Un négociateur photographie une maison familiale à Anvers un mardi après-midi. Photos de mariage sur le buffet, horaire scolaire sur le frigo, courrier non ouvert sur la table de cuisine, la voiture du voisin dans l'allée derrière la fenêtre. Le soir même, il dépose trois de ces photos dans un chatbot pour désencombrer les pièces et éclaircir la lumière.

Rien n'a encore été publié. Aucune mention n'est encore due. Mais un transfert de données personnelles d'autrui vers un fournisseur tiers a déjà eu lieu, et c'est l'agence — ni le vendeur, ni l'éditeur de l'IA — qui devra le justifier.

Nous avons déjà écrit sur ce que l'AI Act exige de l'image que vous publiez. Voici l'autre moitié du même processus : ce qui quitte votre bureau avant toute publication. Un problème plus discret, antérieur à l'AI Act, et plus facile à manquer.

Avant de commencer

Cet article constitue une information générale et non un conseil juridique. Il est rédigé du point de vue d'un opérateur logiciel B2B belge, pas d'un cabinet d'avocats. Vérifiez votre situation avec votre conseil ou votre DPO avant de modifier la gestion de vos médias d'annonces.

Ce que contient réellement la photo

Selon l'article 4(1) du RGPD, une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. C'est ce dernier mot qui compte. Une photographie n'a pas besoin de montrer un visage pour identifier quelqu'un, et une photo d'intérieur reste rarement anonyme dès qu'on l'examine sérieusement.

Il ne s'agit pas d'un inventaire théorique. Chacun des éléments ci-dessous apparaît régulièrement dans des reportages photo ordinaires.

Ce qui est visible Données de qui Pourquoi cela compte
Photos de famille, dessins d'enfants Le vendeur et son foyer Images de personnes identifiables, parfois mineures.
Courrier, factures, documents sur un plan Le vendeur Nom et adresse, parfois des éléments financiers.
Médicaments, aides à la mobilité, objets religieux Le vendeur Données sensibles au sens de l'article 9 — santé ou convictions.
Plaques d'immatriculation à travers une fenêtre Voisins et passants Un identifiant indirect qui remonte à une personne.
Plaque de nom, boîte aux lettres, parlophone Le vendeur et les cohabitants Des noms liés à une adresse précise.
Fenêtres, jardins, portes des voisins Les voisins Des personnes qui n'ont jamais rien accepté.

La troisième ligne mérite une attention particulière. Un aérosol sur une table de chevet ou un monte-escalier dans un couloir sont des données relatives à la santé, que l'article 9 range parmi les catégories particulières, soumises à un seuil plus élevé. Peu d'agents les collecteraient délibérément. Ils les collectent en photographiant une chambre.

Le téléversement est déjà un traitement

Les agences situent spontanément le moment de conformité à la publication. Le RGPD le place bien plus tôt. La notion de « traitement » à l'article 4(2) inclut la collecte, la conservation, la modification et la communication par transmission. Envoyer un fichier vers les serveurs d'un tiers entre pleinement dans cette définition.

Au moment où l'image atteint le modèle, l'agence a donc déjà accompli trois actes réglementés : collecter des données personnelles en prenant la photo, les conserver, et les transmettre à un fournisseur. Chacun exige une base légale au titre de l'article 6, et la transmission suppose une relation de sous-traitance correctement contractualisée.

L'agence est ici le responsable du traitement : c'est elle qui détermine les finalités et les moyens. L'outil IA qu'elle utilise est un sous-traitant. Cette distinction n'est pas cosmétique : c'est le responsable qui porte les obligations de responsabilité, et c'est à lui que l'autorité de contrôle écrit.

Pourquoi le chatbot grand public pose problème

L'article 28 du RGPD est sans ambiguïté. Un responsable ne peut recourir qu'à un sous-traitant présentant des garanties suffisantes, et la relation doit être régie par un contrat : l'accord de sous-traitance. Sans contrat, aucune voie licite pour transmettre des données personnelles.

C'est précisément ce qui distingue un compte ChatGPT personnel d'un outil professionnel, et il vaut la peine d'être précis, car la nuance se perd dans les deux sens :

  • Les formules grand public — l'abonnement gratuit ou personnel qu'un négociateur souscrit sur sa propre carte — ne sont pas proposées avec un accord de sous-traitance. Il n'existe aucun contrat responsable/sous-traitant sur lequel s'appuyer.
  • Les offres entreprise et API sont contractualisées différemment, disponibles avec un accord de sous-traitance, et n'entraînent pas le modèle sur le contenu client par défaut. Utilisées délibérément, avec les documents en règle, elles constituent une voie légitime.

Le scénario réaliste en agence n'est pas une décision d'achat réfléchie. C'est un négociateur, un vendredi après-midi, qui utilise le compte qu'il possède déjà. C'est du shadow IT contenant les données personnelles d'un client, et l'agence n'a généralement aucune trace que cela s'est produit.

Deux facteurs aggravants

La conservation. Les images téléversées sont stockées et peuvent, sur les formules grand public, servir à améliorer le service si le réglage n'est pas modifié. Vous ne pouvez pas honorer une demande d'effacement portant sur des données que vous ne maîtrisez plus.

Le registre. L'article 30 impose au responsable de tenir un registre des activités de traitement. Un téléversement que personne n'a consigné est une activité que vous ne pouvez pas documenter — un manquement distinct du téléversement lui-même.

La couche belge dont personne n'a parlé

En juillet 2026, l'Institut professionnel des agents immobiliers (IPI/BIV) a vu approuver un nouveau code de déontologie, contenant pour la première fois des dispositions sur l'IA. Nous en détaillons les effets sur les photos dans ce qui est permis et ce qui ne l'est pas. La couverture médiatique s'est presque exclusivement concentrée sur la transparence et l'étiquetage. Deux exigences ont reçu bien moins d'attention et concernent directement notre sujet.

Le code exige que les données personnelles ne se retrouvent pas dans des systèmes d'IA ouverts, et que les agents soient suffisamment formés pour utiliser des outils d'IA. Il maintient par ailleurs la responsabilité personnelle de l'agent sur ce qui est publié, même lorsque l'IA a produit l'image.

Lues ensemble, ces exigences ne se résument pas à « ne collez pas de données clients dans un chatbot ». Elles reviennent plutôt à : sachez quels outils votre bureau utilise, sachez comment ils traitent les données, et soyez capable de démontrer que les personnes qui les utilisent y ont été formées. Pour une profession dont l'échelle de sanctions se termine par la radiation, c'est un risque d'une tout autre nature qu'une amende marketing.

Point de situation

Le code a été approuvé en Conseil des ministres en juillet 2026. Il entre en vigueur dix jours après sa publication au Moniteur belge. Vérifiez le texte publié et la date d'entrée en vigueur avant de vous fonder sur une formulation précise, y compris la nôtre.

Qui porte plainte, concrètement

Dans ce domaine, l'action ne démarre pas par un contrôle général du marché. Elle démarre par une personne qui s'est reconnue.

  1. Le voisin qui retrouve sa voiture, sa porte d'entrée ou son jardin sur un portail immobilier et s'en offusque. C'est de loin le déclencheur le plus fréquent, et cela ne lui coûte qu'un formulaire.
  2. Le vendeur qui ne s'attendait pas à ce que des photos de sa famille quittent l'agence, et qui dispose d'un droit d'accès (article 15) pour demander où ses données sont parties.
  3. Un concurrent, dans un marché où l'usage de l'IA est devenu un sujet public et un argument de différenciation.

Le plafond de l'article 83(5) est de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu — mais ce chiffre n'est pas le plus utile pour une agence de dix personnes. Le cas instructif est plus modeste et plus concret : une société immobilière grecque aurait été sanctionnée de 20 000 € dans une affaire incluant l'absence de floutage d'une plaque d'immatriculation sur une photo de maison publiée. Une seule plaque non floutée a suffi à faire partie d'une sanction.

Et une plainte coûte cher bien avant toute amende : correspondance avec l'autorité de contrôle, audit de ce que votre bureau a réellement téléversé et où, et — si la réponse est « un compte auquel plus personne n'a accès » — un dossier que vous ne pouvez pas clôturer.

Un processus qui tient

Rien de tout cela ne plaide contre l'usage de l'IA sur la photographie d'annonces. Cela plaide pour le faire par une voie que vous pouvez décrire à un régulateur en une page.

  1. Minimisez avant le téléversement, pas après. Floutez ou recadrez visages, plaques, documents, plaques de nom et fenêtres voisines comme étape standard du processus. L'article 5(1)(c) exige des données adéquates, pertinentes et limitées au nécessaire — et rien de tout cela n'était nécessaire pour vendre le bien.
  2. Utilisez un seul outil approuvé, sous contrat. Un fournisseur contractualisé vaut mieux que cinq comptes personnels. Obtenez l'accord de sous-traitance, lisez où le traitement a lieu, vérifiez si le contenu client entraîne le modèle.
  3. Gardez le traitement dans l'EEE quand c'est possible. Cela supprime toute une catégorie de questions de transfert au titre du chapitre V, au lieu d'y répondre.
  4. Inscrivez-le dans le mandat de vente. Dites clairement au vendeur que les images pourront être traitées par un fournisseur IA à des fins de visuels marketing, et nommez la catégorie de destinataire. La transparence des articles 13 et 14 est peu coûteuse au début d'un mandat et pénible à rattraper après une plainte.
  5. Journalisez chaque génération. Quelle image, quelle opération, quel fournisseur, quand, par qui. C'est ce journal qui transforme un registre article 30 et une demande d'effacement en simple requête plutôt qu'en fouille archéologique.
  6. Fixez une durée de conservation et respectez-la. Photos sources, variantes générées et journal doivent tous avoir une échéance liée à la durée du mandat.
  7. Formez les personnes qui l'utilisent. Le code de l'IPI l'attend désormais explicitement, et c'est le contrôle qui empêche réellement le téléversement du vendredi après-midi.

Relisez cette liste et voyez ce qu'elle n'est pas. Ce n'est pas un prompt, ni un onglet de navigateur. C'est une décision d'achat et un processus — exactement ce qu'un chatbot grand public ne peut pas être, aussi belles soient les images.

Renovae est la voie contractualisée, pas l'onglet de navigateur

Renovae existe pour qu'une agence ait un fournisseur unique à désigner plutôt qu'un dossier de comptes personnels. Le volet données fait partie du produit, pas d'un rattrapage :

  • Une relation B2B avec un accord de sous-traitance, pour que la question de l'article 28 ait un document derrière elle plutôt qu'un haussement d'épaules.
  • Chaque génération est consignée — image source, opération, modèle, horodatage — pour qu'un registre article 30 et une demande d'effacement trouvent leur réponse dans le système.
  • Originaux et projections IA restent distinguables à chaque étape, avec la trace permettant de prouver lequel est lequel.
  • La mention est appliquée par défaut sur les visuels publiés, au moyen du label IA officiel de la Commission européenne plutôt que d'un ornement optionnel.
  • Un espace de travail par agence, pour que les médias cessent de vivre dans le compte personnel qui se trouvait ouvert.
Rejoindre le pilote gratuit Voir d'abord les exemples

Le pilote couvre une campagne bien sans frais, en échange d'un retour honnête. B2B uniquement. L'espace de travail Renovae sur app.renovae.io est actuellement en accès privé pour des agences sélectionnées.

Questions fréquentes

La photo d'une pièce vide constitue-t-elle une donnée personnelle ?

Souvent oui. Une donnée personnelle est toute information se rapportant à une personne identifiée ou identifiable, et une pièce reste rarement anonyme. Photos de famille, courrier sur une table, plaque de nom, ordonnance, voisin à une fenêtre ou plaque d'immatriculation visible à travers : chacun de ces éléments rend quelqu'un identifiable. La question n'est pas la pièce, mais ce qu'elle contient.

Puis-je téléverser des photos d'annonces dans ChatGPT ?

Pas en toute sécurité avec une formule grand public. Traiter des données personnelles via un fournisseur impose un contrat de sous-traitance au sens de l'article 28 du RGPD, et les formules grand public ne sont pas proposées avec un tel contrat. Les offres entreprise et API sont contractualisées différemment et peuvent être utilisées licitement, mais c'est le compte personnel ou gratuit ouvert individuellement qui pose problème.

Faut-il le consentement des voisins visibles sur une photo d'annonce ?

En général non, mais il faut une base légale et il faut minimiser. La commercialisation d'un bien relève normalement de l'intérêt légitime, ce qui suppose une mise en balance. La voiture, la porte d'entrée ou la fenêtre d'un voisin sont des données dont vous n'aviez pas besoin pour vendre le bien : la position défendable est de flouter ou de recadrer plutôt que de justifier leur conservation.

Le nouveau code de l'IPI évoque-t-il l'IA et les données personnelles ?

Oui. Outre ses dispositions de transparence, le code approuvé en juillet 2026 exige que les données personnelles ne se retrouvent pas dans des systèmes d'IA ouverts et que les agents soient suffisamment formés à l'usage des outils d'IA. Il maintient également la responsabilité de l'agent sur ce qui est publié. Il entre en vigueur dix jours après sa publication au Moniteur belge.

Quelles amendes pour ce type de manquement au RGPD ?

L'article 83(5) fixe un plafond de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Les sanctions réelles contre de petites structures immobilières sont bien inférieures : une société immobilière grecque aurait été sanctionnée de 20 000 € dans une affaire incluant l'absence de floutage d'une plaque d'immatriculation. Le risque réaliste est la plainte et l'enquête, pas le plafond.

Sources

  1. Règlement (UE) 2016/679 (RGPD), articles 4, 5, 6, 9, 28, 30 et 83. eur-lex.europa.eu
  2. Autorité de protection des données — orientations et procédure de plainte. autoriteprotectiondonnees.be
  3. VRT NWS, 22 juillet 2026 — reportage sur le nouveau code de déontologie de l'IPI et ses dispositions IA, dont les données personnelles dans les systèmes d'IA ouverts. vrt.be
  4. IPI/BIV — déontologie de l'agent immobilier et procédure disciplinaire. biv.be
  5. Règlement (UE) 2024/1689 (AI Act), article 50 — obligations de transparence, traitées dans notre article précédent.