Veo (Google) et le RGPD / AI Act : SynthID, deepfakes et droit à l'image
·
Par 
Aymeric Guyard · 9 min de lecture
En bref
- Veo (Google) produit des vidéos réalistes à partir de texte, avec le marquage SynthID (filigrane invisible). Enjeux du média génératif : ne pas représenter de personnes réelles sans consentement, divulguer les deepfakes (article 50), encadrer les transferts hors UE (CLOUD Act). SynthID facilite la conformité technique mais ne dispense pas de la divulgation visible côté déployeur. Vérifier l'offre et la résidence des données.
Présentation et données traitées
Veo est le modèle de génération de vidéo de Google (via ses offres et Gemini) : il produit des vidéos réalistes à partir de descriptions textuelles, avec un marquage SynthID intégré.
Veo traite les prompts et d'éventuelles images fournies, et peut générer des personnes identifiables. Éditeur américain : exposition au CLOUD Act ; vérifier l'offre et la résidence des données.
Les risques pour votre entreprise
Les risques : représentation de personnes réelles sans consentement, deepfakes trompeurs, transferts hors UE et droit d'auteur.
Principaux risques RGPD :
- Représentation de personnes réelles sans consentement (droit à l'image, voix comme donnée personnelle).
- Transfert hors UE (CLOUD Act) ; prompts contenant des données personnelles.
- Origine des données d'entraînement (scraping interdit) ; droit d'auteur.
- Contenus trompeurs (désinformation).
Les obligations RGPD
- Interdire la représentation de personnes réelles sans consentement documenté.
- Vérifier le DPA et la résidence des données ; encadrer les transferts (SCC).
- Ne pas saisir de données personnelles inutiles ; inscrire au registre ; AIPD si usage à risque.
- Informer les personnes représentées.
- Impliquer le DPO ; former les équipes. Pas de DPO ? Voir notre DPO externalisé.
Les obligations AI Act
Article 50 (applicable le 2 août 2026, échéance technique le 2 décembre 2026) : le fournisseur marque techniquement ; le déployeur qui produit un deepfake doit divulguer clairement. Régime allégé pour les contenus artistiques/satiriques. GPAI ; littératie IA. Interdiction (article 5) : scraping facial non ciblé prohibé. Voir le guide AI Act.
Risques AI Act : deepfakes non divulgués (article 50) ; marquage SynthID conservé mais divulgation visible omise ; contenus trompeurs sur des sujets d'intérêt public.
Cybersécurité et bonnes pratiques
Risques cyber : usurpation par vidéo générée, désinformation, transfert hors UE ; NIS 2 selon la taille.
Bonnes pratiques : interdire la représentation de personnes réelles sans consentement ; conserver le marquage SynthID et ajouter une divulgation visible ; contrôle éditorial ; encadrer les transferts ; charte IA (usages proscrits) ; registre, formation.
Checklist :
- Aucune représentation de personne réelle sans consentement, marquage SynthID conservé + divulgation visible
- DPA + résidence des données vérifiés, transferts encadrés (SCC), pas de données personnelles inutiles dans les prompts
- AIPD si usage à risque, charte IA (usages proscrits), contrôle éditorial, équipes formées
Sanctions, conclusion et recommandations
Sanctions : RGPD (jusqu'à 20 M€ ou 4 %) ; AI Act (15 M€ ou 3 % pour l'article 50, 35 M€ ou 7 % pour les pratiques interdites) ; civil et pénal — droit à l'image, article 226-8 et 226-8-1 du code pénal.
Recommandation : Veo bénéficie d'un marquage natif (SynthID) facilitant la conformité technique, mais le déployeur reste responsable de la divulgation visible des deepfakes et du respect du droit à l'image. Interdisez la représentation de personnes réelles sans consentement, encadrez les transferts et contrôlez avant diffusion. Comparez avec Sora et Runway. Voir le comparatif des outils d'IA.
Passez à l’action
Évaluez le niveau de risque RGPD et AI Act de vos usages de Veo avec l'auto-diagnostic Data Comply One.
Découvrir le logiciel AI Act →Tester ma conformité gratuitement