Le 7 juillet 2026, le tribunal judiciaire de Paris a rendu une décision particulièrement importante en matière de violences numériques.
Un informaticien de 47 ans a été condamné pour avoir administré une plateforme consacrée à la diffusion de contenus pornographiques générés à partir de photographies de personnes réelles, appelée CFake. Plus de 300 000 images et 7 000 vidéos auraient été diffusées sur la plateforme, concernant environ 14 000 victimes présumées dans le monde.
Cette affaire illustre l’une des dérives les plus préoccupantes de l’intelligence artificielle aujourd’hui : la
création et la diffusion de contenus sexuels représentant des personnes sans leur consentement. Si ces pratiques peuvent sembler nouvelles, le droit pénal français s’est progressivement adapté afin de réprimer spécifiquement les deepfakes, notamment lorsqu’ils présentent un caractère sexuel.
Dans quelle mesure le droit pénal permet-il alors de sanctionner efficacement les auteurs de
deepfakes sexuels et d’assurer une protection suffisante aux victimes ?
Une incrimination spécifique des montages sexuels
L’article 226-8-1 du Code pénal réprime la diffusion, sans consentement, d’un montage à caractère
sexuel réalisé avec les paroles ou l’image d’une personne. Le texte assimile également à cette infraction la diffusion d’un contenu visuel ou sonore à caractère sexuel généré par un traitement algorithmique et reproduisant l’image ou les paroles d’une personne sans son consentement.
Cette infraction, créée par la loi du 21 mai 2024 visant à sécuriser et réguler l’espace numérique (SREN), permet ainsi d’appréhender spécifiquement les deepfakes sexuels. Elle est punie de deux ans d’emprisonnement et de 60 000 euros d’amende. Lorsque la publication est réalisée au moyen d’un service de communication au public en ligne, les peines sont portées à trois ans d’emprisonnement et 75 000 euros d’amende.
Le caractère fictif du contenu ne fait pas disparaître l’infraction. En effet, la victime n’a jamais participé à la scène représentée, mais son image ou ses paroles ont été utilisées sans son consentement afin de
créer un contenu à caractère sexuel. Le législateur prend ainsi en considération non pas la réalité de la scène représentée, mais l’utilisation non consentie de l’image ou des paroles de la personne.
Une protection plus générale contre les deepfakes
L’article 226-8 du Code pénal offre, quant à lui, une protection plus générale contre les contenus falsifiés utilisant l’image ou les paroles d’une personne. Il sanctionne le fait de porter à la connaissance du public ou d’un tiers, sans consentement, un montage réalisé avec les paroles ou l’image d’une personne, lorsque son caractère artificiel n’apparaît pas clairement ou n’est pas mentionné.
La peine encourue est d’un an d’emprisonnement et de 15 000 euros d’amende, portée à deux ans
d’emprisonnement et 45 000 euros d’amende lorsque les faits sont commis au moyen d’un service de
communication au public en ligne.
L’application de cette disposition peut être illustrée par un exemple concret. Une personne pourrait, à
partir d’une photographie publiée sur Instagram par une étudiante, utiliser un outil d’intelligence
artificielle afin de l’intégrer à une vidéo sexuelle fictive, puis diffuser cette vidéo sur une plateforme en
ligne ou sur une messagerie telle que Telegram.
Dans une telle situation, l’image est fictive mais la personne représentée est bien réelle. Cette dernière n’a pourtant jamais consenti à l’utilisation de son image dans un contenu à caractère sexuel. Dès lors, lorsque le contenu présente effectivement un caractère sexuel, l’article 226-8-1 du Code pénal apparaît particulièrement pertinent : il réprime précisément la diffusion, sans consentement, d’un contenu visuel ou sonore à caractère sexuel généré par un traitement algorithmique reproduisant l’image ou les paroles d’une personne.
Cet exemple démontre ainsi que la nature artificielle du contenu ne suffit pas à écarter la responsabilité pénale de son auteur. Au contraire, le législateur a expressément intégré les contenus générés par traitement algorithmique dans le champ de la répression.
Les difficultés liées à l’identification des auteurs et à la diffusion des contenus
Si le législateur dispose désormais d’une incrimination spécifique, sa mise en œuvre peut se heurter aux caractéristiques propres à internet. L’anonymat des utilisateurs, l’utilisation de pseudonymes,
l’hébergement des contenus à l’étranger ou encore la multiplication des plateformes peuvent compliquer l’identification de l’auteur des faits.
À cette difficulté s’ajoute celle de la diffusion massive des contenus. Une image générée artificiellement peut être diffusée sur plusieurs plateformes en quelques minutes, puis copiée et rediffusée par d’autres utilisateurs. La suppression du contenu initial ne garantit donc pas nécessairement la disparition de toutes ces copies.
Dès lors, si le droit pénal français permet aujourd’hui de sanctionner directement certaines pratiques
liées aux deepfakes sexuels, l’évolution constante des technologies impose de s’interroger sur
l’adaptation de la réponse juridique.
Vers une responsabilisation accrue des acteurs du numérique
Si le droit pénal français permet désormais de sanctionner directement la diffusion de deepfakes sexuels, la seule répression de leur auteur ne suffit pas nécessairement à répondre à l’ampleur du phénomène.
L’intelligence artificielle repose en effet sur un ensemble d’acteurs : utilisateurs, fournisseurs de
systèmes d’IA, plateformes de diffusion et hébergeurs. La lutte contre les deepfakes implique donc
également d’agir en amont de leur diffusion.
L’Union européenne a ainsi renforcé les obligations pesant sur les acteurs de l’intelligence artificielle.
Depuis le 2 août 2026, l’article 50 du règlement européen sur l’intelligence artificielle impose
notamment des obligations de transparence concernant les contenus générés ou manipulés par l’IA.
Les fournisseurs doivent notamment permettre la détection des contenus générés ou manipulés grâce à des marquages lisibles par machine. Les déployeurs doivent, quant à eux, informer les personnes lorsqu’elles sont exposées à des deepfakes, sous réserve des exceptions prévues par le règlement. Cette évolution traduit un changement de logique : il ne s’agit plus seulement de punir l’auteur une fois le contenu diffusé, mais également de rendre les contenus générés par l’intelligence artificielle davantage identifiables et traçables.
Cette responsabilisation présente toutefois des limites. Les obligations de transparence ne remplacent pas la répression pénale lorsqu’une personne utilise volontairement l’intelligence artificielle pour porter atteinte à l’image ou à l’intimité d’une victime.
De plus, lorsqu’un particulier utilise personnellement un outil d’IA pour créer puis diffuser un deepfake, le simple fait que le fournisseur de l’outil soit soumis à des obligations européennes ne signifie pas que ce fournisseur sera pénalement responsable du contenu créé par l’utilisateur.
Ainsi, l’enjeu pour le droit pénal est de trouver un équilibre entre la responsabilité individuelle de
l’auteur du deepfake et la nécessaire responsabilisation des acteurs qui permettent sa création, sa
diffusion ou sa propagation.
L’enjeu n’est donc plus seulement de savoir comment punir l’auteur d’un deepfake sexuel, mais
également comment empêcher qu’un contenu fabriqué en quelques secondes puisse être diffusé à grande échelle et continuer à circuler malgré l’intervention de la justice.
En définitive, le droit pénal français permet aujourd’hui de sanctionner les deepfakes sexuels,
notamment grâce à l’article 226-8-1 du Code pénal. Toutefois, face à la rapidité de diffusion de ces
contenus, l’efficacité de cette protection dépend également de la responsabilisation des acteurs du
numérique.
À l’avenir, la véritable difficulté sera de parvenir à concilier l’innovation technologique avec la
protection effective de l’intégrité, de la dignité et de l’intimité des personnes.
Références
Article 226-8 du Code pénal.
Article 226-8-1 du Code pénal.
Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l’espace numérique (SREN).
Règlement (UE) 2024/1689 sur l’intelligence artificielle, article 50.
Tribunal judiciaire de Paris, 7 juillet 2026 (affaire « CFake »).
