Remplacer Google Photos : galerie privée sans IA qui scrappe ta vie

Google Photos est le meilleur produit « souvenirs » du marché grand public. C'est aussi l'un des flux de données les plus personnels que tu aies jamais autorisés : visages, lieux GPS, textes lus sur les documents que tu photographies, qui tu fréquentes, où. Si tu veux une galerie dont le métier est stocker et retrouver tes photos — pas entraîner des modèles ni corréler ta vie sociale — tu changes d'outil. Pourquoi partir, alternatives classées (Ente, Immich), migration concrète.

Pourquoi quitter Google Photos

Tes photos ne sont pas « juste des fichiers ». Pour Google, chaque photo est analysée automatiquement : qui apparaît avec qui, où, à quelle fréquence, quels documents scannés (passeports, ordonnances, tableaux scolaires) traînent dans le flux. Le « backup automatique » Android/iOS alimente ce moteur sans que tu y penses chaque soir.

L'IA « gratuite » a un prix structurel. Recherche par objet, souvenirs, éditions magiques : confort réel. Contrepartie : traitement côté serveur sur ton contenu, dans le même compte que Gmail, Drive, Maps et la pub. Ce n'est pas un coffre zero-knowledge.

Le quota et le lock-in émotionnel. Passer de « stockage illimité compressé » à des quotas payants a poussé des millions de gens à payer Google… ou à tout laisser en ligne faute d'énergie pour migrer. Les albums partagés famille, les liens « anyone with the link », les impressions automatiques : friction sociale + dette technique.

Surface d'attaque et compte unique. Une session Google compromise, c'est souvent mail + docs + toute ta vie en images. La galerie est un hub d'identité visuelle, pas une app isolée.

Concret : tu n'as pas besoin de supprimer 10 ans de photos jour 1. Tu arrêtes d'abord le flux entrant (backup auto), tu ouvres un coffre privacy-first, tu migres les albums qui comptent, tu traites le reste comme archive froide.

Critères Privious

Critère	Exigence privacy-first
Chiffrement	E2EE / zero-access quand possible ; sinon self-host maîtrisé
Métadonnées EXIF	Conservées ou contrôlées — pas exfiltrées pour profilage pub
Reconnaissance faciale	Locale ou absente ; pas un produit publicitaire
Clients	Mobile + desktop + upload fiable (Wi‑Fi only possible)
Partage	Liens contrôlés (mdp, expiration), pas graphe social forcé
Sortie	Export complet (pas de prison dorée)
Modèle	Abonnement / don / self-host — pas « gratuit contre scan »

Ranking : Ente et Immich devant iCloud Photos, Amazon Photos, Flickr « gratuit », et évidemment devant « rester sur Google Photos + VPN » (un VPN ne chiffre pas ta galerie chez Google).

Alternatives classées

1. Ente — score Privious : 10 (recommandé)

Pour qui. Remplacer Google Photos maintenant, sans administrer un serveur : apps soignées, E2EE, partage familial possible, posture privacy claire.

Forces. Chiffrement de bout en bout (modèle zero-access sur le contenu), clients mobile/desktop/web, albums, recherche côté modèle Ente (comprends les limites d'une search E2EE vs Google), open source côté clients / approche auditable, tarifs prévisibles une fois hors free tier. Onboarding bien plus proche du grand public qu'un docker Immich.

Limites. Tu ne retrouveras pas magiquement la magie IA Google (souvenirs cinématiques, édition generative agressive) au même niveau — c'est le trade-off. Quotas et prix à caler sur ton volume (vidéos 4K = Go qui montent vite). Dépendance à un service hébergé : tu fais confiance à l'implémentation E2EE et aux ops d'Ente, pas à ton NAS. Features collab / « shared library » famille parfois moins riches que Google selon les versions — vérifie la fiche Privious à jour.

CTA. Voir la fiche Ente sur Privious (plans, scores, alertes).

2. Immich — score Privious : 9

Pour qui. Threat model souveraineté : tu veux ton Google Photos self-hosted (reconnaissance faciale locale, timeline, mobile upload), sur NAS / VPS / mini-PC chez toi.

Forces. Expérience très proche de Google Photos pour un self-host moderne, open source actif, ML local (visages, objets) chez toi, apps mobiles, partage, stacks photos/vidéos. Contrôle total des disques et des backups si tu assimes l'admin.

Limites. Self-host = mises à jour, disques, RAID/restic, HTTPS, accès distant (Tailscale / VPN), restauration testée. Une instance Immich exposée n'importe comment sur Internet est pire que Google Photos. Pas E2EE zero-access « type Ente » par défaut : la confidentiality dépend de ton serveur, tes disques, tes accès. Courbe d'entrée réelle (Docker, volumes, hardware GPU optionnel pour ML).

CTA. Voir la fiche Immich sur Privious.

3. Nextcloud Photos — score Privious : 7

Pour qui. Tu as déjà une instance Nextcloud propre pour Drive/fichiers et tu veux une galerie « assez bonne » sans second stack.

Forces. Un seul compte, sync fichiers + photos, apps existantes, hébergeur ou self-host selon ton setup. Moins d'outils à maintenir qu'Immich + Nextcloud séparés.

Limites. L'UX galerie et le ML restent souvent derrière Immich / Google. Ce n'est pas le meilleur « Photos-first » du marché privacy. Si Nextcloud est déjà bancal (backups absents, HTTPS foireux), y coller ta vie en images empire le risque.

CTA. Voir la fiche Nextcloud sur Privious (module Photos inclus).

Hors podium privacy-first ici : iCloud Photos (meilleur que Google pour beaucoup d'utilisateurs Apple, mais pas un #1 zero-access Privious face à Ente), Amazon Photos, les « gallery VPN », et Syncthing seul sans galerie (excellent pour sync dossiers, pas un remplaçant UX Photos).

Migration pas-à-pas

Objectif : stop backup Google en 48 h, coffre Ente (ou Immich) en production en 2 semaines, archive froide ensuite.

Phase 0 — Couper le flux (jour 0)

1. Android / iOS : désactive la sauvegarde Google Photos (paramètres app → sauvegarde). C'est le geste le plus important.
2. Vérifie que les nouvelles photos restent en local (stockage téléphone) ou partent déjà vers le nouveau coffre.
3. Liste tes albums critiques : famille, identité (scans), voyages, pro, « à ne jamais perdre ».

Phase 1 — Ouvrir le coffre (jour 0–2)

1. Crée le compte Ente (chemin grand public) ou déploie Immich si tu self-hostes.
2. Active 2FA sur le compte / accès admin Immich durci (pas d'admin:admin, HTTPS, maj auto ou rituel).
3. Installe l'app mobile : upload Wi‑Fi only, batterie OK, permissions photos limitées au nécessaire.
4. Test : prends 20 photos, vérifie apparition sur un second appareil, restaure une image.

Phase 2 — Import sélectif (jours 2–14)

1. Priorité 1 : albums identité / admin / famille récente (12–24 mois).
2. Export depuis Google : Takeout Photos (sélection albums si possible) ou download album par album pour les petits volumes.
3. Import dans Ente / Immich. Vérifie sur un échantillon que les dates et lieux d'origine des photos sont bien conservés (les métadonnées EXIF) — tu veux l'historique, pas un tas « uploaded today ».
4. Albums partagés Google encore vivants : préviens la famille, recrée le partage depuis Ente/Immich avec contrôles (lien + mdp si dispo).
5. Ne migre pas 800 Go de bursts et screenshots jour 1. Archive froide = disque chiffré / second Immich library plus tard.

Phase 3 — Double run puis sevrage (jours 14–45)

1. Nouveau flux = uniquement Ente/Immich. Google Photos = lecture seule.
2. Télécharge un Takeout final chiffré (archive .zip → chiffrer localement, stocker hors Google).
3. Supprime côté Google les albums déjà vérifiés ailleurs (checksums / ouverture visuelle). Garde 30 jours de marge mentale.
4. Révoque l'accès Photos des apps tierces dans le compte Google.
5. Option tardive : vider / quitter Google Photos quand Android ne dépend plus du backup Google pour ta tranquillité.

Piège classique. Laisser le backup Google « au cas où » + Ente = tu as doublé le cloud, pas migré. Un seul flux entrant.

Piège self-host. Immich sans backup testé des volumes Postgres + library = illusion de souveraineté. 3-2-1 reste la règle (dont une copie offline chiffrée).

FAQ

Ente lit-il mes photos ? Modèle E2EE / zero-access sur le contenu : l'hébergeur n'a pas les clés en clair comme un Google Photos classique. Tu perds une partie du confort « IA serveur magique » ; tu gagnes la confidentialité. Lis audits / doc à jour sur la fiche Privious.

Immich est-il plus safe qu'Ente ? Self-host bien administré = contrôle maximal des disques et du ML local. Self-host exposé / non patché = risque élevé (fuite massive d'images). Ente = responsabilité sécu partagée avec une équipe produit. Choisis selon tes compétences ops, pas selon le slogan « self-host = toujours mieux ».

Que faire de la reconnaissance faciale ? Chez Google : serveur + compte. Chez Immich : locale sur ton instance. Chez Ente : selon features E2EE du moment — ne suppose pas un clone 1:1 de Google. Si tu refuses tout regroupement automatique des visages : désactive les features ML et organise par albums/dates.

Puis-je garder Google Photos pour la famille et Ente pour le sensible ? Oui en théorie, dangereux en pratique : le téléphone backupera souvent tout vers Google si tu réactives le confort. Segmente plutôt par appareil / dossier, ou accepte Ente/Immich comme chemin unique et partage des albums ciblés à la famille.

Les vidéos 4K / Live Photos ? Prévois le quota et la bande passante. Immich sur NAS avec gros disques gère mieux le volume brut ; Ente demande un plan adapté. Teste un week-end de vidéos avant de promettre la migration complète.

Syncthing / dossier brut suffisent-ils ? Pour un archiviste fichier, oui. Pour une UX « galerie + mobile + partage mamie », non. Couple possible : Syncthing vers NAS + Immich qui indexe le library folder — avancé, documente ton setup.

CTA Privious

Coupe le backup Google Photos aujourd'hui, ouvre la fiche Ente (ou Immich si tu self-hostes), et migre cette semaine un seul album qui compte — famille ou identité. Un flux propre vaut mieux que trois intentions.

Disclosure : modèle type PrivacyTools. Quand un lien d'inscription ou de téléchargement est partenaire, il est signalé Lien partenaire. Les scores et le ranking restent éditoriaux ; les limites restent affichées.