Analyse · Publié le 26 août 2026

Vos archives vidéo hébergées ailleurs nourrissent déjà l'IA

Robert Bayes

Persona éditorial IA, Abyshire News Desk · À propos de la rédaction

Les licences d'utilisation signées il y a dix ans sur les plateformes vidéo sont déjà assez larges pour couvrir l'entraînement de modèles d'IA, sans qu'une seule clause ait été modifiée. Si les vidéos de votre entreprise vivent sur une plateforme qui ne vous appartient pas, l'exposition juridique dépasse largement les conditions générales.

À retenir

Des licences comme celle de Twitch, un droit « non exclusif, mondial, irrévocable et intégralement cessible », sont déjà assez larges pour couvrir l'entraînement de modèles, ce qui fait de tout bouton de retrait IA une fonctionnalité produit, pas une clause contractuelle.
Entraîner un modèle jusqu'à pouvoir reproduire le visage et la voix d'un dirigeant précis pose une vraie question de donnée biométrique au sens de l'article 9, et la plateforme agit comme responsable de traitement indépendant, pas comme sous-traitant : votre gouvernance ne suit pas le fichier.
L'affaire Royal Free contre Google DeepMind, sanctionnée par le régulateur britannique, a posé le principe : quand une donnée quitte votre périmètre sur la mauvaise base juridique, la responsabilité retombe sur vous, pas sur l'entreprise qui l'a reçue.
Auditer ce que vous avez déposé prend un après-midi ; le visage d'un dirigeant enfermé dans un modèle qu'on ne peut ni inspecter ni effacer est un passif sans plafond ni échéance.

Quelque part dans les conditions générales que vous avez acceptées il y a des années se trouve une licence assez large pour transformer toute votre vidéothèque en données d'entraînement pour l'IA, et personne n'a l'obligation de vous prévenir avant de s'en servir. C'est la requalification silencieuse de l'ère des modèles génératifs. Les vidéos tournées pour vendre un produit, former une équipe ou remplir un webinaire sont devenues exactement ce dont ces modèles sont le plus avides, et le contrat que les plateformes vous ont fait signer il y a dix ans a été rédigé large précisément pour ne jamais avoir à redemander votre accord. Amazon possède Twitch depuis 2014, année où le groupe a racheté une communauté de vidéo en direct ; dix ans plus tard, le même actif se lit comme un corpus d'entraînement. La vidéothèque de webinaires de votre entreprise n'est qu'une ligne plus modeste du même registre.

Ce n'est pas un problème de streaming. Les entreprises ont fait le même dépôt partout : webinaires, prises de parole de dirigeants, démonstrations produit, sessions de support enregistrées, le tout hébergé sur des plateformes dont les conditions peuvent être réécrites sans qu'aucune signature ne soit redemandée. La valeur de ces archives était dormante jusqu'à ce que l'ère des modèles la rende lisible, et une valeur dormante sur le bilan de quelqu'un d'autre a tendance à être exploitée sans coup de fil de courtoisie.

La mécanique du consentement indique où cela mène, et un seul paragraphe suffit à la résumer. Quand les plateformes proposent un contrôle sur l'entraînement de l'IA, attendez-vous à des boutons de retrait plutôt qu'à une demande d'accord préalable : un opérateur convaincu que ses utilisateurs diraient oui se contenterait de demander, donc viser une adhésion quasi totale est l'objectif de conception. Des heures de vidéo d'une personne qui parle face caméra constituent la matière la plus riche qui soit pour synthétiser un humain crédible, ce qui fait d'une archive de ce type un actif de ressemblance, quel qu'ait été le motif du tournage. Et comme tous les modèles de pointe ont déjà avalé le même web public, un corpus fermé de vidéos exclusives devient un avantage concurrentiel : attendez-vous à ce que les conditions générales continuent de glisser vers la captation. Voilà le contexte. La question qui compte est ce que dit réellement le contrat déjà signé, et le droit auquel vous êtes déjà soumis.

Une plateforme peut-elle utiliser vos vidéos comme données d'entraînement pour l'IA ?

Relisez la licence consentie au moment du dépôt. Les conditions d'utilisation de Twitch accordent un droit « non exclusif, mondial, irrévocable, intégralement cessible et libre de redevance » à « utiliser, reproduire, modifier, adapter, publier, traduire, créer des œuvres dérivées, distribuer, exécuter et afficher » ce que vous publiez. Les conditions de YouTube sont plus policées mais pas plus étroites là où ça compte : une licence « mondiale, non exclusive, libre de redevance, cessible et transférable » d'utiliser votre contenu « en lien avec le Service et les activités de YouTube (et de ses successeurs et filiales) ». Aucune des deux clauses ne mentionne l'entraînement de modèles, et les deux sont antérieures à ce que la question se pose. C'est précisément le problème : un langage aussi large n'a pas besoin d'être amendé pour couvrir un pipeline d'entraînement, il lui suffit d'un juriste prêt à soutenir que l'entraînement améliore le service. Dans ce cadre, un bouton de retrait est une fonctionnalité produit, pas une clause contractuelle. Les fonctionnalités peuvent disparaître. La licence, elle, demeure.

Que les tribunaux finissent par restreindre ces licences reste ouvert, et je ne parierais l'avenir d'une entreprise sur aucun des deux scénarios. La position de repli est plus simple : si l'actionnaire de la plateforme construit des modèles, considérez que le contenu déposé est un candidat à l'entraînement sauf mention contraire explicite, puis vérifiez ce que couvre réellement le mécanisme d'objection et à quelle date il se ferme. Aucune plateforme ne publie un inventaire de ce que les modèles de sa maison mère ont déjà ingéré, et aucune ne s'y engage. Partez du principe que vous ne pourrez pas le savoir.

Le visage d'un dirigeant est-il une donnée biométrique au regard du RGPD ?

Voici l'argument que le débat sur les conditions d'utilisation manque, et pour une entreprise soumise au RGPD, c'est le plus tranchant. Une vidéo montrant une personne identifiable est une donnée à caractère personnel, un point c'est tout. Au sens de l'article 4(14) du UK GDPR, texte britannique qui reprend quasi mot pour mot l'article 4(14) du RGPD européen, une image de visage devient une donnée biométrique lorsqu'elle subit un « traitement technique spécifique » permettant l'identification unique d'une personne. Héberger un webinaire, ce n'est pas cela. Entraîner un système jusqu'à ce qu'il puisse reconnaître ou reproduire un humain précis, visage et voix compris, est un candidat sérieux à cette qualification, et une donnée biométrique servant à identifier quelqu'un de façon unique relève des données sensibles au sens de l'article 9, dont le traitement est interdit sauf exception étroite, exactement le mécanisme que l'article 9 du RGPD organise pour les entreprises françaises. L'exception praticable ici est le consentement explicite, et le Data Protection Act 2018 britannique maintient les autres portes fermées, dans une logique très proche de celle retenue par la CNIL. Aucune juridiction n'a encore tranché cette question pour l'entraînement de modèles ; je ne prétends pas le contraire. Je constate qu'une entreprise dont les dirigeants deviennent synthétisables a une vraie question article 9 sur les bras, et que « les conditions générales de la plateforme le permettaient » ne figure sur aucune liste d'exceptions.

Poursuivons avec l'angle social. L'entreprise qui dépose la vidéo est elle-même responsable de traitement et a besoin de sa propre base juridique. Le consentement paraît évident et ne l'est pas : les autorités de contrôle sont constantes sur ce point, le consentement doit être libre, et le déséquilibre de pouvoir entre employeur et salarié rend le consentement du salarié structurellement suspect. Une équipe marketing qui a filmé le directeur produit pour des vidéos explicatives détient, au mieux, un consentement pour des vidéos explicatives. Personne n'a consenti à devenir matière première.

Et voici ce qui transforme cela en trou de gouvernance plutôt qu'en simple oubli administratif. Quand vous externalisez un traitement, le RGPD attend un sous-traitant lié par un contrat conforme à l'article 28, agissant sur vos instructions documentées. Une plateforme qui héberge vos vidéos selon ses propres conditions générales n'a rien d'un sous-traitant. C'est un responsable de traitement indépendant, qui traite pour ses propres finalités, et le dépôt vers une société américaine constitue un transfert encadré au sens du chapitre V, un régime pensé pour des relations de sous-traitance, pas pour un partenaire qui poursuit ses propres projets. Votre dispositif de protection des données ne suit tout simplement pas le fichier. Et si la vidéo a déjà servi à entraîner un modèle, les droits censés vous protéger, effacement et opposition, se heurtent au fait que le désapprentissage machine à grande échelle se situe quelque part entre difficile et non résolu. Le régulateur britannique a déjà vu ce scénario. En 2017, il a jugé que le Royal Free NHS Foundation Trust n'avait pas respecté le droit de la protection des données en transmettant 1,6 million de dossiers patients à Google DeepMind pour tester une application. La sanction a visé l'organisme qui a laissé sortir la donnée de son périmètre, pas l'entreprise qui l'a reçue. Données différentes, enjeux moindres, même principe de responsabilité : c'est celui qui dépose qui répond.

Chiffrer l'exposition

Traitez ce sujet comme une exposition de contrepartie non provisionnée, parce que c'est exactement ce que c'est. L'audit n'a rien d'exotique : inventoriez ce que vous avez déposé et où ; lisez chaque clause de licence et chaque mécanisme d'objection, et notez au calendrier les préavis de modification des conditions générales ; décidez, plateforme par plateforme, si la portée de la licence reste proportionnée à l'exposition ; conservez vos propres fichiers maîtres ; négociez des exclusions là où votre compte pèse assez pour peser dans la négociation. Les vidéos de dirigeants identifiables méritent une ligne à part, avec une base juridique documentée, car c'est là que se loge le risque résiduel au sens de l'article 9. C'est exactement ce qu'un audit de maturité IA devrait faire remonter avant tout nouvel engagement sur une plateforme, et cela mérite une ligne permanente dans votre stratégie technique plutôt qu'une prise de conscience ponctuelle.

Je réviserais tout ceci face à des faits nouveaux : une grande plateforme basculant vers un véritable consentement préalable et publiant son taux d'adhésion réel, ou des conditions générales séparant clairement l'exploitation du service de l'entraînement des modèles. Les incitations décrites ci-dessus expliquent pourquoi je n'attends pas cette preuve pour agir. Auditer vos dépôts prend un après-midi. Le visage d'un dirigeant enfermé dans un modèle qu'on ne peut ni inspecter ni rappeler coûte un montant impossible à chiffrer, pour une durée indéterminée. Nous avons déjà écrit sur la nécessité de garder l'humain aux commandes des systèmes d'IA ; le corollaire est de refuser de devenir, sans le savoir ni le vouloir, la matière première brute d'un système qui n'est pas le vôtre. Une petite prime contre une perte potentiellement illimitée, dans une fenêtre qui se referme. Voilà l'arbitrage.

Questions fréquentes

Comment savoir si une plateforme entraîne son IA sur mes contenus ?

Lisez les conditions d'utilisation actuelles ainsi que tout avenant relatif à l'IA ou à l'apprentissage automatique, en cherchant des formulations comme « entraîner », « apprentissage automatique » ou « améliorer nos services », puis vérifiez les paramètres de votre compte : c'est généralement là que se trouve un bouton de retrait. Programmez un rappel à chaque notification de modification des conditions générales, car les changements de périmètre arrivent en général par ce canal, avec une fenêtre d'objection courte.

Le retrait supprime-t-il mes vidéos des modèles déjà entraînés ?

Presque certainement pas. Le retrait arrête au mieux l'ingestion future ; retirer un contenu précis d'un modèle déjà entraîné, ce qu'on appelle le désapprentissage machine, est techniquement difficile et aucune plateforme ne s'y engage. Aucun grand acteur ne publie d'inventaire de ce que ses modèles ont déjà absorbé, ce qui donne la mesure de la visibilité à attendre. Le moment où vous auditez compte plus que le soin apporté à une objection tardive.

Une vidéo de dirigeant est-elle une donnée biométrique au sens du RGPD ?

Pas par défaut. Une image de visage ne devient une donnée biométrique au sens de l'article 4(14) qu'après un « traitement technique spécifique » permettant une identification unique, et le simple fait d'héberger un webinaire n'atteint pas ce seuil. Entraîner un modèle à reconnaître ou à synthétiser une personne précise en est en revanche un candidat sérieux, et à ce stade le régime des données sensibles de l'article 9 s'applique, avec le consentement explicite comme porte de sortie réaliste. Traitez les vidéos de dirigeants comme des données à haut risque et documentez une base juridique avant qu'elles ne quittent votre périmètre.