Conservation des données et confidentialité des API de traitement d'images

Demandez à un utilisateur ce qui l'inquiète dans une fonctionnalité d'images : il ne parlera pas d'architecture de modèle. Il demandera où va la photo et combien de temps elle y reste. Pour des images intimes, cette inquiétude n'est pas de la paranoïa — c'est le bon réflexe, et il mérite une réponse précise plutôt qu'un adjectif rassurant.

Pourquoi la conservation résume tout le débat

Une image posée sur un serveur est un risque qui produit des intérêts. Chaque jour d'existence est un jour de plus où elle peut être exposée par une fuite, réclamée par une réquisition judiciaire, ou trouvée par un employé qui n'aurait jamais dû la voir. Le stockage est bon marché, et c'est précisément le problème : rien n'oblige personne à supprimer, donc les systèmes accumulent des données intimes par défaut plutôt que par décision.

Les trois réponses qui comptent

À l'évaluation d'un fournisseur, trois questions séparent un opérateur sérieux d'une page marketing. Combien de temps l'image source est-elle conservée ? Combien de temps le résultat l'est-il ? Une partie de tout cela sert-elle à l'entraînement ? Une réponse floue à l'une des trois est elle-même une réponse.

• « Nous supprimons les images 10 minutes après la livraison » est un engagement vérifiable.
• « Nous conservons les données aussi longtemps que nécessaire à la fourniture du service » est une phrase qui autorise un stockage indéfini.
• « Nous pouvons utiliser les contenus pour améliorer nos modèles » signifie que les photos de vos utilisateurs deviennent des données d'entraînement.
• Le silence sur le sujet signifie que personne n'a tranché, ce qui est pire qu'une politique gênante.

Supprimer doit vouloir dire supprimer

Une promesse de conservation ne vaut que par son application, et il y a plus de façons de se tromper que de bien faire. La ligne en base est supprimée mais le fichier reste sur disque. La copie primaire disparaît mais le cache CDN continue de servir. L'application supprime mais la sauvegarde nocturne conserve pendant quatre-vingt-dix jours. Les fichiers intermédiaires écrits par le pipeline de traitement ne sont jamais dans le périmètre.

Une réponse crédible nomme toutes les copies. Interrogez spécifiquement sur les caches, les sauvegardes et les artefacts intermédiaires : la réponse vous dira si la politique a été conçue ou seulement rédigée.

L'usage pour l'entraînement est une décision à part

Utiliser le contenu des clients pour améliorer des modèles est un choix commercial, pas une fatalité technique, et pour des images intimes cela mérite un non explicite plutôt qu'une autorisation enfouie. Notez l'asymétrie : le risque de conservation prend fin quand le fichier est supprimé, alors que l'usage pour l'entraînement est irréversible. Des poids ne peuvent pas oublier une photo.

Ce que dit le droit de la protection des données

Sous le RGPD et les régimes comparables, les images intimes relèvent du traitement le plus strict, et deux principes s'appliquent immédiatement. La limitation de la conservation impose de ne pas garder des données personnelles plus longtemps que la finalité ne l'exige — et la finalité, ici, est de livrer un résultat, finalité qui expire à l'instant de la livraison. La minimisation des données impose de ne pas collecter ce dont vous n'avez pas besoin.

Une conservation courte n'est pas qu'une propriété agréable dans ce contexte. C'est le mécanisme par lequel plusieurs obligations deviennent simples : une demande d'effacement est triviale quand les données ont déjà disparu, et une fuite ne peut pas exposer ce qui n'a jamais été gardé.

Les questions à poser avant d'intégrer

1. Quelle est la durée de conservation exacte des entrées et des sorties, exprimée en unités de temps ?
2. Quelles copies cela couvre-t-il : caches, sauvegardes, journaux, fichiers intermédiaires ?
3. Le contenu est-il utilisé, en quelque circonstance que ce soit, pour l'entraînement ou l'évaluation ?
4. Qui, chez le fournisseur, peut accéder aux images stockées, et cet accès est-il journalisé ?
5. Quel est le chemin de suppression si un utilisateur retire son consentement demain ?

Un fournisseur qui répond nettement à ces questions a réfléchi au problème. Un fournisseur qui répond par des adjectifs ne l'a pas fait, et vous hériterez de ce trou la première fois qu'un de vos utilisateurs posera la même question.

Questions fréquentes