dans le domaine répressif
Jurisprudence
CEDH, Glukhin c. Russie, 4 juillet 2023
Conseil d’État, 4 novembre 2020, n° 432656
Conseil d’État, 24 décembre 2021, n° 447515
FAQ
Qu’est-ce que la reconnaissance faciale ?
Une technique permettant d’authentifier ou d’identifier une personne à partir des caractéristiques numériques de son visage.
Quelle différence entre authentification et identification ?
L’authentification compare une personne à une identité déclarée. L’identification recherche son identité parmi plusieurs personnes.
La reconnaissance faciale est-elle interdite en France ?
Non de manière générale. Elle est cependant soumise à des règles strictes et certains usages sont interdits ou exceptionnellement autorisés.
La police peut-elle identifier une personne en temps réel dans la rue ?
En principe, l’AI Act interdit cet usage dans les espaces accessibles au public, sauf exceptions strictes, autorisation appropriée et base juridique nationale.
Une photo est-elle une donnée biométrique ?
Elle peut le devenir lorsqu’elle fait l’objet d’un traitement technique destiné à identifier ou authentifier une personne de manière unique.
Le consentement suffit-il ?
Seulement s’il est explicite, libre, éclairé et assorti d’une alternative réelle lorsqu’elle est nécessaire.
La reconnaissance faciale est-elle fiable ?
Aucun système n’est infaillible. Sa fiabilité dépend notamment des images, de la population, du seuil et des conditions d’utilisation.
Une personne peut-elle être arrêtée sur la seule base d’une correspondance ?
Une telle pratique serait particulièrement problématique. Le résultat doit être vérifié et corroboré.
Peut-on utiliser la reconnaissance faciale dans une école ?
Un tel usage est très difficile à justifier, notamment en présence de mineurs et lorsqu’un badge permet d’atteindre le même objectif.
Quel est le principal risque collectif ?
La création d’une infrastructure permettant d’identifier et de suivre automatiquement toute personne dans l’espace public.
Méthodologie : Cette fiche a été générée avec l’assistance de l’intelligence artificielle à partir de la base documentaire et de sources juridiques complémentaires lorsque cela était nécessaire. Elle constitue une synthèse documentaire et ne remplace pas un avis juridique.
Résumé pédagogique
Définition
La reconnaissance faciale est une technique d’intelligence artificielle qui transforme les caractéristiques d’un visage en un gabarit numérique. Elle peut servir à vérifier une identité, par exemple pour déverrouiller un téléphone, ou à rechercher une personne parmi une base de visages. Ce second usage est généralement beaucoup plus intrusif.
Exemple
La police analyse l’image d’une caméra et obtient une correspondance avec une photographie enregistrée dans une base. Ce résultat n’est pas une certitude : il repose sur un score de similarité. Avant tout contrôle ou toute poursuite, les autorités doivent vérifier l’identité par d’autres moyens et respecter les garanties procédurales.
Problématique juridique
La reconnaissance faciale permet une identification à distance, parfois à l’insu de la personne. Déployée sur un réseau de caméras, elle peut transformer l’espace public en espace de surveillance permanente. Les erreurs peuvent en outre affecter plus fortement certains groupes et conduire à des arrestations injustifiées.
Cadre légal
Le RGPD classe les données biométriques utilisées pour identifier une personne parmi les données sensibles. Leur traitement est en principe interdit, sauf exception. L’AI Act interdit certaines pratiques, notamment l’aspiration non ciblée d’images pour constituer des bases faciales et, en principe, l’identification biométrique policière en temps réel dans l’espace public. Les autres systèmes sensibles peuvent relever du régime des systèmes d’IA à haut risque. Toute utilisation doit rester nécessaire, proportionnée, sécurisée et soumise à une supervision humaine effective.
- Reconnaissance biométrique
- Données biométriques
- Vie privée et intelligence artificielle
- Vidéosurveillance algorithmique
- Identification biométrique à distance
- Police prédictive
- Discrimination algorithmique
- Données sensibles
- Analyse d’impact
- Systèmes d’IA à haut risque
- Pratiques interdites par l’AI Act
- Reconnaissance des émotions
- Catégorisation biométrique
- Droit de la preuve