L'autorité espagnole de protection des données (AEPD) a sanctionné plusieurs personnes physiques (sanctions ps-00132-2025, ps-00119-2025) pour la diffusion d'images manipulées par intelligence artificielle, qualifiant cette diffusion de traitement de données personnelles illicite en l'absence de base légale. Le scenario a été le même dans les deux cas.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre d'une personne physique, comprenant le prononcé d'une amende de 2 000 €, pour des manquements en lien avec la diffusion d'images manipulées par intelligence artificielle. L'affaire a débuté suite à des articles de presse et à une plainte concernant la diffusion sur les réseaux sociaux et par un groupe de personnes d'images de corps nus créées artificiellement à partir de photographies de personnes identifiables . 8 ont été condamnées pénalement et les procédures ont été closes par l'AEPD, et 2 ont été sanctionnées par l'autorité.

Motifs de la décision

• Obligation de licéité du traitement (article 6 du RGPD) : L'autorité a d'abord qualifié la diffusion d'images manipulées par intelligence artificielle de traitement de données personnelles, car elles permettent d'identifier une personne physique au sens de l'article 4, point 1, du RGPD. Elle a ensuite considéré la personne physique à l'origine de la diffusion comme responsable du traitement, conformément à l'article 4, point 7, du RGPD, puisqu'elle a déterminé les finalités et les moyens de cette diffusion au sein d'un groupe de messagerie. L'autorité a conclu que ce traitement a été réalisé sans reposer sur aucune des bases légales énumérées à l'article 6 du RGPD, constituant ainsi une violation de cette disposition.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 000 € à la personne physique concernée, ramenée à 1 200 € suite à la reconnaissance de responsabilité et au paiement volontaire.

Enseignements

Cette décision rappelle que :

• La création et la diffusion d'images de personnes, même manipulées ou générées par une intelligence artificielle, constituent un traitement de données personnelles dès lors que la personne reste identifiable.
• Une personne physique qui diffuse de telles images, y compris au sein d'un groupe de messagerie privé, est qualifiée de responsable du traitement et doit en assumer les obligations.
• La diffusion de données personnelles, en particulier d'images intimes manipulées, sans le consentement explicite de la personne concernée ou une autre base légale valide, constitue une violation directe du principe de licéité du traitement.
• La nature particulièrement sensible des données traitées (images de nus, même fausses) et la gravité de l'atteinte à la vie privée sont des facteurs déterminants dans l'appréciation de l'infraction par l'autorité de contrôle.