Droits, mention IA et validation

Une PME publie un visuel de recrutement généré par IA : deux artisans souriants dans un atelier. Une semaine plus tard, un internaute signale que le visage de l'artisane ressemble trait pour trait à une actrice connue. Personne dans l'équipe ne l'avait remarqué, personne n'avait demandé ce visage, et le post est déjà partagé 400 fois. La technique de génération ne protège de rien ici. Ce qui protège, c'est un processus : des règles écrites avant la génération, une validation humaine avant la publication, et des traces qui permettent de répondre.

Le mécanisme : quatre questions avant de publier

flowchart TB
  I["Visuel sélectionné"] --> A{"Une personne réelle<br/>est-elle reconnaissable ?"}
  A -->|"oui, sans autorisation écrite"| X["Refus"]
  A -->|"non, ou autorisation"| B{"Une marque, une œuvre, un lieu<br/>protégé est-il reconnaissable ?"}
  B -->|"oui, sans droit"| X
  B -->|"non"| C{"Les références utilisées<br/>ont-elles des droits documentés ?"}
  C -->|"non"| X
  C -->|"oui"| D{"Mention IA prévue<br/>sur le canal ?"}
  D -->|"non"| M["Ajouter la mention"] --> V
  D -->|"oui"| V["Validation marque<br/>puis publication"]
  V --> L["Archivage : brut, meta.json, validation"]

À qui appartient l'image

Les conditions de l'API Gemini sont nettes sur un point : Google ne revendique pas la propriété du contenu généré, mais peut générer un contenu identique ou similaire pour d'autres, et vous êtes responsable de l'usage que vous en faites. Deux conséquences pratiques :

• l'exclusivité n'existe pas : un concurrent peut obtenir une image très proche avec un prompt proche ;
• la protection par le droit d'auteur est incertaine : en droit français, une œuvre protégée porte l'empreinte de la personnalité d'un auteur humain. Plus votre apport créatif est identifiable (brief, composition, sélection, retouches, assemblage, post-production), plus votre position est défendable. Une image sortie d'un prompt d'une ligne a peu de chances de l'être.

Conservez donc ce qui prouve l'apport humain : le brief versionné, les étapes de retouche, la sélection documentée. Le meta.json de chaque visuel en est la base.

La mention IA et les marquages

Quatre couches coexistent, et aucune ne remplace les autres :

L'article 50 de l'AI Act européen, applicable à partir du 2 août 2026 selon le calendrier du règlement (vérifiez les éventuels aménagements adoptés depuis), impose aux fournisseurs de systèmes qui génèrent des images un marquage lisible par machine (c'est le rôle de SynthID et de C2PA côté Google), et aux personnes qui diffusent un hypertrucage (image qui ressemble à des personnes, objets, lieux ou événements existants et pourrait passer pour authentique) d'indiquer qu'il a été généré. Une photo produit réaliste d'une scène qui n'a jamais existé entre dans une zone d'interprétation : la règle prudente est de mentionner l'IA sur tout visuel photoréaliste publié, et de ne jamais effacer les marquages techniques.

Personnes réelles et marques

La mise en œuvre : la validation dans le pipeline

Le pipeline prépare la validation, il ne la remplace pas. Chaque visuel sort avec le statut a_valider, les droits de ses références, ses alertes, et une grille de contrôles dans la planche :

CONTROLES = ["Produit conforme à la référence", "Mains, visages, perspective vérifiés",
             "Aucun texte ni logo parasite", "Pas de personne réelle ni de marque tierce reconnaissable",
             "Mention « image générée par IA » prévue sur le canal"]

Le processus qui fonctionne dans une équipe de 2 à 10 personnes :

1. le brief est validé par le responsable marketing avant toute génération (budget, canaux, références et droits) ;
2. la personne qui génère sélectionne sur la planche et coche les contrôles techniques (zoom à 100 %) ;
3. une seconde personne valide les contrôles « personnes et marques », qui exigent un regard neuf ;
4. l'archivage conserve sorties/<campagne>/ (bruts avec C2PA, meta.json, livrables) aussi longtemps que les visuels sont en ligne, plus la durée de prescription que votre juriste vous indique.

Les trois usages entreprise de la campagne

Résultat obtenu

Le lab ne crée aucune ressource cloud ; le nettoyage porte sur les fichiers locaux. Exécuté le 2026-10-15 :

$ du -sh sorties
7,2M	sorties
$ make clean
Artefacts supprimés.
$ make reset
Artefacts supprimés.
Environnement supprimé (.env conservé).
$ ls -a
.  ..  brief.yaml  campagne  ci  .env  .env.example  Makefile  README.md  references  requirements.txt  tests
$ make cloud-down
Aucune ressource créée par ce lab ; rien à supprimer.

Sur Vertex AI, le même code tourne avec GOOGLE_GENAI_USE_VERTEXAI=TRUE et GOOGLE_CLOUD_LOCATION=global ; les appels sont facturés au projet et visibles dans la facturation Google Cloud, ce qui simplifie l'imputation par campagne. Aucune ressource n'est à supprimer après usage.

Ce qui casse en production

La règle de décision

Générez librement des produits, des lieux et des personnes fictifs ; n'intégrez une personne réelle qu'avec une autorisation écrite et spécifique ; n'intégrez jamais une marque tierce. Mentionnez l'IA sur tout visuel photoréaliste publié. Gardez les traces (brief, bruts, meta, validation) aussi longtemps que le visuel vit.

Pratique

Exercice. Rédigez la mention à publier sous le visuel RH « Nous recrutons à Lyon », et la ligne de procédure de validation correspondante.

• Je sais ce que Google revendique (rien) et ce qu'il ne garantit pas (l'exclusivité)
• Je distingue SynthID, C2PA, XMP IPTC et mention visible
• J'applique les règles sur les personnes réelles et les marques
• J'organise une validation à deux personnes et j'archive avant make clean
• J'ai exécuté make clean et make reset et vérifié ce qui reste