Comment la reconnaissance faciale fonctionne chez Ohhi, et reste privée

Quand on conserve des milliers de photos de famille, on veut pouvoir les chercher par les personnes qui y figurent : toutes les photos de votre fille, de papi, de vous deux ensemble. C'est à cela que sert la reconnaissance faciale. C'est en même temps la fonction la plus sensible qu'un service photo puisse construire, car les caractéristiques du visage sont des données biométriques et relèvent de la catégorie la plus stricte du RGPD. Nous expliquons donc ci-dessous précisément ce qui se passe chez Ohhi, du moment où vous activez la fonction au moment où vous la désactivez.

Ce qui se passe quand vous l'activez

Chez Ohhi, la reconnaissance faciale est désactivée par défaut, pour tout le monde. Tant que vous ne faites rien, nous ne cherchons pas de visages et nous n'enregistrons rien à leur sujet. Si vous activez la fonction dans votre profil (possible à partir de 100 Go de stockage, donc avec Pro et Max), nos propres serveurs en Europe traitent votre bibliothèque en arrière-plan, y compris les photos déjà présentes. Nous utilisons pour cela un modèle open source existant, que nous exécutons tel quel. Aucun service externe n'intervient et vos photos n'entraînent rien.

Pour chaque visage trouvé, nous conservons trois choses : la position dans la photo, un petit recadrage pour l'aperçu de la page Personnes, et une courte série de chiffres qui résume mathématiquement le visage, ce qu'on appelle un embedding. Avec cette série, nous comparons les visages et les regroupons en personnes. Cette comparaison se fait exclusivement au sein de votre propre compte ; vos visages ne sont jamais mis à côté de ceux d'autres utilisateurs.

Les embeddings ne résident que dans notre base de données. Ils ne figurent dans aucune réponse d'API, ne vont chez aucun tiers et ne servent à rien d'autre qu'à regrouper des photos au sein de votre propre compte.

Là où vous gardez la main

Les groupes ainsi créés restent les vôtres. Concrètement :

• C'est vous qui donnez les noms. Nous rassemblons seulement ce qui ressemble à la même personne ; un groupe n'a pas de nom tant que vous n'en tapez pas un, et vous pouvez le retirer à nouveau.
• La fusion vous appartient. Si le système voit par erreur la même personne comme deux groupes, vous les fusionnez en une seule action.
• La suppression suit. Si vous jetez une photo, les données de visage de cette photo disparaissent avec elle.
• Désactiver, c'est effacer. Si vous désactivez la reconnaissance faciale, nous supprimons immédiatement tous les embeddings et groupes de votre compte. Aucune copie ne subsiste. Si vous réactivez la fonction plus tard, l'analyse repart simplement de zéro.

Pour les comptes d'enfants de 13 à 15 ans, un verrou supplémentaire précède tout cela : l'envoi de photos ne fonctionne qu'après qu'un parent a confirmé l'inscription via un lien reçu par e-mail. Sans cette confirmation, il n'y a pas de photos, et sans photos, il n'y a rien à reconnaître.

La reconnaissance faciale est donc chez nous une fonction que vous activez délibérément et que vous effacez tout aussi facilement. Pourquoi nous n'entraînons de toute façon jamais de modèles sur vos images, vous le lisez dans pourquoi nous n'utiliserons jamais vos photos pour entraîner une IA. Où se trouvent ces serveurs et ce que cela signifie juridiquement, c'est dans serveurs en Europe : ce que cela signifie vraiment. Vous trouverez les formules avec 100 Go ou plus sur la page des formules.