Deepfake (hypertrucage) : définition, arnaques et parades en entreprise

Qu’est-ce qu’un deepfake ?

Un deepfake est un faux réaliste qu’une IA générative fabrique, souvent à partir d’enregistrements réels. Il prend trois formes.

• La vidéo. L’outil remplace ou anime un visage. En juillet 2026, le FBI décrit des escrocs qui produisent des vidéos pour des échanges en direct avec de prétendus dirigeants d’entreprise.

• La voix. Un clone vocal fait dire n’importe quel texte à une personne. La fiche IA vocale explique pourquoi la voix ne prouve plus l’identité.

• L’image. Une fausse photo place une personne dans une scène qu’elle n’a jamais vécue.

Une voix de synthèse n’est un hypertrucage que si elle peut passer pour la voix authentique d’une personne. L’AI Act exige une ressemblance avec des personnes, objets, lieux, entités ou événements existants. La Commission européenne y inclut ce qui pourrait plausiblement exister.

Arnaque au deepfake : comment les fraudeurs visent-ils l’entreprise ?

Le deepfake rend crédible une escroquerie ancienne, la fraude au président : l’escroc usurpe l’identité d’un dirigeant pour obtenir un virement. En septembre 2026, l’Observatoire de la sécurité des moyens de paiement (Banque de France) juge que l’IA pourrait entretenir ces escroqueries.

Début 2024, un employé financier du bureau de Hong Kong d’Arup, groupe d’ingénierie britannique, rejoint une visioconférence. Il croit y voir le directeur financier et des collègues : tous sont des deepfakes. Il effectue 15 virements, pour l’équivalent d’environ 25,6 millions de dollars américains. Arup confirme l’usage de fausses voix et images (CNN, 16 mai 2024, source secondaire).

Le 15 mai 2025, le FBI signale aussi des messages vocaux générés par IA au nom de hauts responsables américains, envoyés depuis avril 2025. Le deepfake vise enfin la réputation : une fausse vidéo de votre dirigeant, un montage qui humilie un salarié.

Que dit la loi sur les deepfakes ?

La loi n’interdit pas le deepfake en général : elle impose de le signaler, interdit certains usages et en punit d’autres.

• Signaler. Depuis le 2 août 2026, l’entreprise qui utilise l’outil (le déployeur) signale un hypertrucage dès la première exposition (AI Act, article 50, paragraphes 4 et 5). Pour une œuvre manifestement artistique ou satirique, une mention qui ne gêne pas l’œuvre suffit. Selon la Commission européenne, l’étiquette doit être visible ou audible : le marquage technique du fournisseur ne suffit pas.

• Interdire. À partir du 2 décembre 2026, l’AI Act interdit d’utiliser l’IA pour produire, sans consentement, des contenus intimes ou sexuels réalistes d’une personne identifiable (article 5).

• Punir. La loi SREN du 21 mai 2024 étend l’article 226-8 du Code pénal à tout contenu « généré par un traitement algorithmique ». Diffuser sans consentement le deepfake d’une personne expose à un an d’emprisonnement et 15 000 euros d’amende, deux ans et 45 000 euros en ligne. Un trucage évident ou expressément signalé échappe à ce délit. L’article 226-8-1 vise les deepfakes sexuels.

• Protéger les personnes. Le visage et la voix sont des données personnelles, rappelle la CNIL : voir RGPD et IA.

Détecter un deepfake ou prouver l’authenticité : quelle différence ?

La détection cherche après coup les traces d’un trucage ; la provenance prouve d’où vient un contenu authentique.

• L’œil humain se trompe. Une méta-analyse de 56 articles relève 55,5 % de bonnes réponses, sans écart significatif avec le hasard (Diel et al., décembre 2024).

• Les détecteurs vieillissent vite. Sur des deepfakes diffusés en 2024, les meilleurs détecteurs ouverts font de 45 à 50 % moins bien qu’aux anciens tests (Chandra et al., prépublication, mai 2026).

• La provenance a ses limites. Le standard C2PA (Content Credentials) joint à un fichier un manifeste signé qui décrit sa source et son historique. Selon sa spécification 2.5 (octobre 2026), ce manifeste peut se détacher du fichier si ses métadonnées disparaissent. Le standard ne dit pas non plus si ces informations sont « bonnes » ou « mauvaises ».

Que change le deepfake pour votre décision ?

Une voix ou un visage ne prouve plus qui parle : adaptez vos procédures.

• Aucun appel ni aucune visioconférence ne valide seul un paiement. Exigez un contre-appel sur un numéro déjà connu, comme le recommandent la CNIL et le FBI. L’Observatoire conseille aussi un contre-appel en cas de doute. Ajoutez une double validation pour tout nouveau bénéficiaire.

• Convenez de mots de contrôle. Le FBI conseille aux familles un mot secret convenu à l’avance. Adoptez-en un entre dirigeants, assistants et équipe financière.

• Formez plutôt que de miser sur la détection. Un détecteur aide à trier, il ne prouve rien. Formez d’abord ceux qui paient : la maîtrise de l’IA inclut la conscience de ces risques.

• Étiquetez et signez vos propres contenus. L’avatar ou la voix clonée d’un dirigeant dans une vidéo appelle une étiquette visible ou audible. Des Content Credentials sur vos vidéos officielles appuient vos démentis.

• Préparez la réponse à un faux qui circule. Désignez qui dément, où et dans quel délai. La CNIL conseille de signaler d’abord le contenu à la plateforme, de garder les preuves, puis de porter plainte. Un contenu illicite et grave se signale sur Pharos.