Retrouver une personne sur les réseaux sociaux à partir d’une simple photo est devenu techniquement accessible. Plusieurs outils gratuits ou payants proposent de la recherche d’image inversée, voire de la reconnaissance faciale appliquée aux profils en ligne. Le cadre juridique européen et français a changé de manière significative depuis 2025, et la frontière entre ce qui est faisable et ce qui est légal ne coïncide plus du tout.
AI Act et reconnaissance faciale : ce que le règlement européen interdit depuis 2025
Les guides concurrents détaillent longuement les outils de recherche par photo sans aborder la ligne de fracture juridique apparue avec le règlement européen sur l’IA (AI Act, règlement UE 2024/1689). Depuis février 2025, ce texte interdit la constitution de bases de données de reconnaissance faciale par moissonnage non ciblé d’images publiques (scraping à grande échelle).
Les sanctions prévues sont lourdes : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les contrevenants. Cette règle vise directement les services qui aspirent massivement des photos de visages sur le web pour construire des bases biométriques destinées à l’identification.
En pratique, cela crée deux catégories d’outils très différentes :
- Les moteurs d’images classiques (Google Images, TinEye, Yandex) qui comparent des pixels et des métadonnées visuelles sans procéder à une identification biométrique explicite de la personne photographiée.
- Les services de « face search » qui analysent la géométrie d’un visage pour le comparer à une base construite par collecte massive, et qui tombent potentiellement sous le coup de l’interdiction du règlement européen.
- Les outils intégrés aux réseaux sociaux eux-mêmes, qui fonctionnent sur leurs propres données avec le consentement (plus ou moins éclairé) de leurs utilisateurs.
Un outil présenté comme « gratuit et rapide » dans un tutoriel peut donc reposer sur une infrastructure désormais illégale en droit européen. L’utilisateur final n’est pas directement sanctionné par l’AI Act, mais il s’expose à d’autres textes, notamment le RGPD.
Recherche d’image inversée et RGPD : les limites pour un particulier en France
Utiliser Google Lens ou Yandex Images pour retrouver où une photo apparaît en ligne relève de la recherche d’image inversée classique. Tant que vous consultez des résultats publics sans collecter ni stocker de données personnelles, le risque juridique reste faible.
La situation change dès que vous croisez les résultats, constituez un dossier ou contactez la personne identifiée. Le RGPD (règlement UE 2016/679) encadre tout traitement de données personnelles, y compris par un particulier, dès lors que l’activité dépasse le cadre strictement domestique. Publier les résultats de votre recherche, les transmettre à un tiers dans un contexte professionnel ou les utiliser pour du harcèlement transforme une simple curiosité en infraction caractérisée.
La CNIL a déjà sanctionné Clearview AI en 2022 pour collecte illicite de photographies de visages sur internet. Ce précédent concerne un opérateur commercial, mais il fixe une jurisprudence claire : le scraping de photos à des fins d’identification biométrique viole le RGPD, même lorsque les images sont techniquement publiques.
Données biométriques : une catégorie à part
Le RGPD classe les données biométriques parmi les données sensibles (article 9). Leur traitement est interdit sauf exceptions limitées (consentement explicite, intérêt public substantiel encadré par la loi). Un particulier qui utilise un service de reconnaissance faciale en ligne délègue de fait un traitement biométrique à un prestataire. Si ce prestataire opère sans base légale valide, l’utilisateur participe à une chaîne de traitement potentiellement illicite.
Recherche par photo sur les réseaux sociaux : ce qui fonctionne concrètement
Sur le plan technique, la recherche d’image inversée via Google Lens reste le point d’entrée le plus simple. Vous importez la photo, le moteur compare les caractéristiques visuelles à son index et renvoie les pages web où des images similaires apparaissent. Si la personne a utilisé la même photo de profil sur plusieurs plateformes, les résultats peuvent inclure des profils Instagram, Facebook, LinkedIn ou X.
Yandex Images produit souvent des résultats plus précis que Google pour la recherche de visages, car son algorithme accorde davantage de poids aux caractéristiques faciales. TinEye, de son côté, excelle dans le suivi de la diffusion d’une image à travers le web, ce qui permet de repérer des réutilisations sur des forums ou des sites de rencontres.
Les limites sont réelles :
- Si la photo n’a jamais été publiée en ligne, aucun moteur ne trouvera de correspondance. La recherche inversée ne fonctionne que sur des images déjà indexées.
- Les profils configurés en mode privé sur les réseaux sociaux ne laissent pas leurs photos de profil indexables par les moteurs externes. Facebook, notamment, bloque largement l’indexation des photos de profil depuis plusieurs années.
- Les photos recadrées, filtrées ou retouchées réduisent considérablement la fiabilité des résultats. Un simple changement de résolution peut suffire à tromper un algorithme de comparaison pixel par pixel.
Transparence et obligations légales à compter d’août 2026
L’article 50 de l’AI Act impose, à partir du 2 août 2026, des obligations de transparence pour les systèmes d’IA qui interagissent avec des personnes. Tout service utilisant de la reconnaissance faciale ou de l’analyse biométrique devra informer clairement l’utilisateur qu’il interagit avec un système d’IA, et préciser la nature du traitement effectué.
Pour un utilisateur qui cherche les profils sociaux d’une personne à partir d’une photo, cela signifie que les outils conformes devront afficher explicitement leur méthode. Les services opaques, qui ne précisent ni la source de leur base d’images ni la technique employée, seront en infraction directe avec le règlement européen.
Vérification avant prise de contact
Même lorsqu’un outil renvoie un profil apparemment correspondant, la prudence reste de mise. Les faux positifs existent : deux personnes peuvent se ressembler suffisamment pour tromper un algorithme. Contacter quelqu’un en affirmant « je vous ai identifié grâce à une photo » sans vérification préalable expose à des accusations de harcèlement, surtout si la personne n’a jamais consenti à être recherchée.
Le droit français sanctionne le harcèlement en ligne (article 222-33-2-2 du Code pénal) et la collecte frauduleuse de données personnelles (article 226-18 du Code pénal). Une recherche techniquement possible n’est pas automatiquement une recherche légalement autorisée.
La distinction entre curiosité légitime et atteinte à la vie privée repose moins sur l’outil utilisé que sur l’intention et l’usage qui suit. Consulter un résultat public sur Google Images ne pose pas le même problème que recourir à un service de scraping biométrique pour constituer un dossier sur quelqu’un. Le cadre légal européen, tel qu’il se met en place entre 2025 et 2026, trace cette frontière avec une netteté croissante.
