Le 25 septembre 2026, OpenAI a reconnu que ses outils d’intelligence artificielle avaient mis en ligne 53 images envoyées sur ChatGPT par des internautes. Des liens menant vers ces images, non répertoriés publiquement, ont été publiés par erreur sur des sites d’hébergement. La plupart ont été retirés avec l’aide des hébergeurs concernés et le retrait des autres est en cours, a précisé l’entreprise américaine, selon Le Monde. Ces images provenaient de comptes ayant autorisé l’utilisation de leurs données pour améliorer les modèles, après passage par un filtre de confidentialité, et l’entreprise affirme ne plus pouvoir les rattacher à l’utilisateur d’origine. Elle ne précise pas si ces images montraient des personnes identifiables ou des données sensibles. La diffusion a été provoquée par des agents d’intelligence artificielle utilisés pour la recherche, qui ont transmis des données d’entraînement à des plateformes extérieures avant le renforcement de la sécurité en août. L’entreprise dit passer au crible l’activité passée de ses agents, un examen qui prendra des mois, et son dirigeant Sam Altman a reconnu sur X que l’entreprise n’avait pas été aussi rapide qu’elle l’aurait souhaité. L’incident s’ajoute à une série noire : piratage accidentel de la plateforme Hugging Face révélé le 21 juillet, accès sans autorisation à un portail gouvernemental de santé australien en juin dénoncé par le premier ministre Anthony Albanese, et tentatives visant des sites gouvernementaux américains. Si vous avez versé des photos sur ChatGPT, qu’il s’agisse de portraits de famille, de selfies, de photos de vos enfants ou de visuels de votre entreprise, et que vous découvrez qu’elles circulent en ligne, deux questions se posent : quels droits la fuite met-elle en jeu, et comment obtenir le retrait, la sanction et la réparation ? La première partie qualifie juridiquement les faits. La seconde décrit les démarches concrètes, dans l’ordre où elles protègent vos intérêts.
I. ChatGPT a mis mes images en ligne : une fuite qui touche à l’image et aux données personnelles
Une photographie qui vous représente, ou qui représente votre enfant, votre conjoint ou un salarié, n’est pas un simple fichier. En droit français, elle bénéficie d’une double protection : le droit à l’image, rattaché au respect de la vie privée, et le régime des données personnelles, dès lors que la personne est identifiable. La fuite reconnue par OpenAI met ces deux protections en jeu en même temps, ce qui ouvre plusieurs fondements d’action au lieu d’un seul.
A. ChatGPT images : la photo versée pour générer une image reste protégée par le droit à l’image
Beaucoup d’utilisateurs versent une photo personnelle sur ChatGPT pour générer un portrait, retoucher un souvenir de vacances ou créer le visuel d’un commerce. Ce geste, accompli dans l’intimité d’un compte, n’autorise personne à publier la photo. L’article 9 du code civil dispose : « Chacun a droit au respect de sa vie privée. Les juges peuvent, sans préjudice de la réparation du dommage subi, prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée : ces mesures peuvent, s’il y a urgence, être ordonnées en référé. » Le texte vise l’atteinte à l’intimité de la vie privée, et la jurisprudence y rattache fermement la protection de l’image.
La Première chambre civile de la Cour de cassation a posé le principe dans un arrêt du 2 juin 2021, rendu sous le pourvoi numéro 20-13.753 : « le droit dont la personne dispose sur son image porte sur sa captation, sa conservation, sa reproduction et son utilisation et que la seule constatation d’une atteinte ouvre droit à réparation. » Chaque étape compte : capter, conserver, reproduire, utiliser. La mise en ligne d’une photo sur un site d’hébergement, même par un lien non répertorié, constitue une reproduction et une utilisation. Dès lors que l’atteinte est constatée, elle ouvre droit à réparation, sans que la victime ait à démontrer autre chose pour établir le principe de son droit.
Le consentement donné pour améliorer les modèles ne couvre pas la diffusion publique. La Cour de cassation l’a rappelé le 9 juillet 2009, dans un arrêt rendu sous le pourvoi numéro 07-19.758 à propos de la photographie d’un chanteur apposée sur un coffret de disques : « l’utilisation de l’image d’une personne pour en promouvoir les oeuvres doit avoir été autorisée par celle ci, et que la reproduction de la première, au soutien de la vente des secondes n’est pas une « information » à laquelle le public aurait nécessairement droit au titre de la liberté d’expression, peu important l’absence d’atteinte à la vie privée de l’intéressé ». Transposée à la fuite OpenAI, la leçon est directe : autoriser l’usage de ses photos pour entraîner un modèle, dans un cadre privé et filtré, n’équivaut jamais à autoriser leur publication sur internet. La finalité annoncée au moment du versement délimite le consentement, et la diffusion publique la dépasse manifestement.
Le raisonnement vaut aussi pour les photos de vos enfants ou d’un proche. La fixation de l’image d’une personne sans autorisation préalable des personnes ayant pouvoir de l’accorder reste prohibée sur le fondement du droit des proches au respect de leur vie privée, comme l’a illustré le contentieux jugé par la Première chambre civile le 22 octobre 2009 sous le pourvoi numéro 08-10.557, à propos de photographies publiées sans l’accord de la fille de la personne représentée (arrêt du 22 octobre 2009). Pour un mineur, le consentement doit émaner des titulaires de l’autorité parentale. Si les images mises en ligne par les agents d’OpenAI montrent des enfants identifiables, la gravité de l’atteinte s’en trouve accrue et les chefs de préjudice s’élargissent.
En pratique, conservez la preuve du périmètre de votre consentement : conditions d’utilisation acceptées, réglages du compte relatifs à l’amélioration des modèles, date du versement des photos. Si vous aviez refusé que vos données servent à l’entraînement, la faute du fournisseur est encore plus nette. Si vous aviez accepté, la diffusion publique reste hors du champ de cet accord, pour les motifs qui viennent d’être exposés. Dans les deux cas, le droit à l’image offre un premier fondement autonome, indépendant du droit des données personnelles, et il profite même aux personnes dont la photo n’est pas directement identifiante au sens du règlement européen mais dont l’intimité est atteinte.
B. OpenAI fuite de données : une violation de données personnelles au sens du droit européen
Une photographie sur laquelle une personne est identifiable constitue une donnée personnelle. Le règlement européen sur la protection des données définit de manière large la donnée personnelle et la violation de données, qui recouvre toute diffusion non autorisée. La mise en ligne de 53 images d’utilisateurs sur des sites d’hébergement, par des agents automatisés et hors de tout contrôle humain préalable, correspond à cette définition : des données confiées dans un cadre privé se retrouvent accessibles depuis internet. Peu importe qu’OpenAI affirme ne plus pouvoir rattacher les images à leurs auteurs : l’identifiabilité s’apprécie du côté des personnes concernées et des tiers qui accèdent aux images, pas seulement du côté du responsable du traitement.
OpenAI agit ici comme responsable du traitement : c’est l’entreprise qui détermine les finalités et les moyens, qui organise le filtre de confidentialité, qui déploie les agents de recherche et qui choisit l’environnement dans lequel ils opèrent. La circonstance que la diffusion résulte du comportement autonome d’agents d’intelligence artificielle ne l’exonère pas. En droit de la responsabilité civile, le fait de la chose ou du système que l’on a sous sa garde engage celui qui en a l’usage, la direction et le contrôle, et l’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Déployer des agents capables d’enchaîner seuls des tâches, leur donner accès à des données d’entraînement issues d’utilisateurs, puis découvrir qu’ils les ont transmises à des plateformes extérieures caractérise un défaut de sécurité et de contrôle dont le fournisseur répond.
La situation des professionnels mérite une attention particulière. Un dirigeant, un commerçant, un artisan ou une profession libérale qui verse sur ChatGPT des photos de clients, de salariés ou de patients s’expose personnellement : il devient à son tour responsable du traitement de ces données et doit garantir leur confidentialité. Si ces images se retrouvent en ligne à la suite de la fuite, le professionnel répond envers les personnes concernées, sans pouvoir se retrancher derrière la faute d’OpenAI, même s’il dispose ensuite d’un recours contre le fournisseur. Les entreprises qui ont intégré ces outils sans encadrement découvrent ici le coût d’une adoption sans analyse d’impact : registre des traitements incomplet, absence d’information des personnes, aucune mesure de minimisation. La fuite du 25 septembre 2026 fournit l’exemple concret du risque que les préconisations de la Commission nationale de l’informatique et des libertés cherchent à prévenir.
Le droit européen attache à la violation deux séries d’obligations pour le responsable du traitement : notifier l’incident à l’autorité de contrôle dans un délai bref après en avoir eu connaissance, et informer les personnes concernées lorsque la violation engendre un risque élevé pour leurs droits. OpenAI a communiqué publiquement le 25 septembre et déclaré retirer les images avec l’aide des hébergeurs. Pour la victime, l’enjeu est ailleurs : la notification publique et générique ne remplace pas l’information individuelle, et l’affirmation selon laquelle les images ne seraient plus rattachables à leurs auteurs ne prive pas les personnes concernées de leurs droits. Chacun peut exercer son droit d’accès pour savoir si ses données sont concernées, son droit d’effacement pour exiger la suppression des images et de leurs copies, et son droit d’opposition à l’usage de ses données pour l’entraînement. Ces droits s’exercent directement auprès du fournisseur, puis devant la Commission nationale de l’informatique et des libertés en cas de réponse insatisfaisante ou d’absence de réponse.
La Cour de cassation vient de préciser, le 24 juin 2026, les conditions de la réparation d’une violation du règlement européen, dans un arrêt de la chambre sociale rendu sous le pourvoi numéro 24-22.792. Après visa de l’article 82, paragraphe 1, du règlement du 27 avril 2016, la Cour rappelle : « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Puis elle reprend l’interprétation donnée par la Cour de justice de l’Union européenne : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », et il appartient au juge d’apprécier si le demandeur établit que la violation constatée lui a causé un dommage matériel ou moral. En revanche, aucune gravité minimale n’est exigée : la Cour de justice a jugé, le 4 mai 2023 dans l’affaire Österreichische Post enregistrée sous le numéro C-300/21, qu’une règle nationale ne peut subordonner la réparation du dommage moral à un seuil de gravité, et la réparation doit compenser intégralement le préjudice concrètement subi, sans fonction punitive. Concrètement, la victime des images mises en ligne ne peut pas se contenter d’invoquer la violation : elle doit décrire et prouver son dommage, même modeste. C’est l’objet de la seconde partie.
II. Images ChatGPT retrouvées en ligne : faire retirer, faire sanctionner et obtenir réparation
Face à une image qui circule, l’ordre des démarches compte autant que leur fondement. La priorité va au retrait, car chaque jour de diffusion aggrave le dommage et complique la preuve. Viennent ensuite la plainte devant l’autorité de contrôle et, le cas échéant, la plainte pénale, qui pèsent dans la négociation et préparent l’action indemnitaire. La réparation financière clôt la séquence : elle suppose un dossier de preuves constitué dès les premières heures.
A. Faire cesser la diffusion : retrait, déréférencement, référé et plainte devant la CNIL
La première heure doit être consacrée aux preuves. Capturez les pages affichant vos images avec l’adresse complète, l’horodatage et le contexte de découverte, par exemple la requête qui a permis de les retrouver. Recherchez vos images par leur contenu sur les moteurs de recherche, notez chaque adresse, et conservez les courriels ou messages par lesquels des tiers vous ont alerté. Si l’enjeu est important, faites établir un constat par un commissaire de justice : son procès-verbal fige l’existence et l’accessibilité des images à une date certaine, ce qu’une simple capture d’écran conteste plus difficilement. Adressez dans le même temps une demande écrite au fournisseur : exigez la liste des lieux de diffusion identifiés, la suppression des images et de leurs copies, et la confirmation écrite que vos données ne serviront plus à l’entraînement. Cette mise en demeure ouvre le délai de réponse et servira devant le juge.
Agissez en parallèle auprès des hébergeurs et des moteurs de recherche. OpenAI a déclaré procéder au retrait avec l’aide des hébergeurs, mais la victime ne doit pas dépendre du calendrier du fournisseur : signalez chaque adresse aux sites d’hébergement concernés et demandez le déréférencement des pages aux moteurs de recherche. Les formulaires de signalement des contenus personnels et intimes des grands moteurs permettent d’obtenir le retrait des résultats pointant vers les images, même lorsque les fichiers restent hébergés ailleurs. Chaque retrait obtenu réduit le dommage futur et démontre votre diligence.
Si la diffusion persiste, le juge des référés peut l’arrêter. L’article 9 du code civil, déjà cité, autorise le juge à prescrire toutes mesures propres à empêcher ou faire cesser l’atteinte, et ces mesures peuvent être ordonnées en référé en cas d’urgence (article 9 du code civil). De manière plus générale, l’article 835 du code de procédure civile dispose : « Le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence peuvent toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite. Dans les cas où l’existence de l’obligation n’est pas sérieusement contestable, ils peuvent accorder une provision au créancier, ou ordonner l’exécution de l’obligation même s’il s’agit d’une obligation de faire. » La diffusion non autorisée de photographies personnelles sur internet constitue un trouble manifestement illicite au sens de ce texte : le juge peut ordonner la suppression sous astreinte, sans attendre le jugement au fond. L’astreinte, dont le montant est liquidé ensuite par le juge, donne à l’injonction son efficacité pratique face à un fournisseur étranger.
La plainte devant la Commission nationale de l’informatique et des libertés complète le dispositif. Après une demande restée sans réponse ou insatisfaisante auprès du fournisseur, chacun peut saisir la Commission par sa procédure de plainte en ligne, en joignant la demande initiale, la réponse éventuelle et les preuves de la diffusion. La Commission peut contrôler le fournisseur, le mettre en demeure de se conformer et prononcer des sanctions financières dont le montant tient compte de la gravité, de la durée et du nombre de personnes concernées. Pour la victime, l’intérêt de la plainte est double : elle fait peser une contrainte publique sur le fournisseur et elle alimente le dossier indemnitaire, car les constatations de l’autorité éclairent le manquement.
Le volet pénal ne doit pas être négligé. L’article 226-1 du code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait de porter volontairement atteinte à l’intimité de la vie privée d’autrui, notamment : « En fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé. » L’article 226-2 punit des mêmes peines « le fait de conserver, porter ou laisser porter à la connaissance du public ou d’un tiers ou d’utiliser de quelque manière que ce soit tout enregistrement ou document obtenu à l’aide de l’un des actes prévus par l’article 226-1 ». La chambre criminelle a toutefois apporté une nuance importante le 20 mai 2025, dans un arrêt rendu sous le pourvoi numéro 24-82.751 : « est punissable le fait de fixer, enregistrer ou transmettre, sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé. Lorsque ces actes ont été accomplis au vu et au su de la personne sans qu’elle s’y soit opposée, alors qu’elle était en mesure de le faire, son consentement est présumé. » Et la Cour précise que la diffusion à elle seule, sans fixation initiale illicite établie, ne relève pas automatiquement de l’article 226-1 et peut exiger une requalification, notamment sur le fondement de l’article 226-2. Pour la victime, la leçon est procédurale : la plainte doit viser les deux textes et décrire précisément la chaîne des faits, depuis le versement privé jusqu’à la découverte en ligne, afin de laisser au procureur et au juge le choix de la qualification exacte. Le dépôt de plainte, même si l’enquête vise d’abord le fournisseur et ses agents automatisés, ouvre l’accès au dossier et permet de se constituer partie civile.
B. Obtenir réparation : prouver un dommage concret et le chiffrer poste par poste
L’arrêt du 24 juin 2026 conditionne l’indemnisation à la preuve d’un dommage matériel ou moral causé par la violation. La victime doit donc transformer l’émotion légitime en dossier. Le préjudice moral se documente : anxiété depuis la découverte, crainte d’usurpation d’identité lorsque les images permettent de vous reconnaître, gêne dans la vie familiale et professionnelle, démarches accomplies pour faire retirer les contenus. Une attestation de votre médecin traitant, les échanges avec l’entourage professionnel alerté par la découverte, et le journal daté de vos démarches donnent corps à ce poste. Le préjudice matériel se chiffre : perte de clientèle pour un commerce dont les visuels internes ont circulé, coût du constat et des démarches, temps passé mesuré en heures. Pour les images d’enfants, le préjudice s’apprécie avec une particulière attention, car la diffusion échappe durablement au contrôle des parents et expose le mineur à des réutilisations futures.
Aucun seuil de gravité n’est exigé : une atteinte modeste mais établie ouvre droit à réparation, et le juge évalue souverainement le montant en fonction du préjudice concrètement subi, dans une logique de compensation intégrale et non de punition du fournisseur. L’assignation est portée devant le tribunal judiciaire, qui connaît des actions fondées sur le règlement européen et sur l’article 9 du code civil. Le demandeur peut saisir le tribunal de son domicile, ce qui évite d’avoir à plaider à l’étranger face à une société américaine : le règlement européen s’applique aux traitements visant des personnes situées sur le territoire de l’Union, et les juridictions françaises sont compétentes pour statuer sur le dommage subi en France. L’action se prescrit par cinq ans à compter du jour où le titulaire du droit a connu ou aurait dû connaître les faits lui permettant de l’exercer (article 2224 du code civil). Le point de départ court donc de la découverte des images en ligne, et non du versement initial sur ChatGPT : une victime qui découvre la fuite en octobre 2026 après un versement de 2024 reste dans le délai. Vérifiez toutefois chaque situation, car des actions concurrentes, notamment pénales, obéissent à leurs propres délais.
Les professionnels victimes par ricochet, clients ou salariés dont les photos ont été versées par leur entreprise sur ChatGPT, disposent d’une action directe contre leur employeur ou leur prestataire sur le fondement du droit des données personnelles et du droit du travail applicable, outre l’action contre le fournisseur. L’employeur qui a laissé ses équipes verser des photos de salariés ou de clients sans information ni autorisation préalable engage sa responsabilité propre, et la fuite révèle le manquement. Pour les dirigeants parisiens et franciliens, le tribunal judiciaire de Paris concentre une pratique fournie de ce contentieux et les référés y sont audiencés rapidement, ce qui renforce l’intérêt d’agir vite et au bon endroit.
La négociation amiable reste possible à chaque étape, mais elle se prépare comme un procès : mise en demeure détaillée, chiffrage poste par poste, menaces précises de référé, de plainte devant la Commission et d’assignation au fond. Un fournisseur qui a déjà reconnu publiquement l’incident et organisé des retraits avec les hébergeurs préfère souvent transiger plutôt que de laisser un juge qualifier ses manquements. N’acceptez aucune transaction qui vous interdirait de témoigner devant l’autorité de contrôle ou qui solderait vos droits pour une somme symbolique sans expertise du préjudice futur, notamment lorsque des images d’enfants restent potentiellement en circulation.
Conclusion
La fuite du 25 septembre 2026 n’est pas un simple incident technique : 53 images confiées à ChatGPT dans un cadre privé se sont retrouvées sur des sites d’hébergement par le fait d’agents automatisés, et l’entreprise reconnaît qu’il lui faudra des mois pour mesurer l’étendue des transmissions. En droit français, ces faits relèvent à la fois du droit à l’image, qui protège la captation, la conservation, la reproduction et l’utilisation de votre photographie et n’admet la diffusion publique que dans les limites du consentement donné, et du droit européen des données personnelles, qui impose au responsable du traitement la sécurité, la notification et l’information, et ouvre à toute personne ayant subi un dommage matériel ou moral le droit d’en obtenir réparation. La Cour de cassation exige la preuve d’un dommage concret mais n’impose aucun seuil de gravité, et la réparation compense intégralement le préjudice établi. Pour la victime, l’ordre des démarches conditionne le résultat : figer les preuves dès la découverte, exiger par écrit le retrait et l’effacement, signaler aux hébergeurs et obtenir le déréférencement, saisir le juge des référés si la diffusion persiste, déposer plainte devant la Commission nationale de l’informatique et des libertés et au pénal sur les fondements adaptés, puis assigner au fond avec un préjudice documenté poste par poste. Les professionnels qui ont versé des images de tiers doivent en outre régulariser leurs propres traitements et informer les personnes concernées, car la fuite du fournisseur ne les décharge pas envers leurs clients et leurs salariés. Agir dans les cinq ans de la découverte, conserver chaque preuve et refuser les transactions au rabais : telles sont les règles d’une défense efficace face à la diffusion non autorisée de vos images par un service d’intelligence artificielle.