À quoi sert le code caché que Paint glisse dans chaque image générée par IA ?
Le 10 juin 2026, le bureau européen de l’IA a publié un code de bonnes pratiques sur la transparence, recommandant de ne pas inclure d’informations sensibles pour la vie privée dans les métadonnées de provenance des images générées par intelligence artificielle. Bien que ce document soit volontaire et ne comporte pas de sanctions, il souligne l’orientation des réflexions européennes sur la question. Un identifiant associé à une requête individuelle se trouve précisément dans la zone que le texte préconise d’éviter.
Cet écart entre obligation et pratique peut s’expliquer par la lutte contre les usages malveillants. En effet, un identifiant par génération permet de tracer plus efficacement la source d’une image problématique, contrairement à un marqueur générique. Microsoft n’a pas encore répondu aux demandes d’éclaircissement du média britannique The Register concernant la finalité de cet identifiant. Le chercheur ayant découvert cette fonctionnalité note que l’appellation « informations d’identification du contenu » est techniquement correcte, mais ne rend pas l’existence de l’identifiant évidente pour l’utilisateur de Windows.
Une donnée personnelle ? La question reste ouverte
Le règlement européen sur la protection des données définit une donnée personnelle comme toute information se rapportant à une personne identifiée ou identifiable, y compris par un identifiant en ligne. La CNIL souligne également l’identification indirecte : un numéro qui, pris isolément, ne signifie rien devient une donnée personnelle s’il permet de singulariser une personne par recoupement. Un identifiant émis par un serveur, associé à une requête et potentiellement à un compte, répond à plusieurs critères de cette définition.
Cependant, il est important de traiter cette conclusion avec prudence. À ce jour, aucune autorité de protection des données n’a été saisie du dossier, et rien n’indique que Microsoft utilise ces identifiants pour remonter à des utilisateurs. Bien que la possibilité technique existe, son usage effectif reste hypothétique. Cette nuance est souvent négligée dans les débats enflammés sur les forums techniques, où il est rapidement affirmé que tout identifiant est un outil de surveillance.
Contexte industriel
Le contexte industriel accentue l’importance de cette problématique. Meta a introduit son propre filigrane invisible, le Content Seal, qui est incompatible avec d’autres standards. De son côté, OpenAI utilise le SynthID de Google pour ses images, tout en y ajoutant des métadonnées C2PA. Chaque acteur construit son propre système de provenance, avec des choix distincts concernant les informations qu’il y inscrit. Les utilisateurs découvrent souvent le contenu de ces systèmes par le biais des recherches académiques, plutôt que par des documents officiels.
Source : The Register
