Un lundi matin, un message arrive dans votre file de support. Une femme explique qu'une vidéo d'elle circule sur votre plateforme. Son ancien compagnon l'a publiée, et elle n'a jamais donné son accord. Elle joint deux liens : la même vidéo a été remise en ligne sous un autre compte pendant le week-end.
Vous êtes responsable conformité, et ce message n'est pas un ticket comme les autres. La question n'est plus seulement « faut-il retirer le contenu ? ». Elle devient : en combien de temps le retirez-vous, comment l'empêchez-vous de revenir, et pouvez-vous le prouver ?
La réponse courte : en 2026, les régulateurs ont fixé un rythme. Au Royaume-Uni comme aux États-Unis, la règle est désormais de retirer le contenu sous 48 heures après un signalement valide. Les copies doivent être traitées aussi. Ofcom, le régulateur britannique, va plus loin pour les plateformes adultes. Depuis le 30 septembre 2026, il attend une détection par empreintes numériques (hash matching), ou une mesure aussi efficace. L'Union européenne suit : les États membres doivent appliquer une nouvelle directive d'ici juin 2027.
Pourquoi ce sujet est-il devenu prioritaire cet automne ?
Parce que les nouvelles lois et les contrôles sont arrivés en même temps.
Au Royaume-Uni, Ofcom a lancé le 9 septembre 2026 un programme de contrôle sur les images intimes non consenties. Il vise d'abord les services adultes et les messageries, qu'il juge particulièrement exposés. Les nouvelles mesures de ses codes de bonnes pratiques sur les contenus illicites s'appliquent depuis le 30 septembre. Ofcom attend que les services concernés soient conformes à cette date, ou qu'ils agissent pour l'être peu après.
Dans son bulletin d'octobre 2026, Ofcom précise à qui il recommande le hash matching. Sont notamment visés les services à haut risque qui hébergent surtout du contenu pornographique ou qui partagent et stockent des fichiers. Sont aussi visés ceux qui comptent plus de 700 000 utilisateurs actifs par mois au Royaume-Uni. L'Online Safety Act est la loi britannique sur la sécurité en ligne. Ses amendes peuvent atteindre 18 millions de livres ou 10 % du chiffre d'affaires mondial.
En parallèle, une autre loi britannique est arrivée : le Crime and Policing Act 2026, promulgué le 29 avril 2026. Elle oblige les plateformes à retirer une image intime non consentie dans les 48 heures suivant un signalement valide. Les plateformes doivent aussi empêcher que ce contenu revienne, à l'identique ou presque. Selon le gouvernement, des dirigeants pourraient être poursuivis pénalement s'ils ne respectent pas une décision d'Ofcom. D'ici fin 2026, Ofcom consultera le secteur pour intégrer ce devoir dans ses codes, en vue d'une application en 2027.
Ofcom enquête sur X depuis que Grok, l'IA du réseau, a servi à créer des images sexualisées de personnes réelles. Le 14 octobre, Ofcom a fait passer cette enquête à une nouvelle phase. Elle porte désormais sur le traitement des contenus illicites et sur les outils de signalement. Ofcom regarde donc vos méthodes, pas seulement le résultat.
Aux États-Unis, la FTC (Federal Trade Commission, l'autorité de protection des consommateurs) applique le Take It Down Act depuis le 19 mai 2026. Les plateformes qui hébergent surtout du contenu publié par leurs utilisateurs doivent proposer une demande de retrait claire et facile à trouver. Elles doivent ensuite retirer le contenu et ses copies identiques connues dans les 48 heures. La loi couvre aussi les deepfakes, c'est-à-dire les images truquées (« digital forgeries »). L'amende civile peut atteindre 53 088 dollars par infraction.
Dans l'Union européenne, le DSA (Digital Services Act, le règlement européen sur les services numériques) s'applique déjà. Son article 16 oblige tout hébergeur à offrir un mécanisme de signalement et de retrait, puis à décider vite en expliquant sa décision. La directive 2024/1385 porte sur la lutte contre la violence à l'égard des femmes. Son article 5 fait du partage non consenti d'images intimes ou truquées une infraction, deepfakes compris. Les États membres ont jusqu'au 14 juin 2027 pour l'intégrer dans leur droit national.
Que doit savoir faire votre plateforme, concrètement ?
Ces textes se résument en quatre capacités. Si vous ne pouvez pas les démontrer, c'est là qu'il faut travailler.
| Capacité | La question à se poser | La preuve attendue |
|---|---|---|
| Recevoir | Une victime sans compte trouve-t-elle le formulaire en moins d'une minute ? | Parcours documenté, accessible sans se connecter, numéro de suivi donné à chaque demande |
| Décider vite | Le contenu signalé est-il retiré ou bloqué sous 48 h ? | Heure exacte du signalement, de la décision et du retrait |
| Empêcher le retour | Une copie identique est-elle bloquée au moment de la mise en ligne ? | Empreinte ajoutée à la liste de blocage, journal des copies détectées |
| Expliquer | La personne sait-elle ce qui a été fait et comment contester ? | Réponse expliquant la décision, voie de recours, statistiques de délais |
Beaucoup de plateformes adultes ont un formulaire de signalement pensé pour les abonnés connectés. Or la personne qui vous écrit n'a presque jamais de compte chez vous. La FTC recommande d'ailleurs de donner un numéro à chaque demande et d'informer la personne de son avancement.
Pourquoi le hash matching ne suffit-il pas à lui seul ?
Le hash matching compare l'empreinte d'un fichier à une liste de contenus déjà reconnus comme illicites. Il est très efficace contre la remise en ligne d'une vidéo déjà retirée, comme celle du week-end dans notre exemple. Ofcom en a donc fait la mesure de référence.
Mais une empreinte détecte seulement ce qui est déjà connu. Un nouveau contenu passera la première fois. Une image créée par IA à partir de la photo d'une personne réelle passera aussi. Ofcom le reconnaît et accepte d'autres mesures aussi efficaces.
La vraie protection se joue avant la publication. Sur une plateforme adulte, la meilleure défense est de savoir qui apparaît dans le contenu et si chaque personne a dit oui. Les réseaux de cartes l'exigent déjà depuis l'annonce Mastercard AN 5196. Cette règle demande de vérifier l'identité et l'âge du créateur et de chaque personne visible. Elle demande aussi d'archiver un consentement écrit et de modérer chaque contenu avant sa mise en ligne. Enfin, elle impose de traiter les demandes de retrait en sept jours ouvrés. Les nouvelles lois réduisent ce délai à 48 heures pour les images intimes non consenties.
Et les deepfakes ?
C'est le cas le plus difficile : la personne représentée n'a jamais été filmée. Votre vérification des co-participants ne la repérera pas, car elle ne figure pas dans vos dossiers.
Ce qu'on ferait à votre place :
- Écrire clairement dans vos CGU (conditions générales d'utilisation) que les contenus synthétiques sont interdits quand ils montrent une personne réelle sans son accord. Préciser que leur publication entraîne un bannissement.
- Traiter un signalement de deepfake comme un signalement d'image intime, avec le même délai de 48 heures. Les lois britannique et américaine visent explicitement les images truquées ou générées.
- Croiser l'analyse par IA et la vérification d'identité. Un visage peut ne correspondre à aucun créateur ni co-participant vérifié sur le compte. Dans ce cas, une personne de votre équipe doit vérifier le contenu avant publication.
- Faire tenir le bannissement. Un compte fermé pour deepfake qui revient deux jours plus tard avec une autre adresse email : voilà ce que vous ne voulez pas expliquer à un régulateur. Le bannissement doit suivre l'identité vérifiée de la personne, pas le compte.
Ce qu'on ferait si on était responsable conformité aujourd'hui
Mesurer avant de promettre. Calculez vos délais réels sur six mois : du signalement à la première action, puis du signalement au retrait. Souvent, la médiane est bonne, mais les signalements du vendredi soir attendent le lundi. Or les 48 heures courent aussi le week-end.
Créer une file dédiée. Un signalement d'image non consentie ne doit pas arriver dans la file générale du support. Il lui faut une priorité, une équipe formée et une permanence. Premier geste : masquer le contenu avant même l'analyse complète.
Relier retrait et empreinte. Chaque retrait pour ce motif doit ajouter automatiquement l'empreinte du contenu à votre liste. La copie suivante est alors bloquée dès sa mise en ligne, au lieu d'être signalée trois jours plus tard.
Préparer votre dossier. Un jour, Ofcom, l'Arcom (le régulateur français du numérique) ou votre PSP vous posera des questions. Le PSP est le prestataire qui vous permet d'encaisser par carte. Vous devez alors fournir en quelques minutes votre procédure écrite, vos statistiques de délais et des exemples anonymisés. Ajoutez la preuve que les personnes visibles dans les contenus en cause avaient donné leur accord. Les sanctions de 2026 l'ont montré : mal répondre à une demande d'information est déjà une faute.
Parler à votre PSP avant qu'il ne vous en parle. Pour une banque acquéreuse, une affaire mal gérée menace sa réputation et son statut auprès des réseaux de cartes. Montrez-lui votre procédure et vos délais sans attendre : votre dossier en sortira renforcé.
Comment Pleenk Approve peut vous aider
Pleenk Approve agit en amont, et sur les preuves. Le cœur de Pleenk, c'est une identité numérique unique. Le créateur et chaque co-participant sont vérifiés avec une preuve du vivant, avant publication. Leur identité est chiffrée par Pleenk et rangée dans un wallet unique : votre plateforme reçoit une preuve, jamais la pièce d'identité. Leurs consentements et leurs éventuels bannissements sont rattachés à ce wallet. Un bannissement suit donc la personne, pas le compte. Pleenk gère aussi le droit de retrait et mesure le temps qu'il vous faut pour retirer un contenu quand un consentement est retiré. Votre modération reste la vôtre : Pleenk se connecte à votre outil de modération par IA et garde la preuve que les contrôles ont été faits. Pleenk ne remplace ni votre procédure de retrait ni votre outil de comparaison d'empreintes (hash matching). Vous revoyez votre procédure de signalement et de retrait avant les consultations d'Ofcom ? Écrivez-nous à contact@pleenk.com.
Cet article est fourni à titre d'information et ne constitue pas un conseil juridique. Les textes cités évoluent, et leur application dépend de votre service et de vos marchés. Faites valider vos choix par votre avocat.
Sources
- Ofcom – Programme de contrôle sur les images intimes non consenties (9 septembre 2026) : https://www.ofcom.org.uk/online-safety/illegal-and-harmful-content/Enforcement-programme-into-measures-being-taken-by-services-to-prevent-users-from-encountering-or-sharing-non-consensual-intimate-imagery-NCII
- Ofcom – Online Safety industry bulletin, octobre 2026 (15 octobre 2026) : https://www.ofcom.org.uk/online-safety/protecting-children/online-safety-industry-bulletin-october-2026
- GOV.UK – Crime and Policing Act 2026 : fiche sur les abus d'images intimes (29 septembre 2026) : https://www.gov.uk/government/publications/crime-and-policing-act-2026-factsheets/crime-and-policing-act-2026-intimate-image-abuse-factsheet
- Kingsley Napley – Deepfakes et Crime and Policing Act 2026 (mai 2026) : https://www.kingsleynapley.co.uk/our-insights/articles/deepfakes-to-deletion-orders-tackling-technology-enabled-sexual-offending-in-the-crime-and-policing-act-2026/
- BusinessDay / Reuters – Ofcom et le traitement des contenus illicites par X (14 octobre 2026) : https://www.businessday.co.za/world/2026-10-14-concerns-persist-over-xs-handling-of-illegal-content-uk-media-regulator/
- FTC – Take It Down Act enforcement starts now (mai 2026) : https://www.ftc.gov/business-guidance/blog/2026/05/take-it-down-act-enforcement-starts-now-what-know-about-ftc-tida
- FTC – Complying With the Take It Down Act : https://www.ftc.gov/business-guidance/resources/complying-take-it-down-act
- EUR-Lex – Règlement (UE) 2022/2065 (Digital Services Act) : https://eur-lex.europa.eu/eli/reg/2022/2065/oj
- EUR-Lex – Directive (UE) 2024/1385 sur la lutte contre la violence à l'égard des femmes : https://eur-lex.europa.eu/eli/dir/2024/1385/oj
- Age Verification Providers Association – Exigences Mastercard pour les marchands de contenu adulte : https://avpassociation.com/thought-leadership/mastercard-specialty-merchant-requirements-drive-age-verification/