Deepfake : le reconnaître et l'utiliser avec responsabilité

Réponse courte : un deepfake est une image, un son ou une vidéo créé ou modifié par intelligence artificielle, qui ressemble à une personne, un lieu ou un événement réel et paraît authentique. Cette technologie sert aussi à des usages créatifs et amusants ; le préjudice naît lorsqu'elle est utilisée sans le consentement de la personne, pour tromper. Dans cet article, nous présentons la définition, les principaux risques, la façon de vérifier si un contenu est authentique et ce qu'est un usage responsable. Cet article ne constitue pas un conseil juridique.

Qu'est-ce qu'un deepfake exactement ?

Le règlement européen sur l'IA définit le « deep fake » comme un contenu d'image, de son ou de vidéo généré ou manipulé par IA, qui ressemble à des personnes, objets, lieux, entités ou événements existants et qui pourrait, à tort, être perçu comme authentique ou véridique. La note commune de la NSA, du FBI et de la CISA aborde le deepfake comme un média synthétique généré ou modifié grâce à l'apprentissage automatique ou profond. Les deux définitions ont un point commun : le contenu est artificiel et paraît réel.

Toute image générée par IA n'est pas un deepfake. Une scène manifestement imaginaire, une image de style dessin animé ou un paysage qui ne ressemble à personne n'essaie pas de passer pour le réel. Le problème vient de l'imitation d'un visage, d'une voix ou de propos réels, de façon à être pris pour vrai.

Quels préjudices un deepfake peut-il causer ?

• Escroquerie : selon un avertissement de la FTC, des escrocs peuvent cloner la voix d'un proche à partir d'un court enregistrement publié en ligne et d'un programme de clonage vocal ; ils appellent alors en prétextant une urgence financière.
• Usurpation d'identité dans les organisations : la note de la NSA, du FBI et de la CISA cite parmi les menaces principales l'imitation de marques, de dirigeants et de responsables financiers, ainsi que de fausses communications destinées à accéder à des réseaux.
• Désinformation : une vidéo ou un son montrant un événement qui n'a pas eu lieu peut influencer les décisions des personnes.
• Atteinte à la réputation et à la vie privée : montrer une personne disant ou faisant ce qu'elle n'a pas fait, sans son accord, peut conduire au harcèlement, au chantage et à la perte de réputation.

La note de la NSA, du FBI et de la CISA indique que les acteurs malveillants soutenus par des États sont peu visibles dans son analyse, mais que l'usage risque de croître, car des acteurs moins compétents accèdent facilement à ces techniques.

Comment savoir si un contenu est un deepfake ?

Il n'existe pas de méthode infaillible. Les incohérences du visage, des doigts, des oreilles, des dents, de la lumière, un décalage entre les lèvres et le son, ou un arrière-plan étrange peuvent parfois trahir un faux, mais ces indices s'estompent à mesure que les modèles progressent. Mieux vaut donc vérifier la source et le contexte que de se fier à son seul regard.

Méthode	À quoi elle sert	Ses limites
Vérifier la source	Qui a publié le contenu, où est-il apparu en premier, existe-t-il une publication fiable ?	Un compte réputé peut aussi avoir relayé un faux
Interroger le contexte	L'événement est-il relayé par d'autres sources fiables ?	Pour les événements récents, la vérification prend du temps
Observer les indices visuels	Incohérences des mains, des dents, des écrits, des ombres et de la lumière	Les bons modèles peuvent ne plus laisser ces indices
Recherche d'image inversée	Savoir si l'image est dérivée d'une ancienne photo	Les créations récentes ne donnent aucun résultat
Marques d'origine	Identifiants de contenu (C2PA), filigrane	Une marque peut être supprimée ; son absence ne prouve pas que le contenu est authentique
Rappel (pour le son)	Appeler la personne au numéro que vous connaissez	Si vous ne la joignez pas, vérifiez auprès d'un autre proche

C2PA est une coalition qui élabore des normes techniques ouvertes sur l'origine et l'authenticité des contenus ; la page des Content Credentials explique qu'un symbole informe sur l'origine du contenu, et qu'un clic permet de consulter la façon dont il a été produit et son historique de modification. Cette même page reconnaît que des acteurs malveillants continueront d'essayer de faire passer des contenus synthétiques pour réels. Ces marques sont donc des aides, non des preuves absolues.

Que faire face à une arnaque vocale ?

Les recommandations de la FTC sont claires : ne vous fiez pas à la voix ; pour vérifier l'histoire, appelez la personne au numéro que vous connaissez ; si vous ne la joignez pas, essayez par l'intermédiaire d'un autre membre de la famille ou d'un ami ; méfiez-vous des demandes de paiement difficiles à annuler, comme les virements, les cryptomonnaies ou les cartes cadeaux. Si vous repérez une escroquerie, signalez-la à l'organisme compétent.

À quoi ressemble un usage responsable ?

• Consentement : si vous voulez utiliser le visage, la voix ou l'apparence d'une personne réelle, obtenez d'abord son accord explicite.
• Ne pas nuire : ne produisez aucun contenu qui humilie, trompe, harcèle ou fait passer une personne pour complice de quelque chose.
• Transparence : lorsque vous partagez une scène réaliste, dites clairement qu'elle est artificielle.
• Personnalités publiques et sujets d'actualité : évitez en particulier les contenus susceptibles d'être pris pour vrais dans un contexte électoral ou journalistique.
• Enfants : ne produisez pas ce type de contenu à partir de l'image d'un enfant.

Que dit le droit ? L'exemple du règlement européen sur l'IA

L'article 50 du règlement européen sur l'IA impose des obligations de transparence. Selon l'article 50, paragraphe 4, les acteurs qui utilisent un système pour créer ou modifier un deepfake et qui diffusent ce contenu (les acteurs situés côté utilisateur) doivent indiquer qu'il a été généré ou manipulé artificiellement. Lorsque l'œuvre est artistique, créative, satirique ou fictionnelle, l'obligation se limite à signaler l'existence du contenu de façon appropriée, sans nuire à la présentation ni à la jouissance de l'œuvre. La FAQ de la Commission européenne indique que les obligations des paragraphes 2 et 4 s'appliquent depuis le 2 août 2026, et que les systèmes déjà mis sur le marché bénéficient d'une transition jusqu'au 2 décembre 2026 pour le marquage ; elle signale aussi la publication d'un code de bonnes pratiques volontaire sur l'étiquetage des deepfakes. Pour plus de détails, lisez notre article Étiqueter les contenus IA. Les règles de votre pays peuvent différer ; cet article ne constitue pas un conseil juridique.

Que faire si vous tombez sur un deepfake ?

1. Ne le partagez pas : la diffusion amplifie le préjudice.
2. Vérifiez la source et le contexte.
3. Signalez le contenu via l'outil de signalement de la plateforme.
4. Si vous êtes personnellement touché, gardez les preuves : captures d'écran et liens.
5. En cas d'escroquerie ou de chantage, saisissez les autorités compétentes et votre banque ; des organismes comme la FTC disposent de lignes de signalement.
6. Si vous êtes la cible, ou si un proche l'est, faites-vous accompagner par un professionnel du droit.

Comment se protéger dans la famille et au travail ?

La note de la NSA, du FBI et de la CISA recommande aux organisations des mesures à la fois techniques et non techniques : outils de détection et de vérification de la source, protection des communications des personnes sensibles, partage d'informations, préparation et entraînement à la réponse aux attaques, et sensibilisation des employés. Vous pouvez adapter ces recommandations à votre échelle.

• Règle du second canal pour les paiements : toute demande de paiement ou de changement de coordonnées reçue par message, voix ou vidéo doit être confirmée par un autre canal que vous connaissez.
• Ralentir face à la pression : les escrocs jouent sur l'urgence ; une pression du type « envoie tout de suite » est un signal d'alerte.
• En famille, en parler : expliquez à vos proches, surtout les plus âgés, que l'arnaque au clonage vocal existe, et convenez d'une méthode de vérification commune ; il s'agit d'une suggestion générale.
• Au travail, écrire une procédure : précisez par écrit qui valide quelle demande et par quel canal.
• Réfléchir à ce que vous publiez : les enregistrements de voix et de vidéo que vous partagez publiquement peuvent servir à l'imitation ; relisez vos publications.

Erreurs fréquentes

• Faire confiance à son regard : un bon deepfake peut être impossible à repérer à l'œil nu.
• Envoyer de l'argent parce qu'on reconnaît la voix : une voix peut être clonée ; rappelez toujours la personne.
• Croire qu'un contenu sans filigrane est authentique : les marques peuvent être supprimées, ou ne jamais avoir été ajoutées.
• Produire un contenu pour rire sans consentement : le préjudice ne dépend pas de l'intention.
• Partager sans vérifier : la désinformation se propage vite.

Les étiquettes et les marques sont-elles fiables ?

Voir l'étiquette « générée par IA » sur un contenu est un indice utile, mais l'absence d'étiquette ne prouve pas que le contenu est réel : les personnes malintentionnées n'en mettent pas, ou tentent de supprimer la marque. L'inverse est aussi vrai : une étiquette peut elle-même être falsifiée. Les étiquettes ne remplacent donc pas la vérification de la source et du contexte ; elles s'y ajoutent. Pour les règles d'étiquetage, lisez notre article Étiqueter les contenus IA.

En résumé

• Un deepfake est un contenu généré ou modifié par IA qui ressemble à une personne ou à un événement réel.
• Escroquerie, usurpation d'identité, désinformation et atteinte à la réputation figurent parmi les principaux risques.
• L'œil ne suffit pas : vérifiez la source, le contexte et, pour la voix, rappelez la personne.
• Les marques d'origine aident mais ne prouvent rien à elles seules.
• Usage responsable : consentement, absence de préjudice et transparence sur le caractère artificiel.