Deepfakes : l’IA peut-elle vraiment protéger nos identités numériques ?

Un appel vidéo d’un dirigeant qui ordonne un virement, un enregistrement audio reproduisant la voix d’un proche, une photographie présentée comme la preuve d’un événement : ces contenus ne sont plus nécessairement ce qu’ils semblent être. Les deepfakes, c’est-à-dire des images, vidéos ou sons générés ou manipulés à l’aide de l’intelligence artificielle, fragilisent un réflexe essentiel de la vie numérique : croire ce que l’on voit et ce que l’on entend.

Le risque ne tient pas seulement à la qualité visuelle de certaines créations. Il tient surtout à leur capacité à être diffusées vite, dans un contexte crédible et auprès de personnes pressées de réagir. La réponse ne peut donc pas se limiter à un logiciel qui apposerait une étiquette « vrai » ou « faux ». En mars 2025, la défense la plus solide associe plusieurs leviers : détection technique, preuve de provenance, règles de vérification et sensibilisation.

Pourquoi les deepfakes sont devenus un risque de cybersécurité

Le terme deepfake recouvre deux réalités proches. Un contenu peut être entièrement synthétique, par exemple une voix créée à partir d’un échantillon audio. Il peut aussi être modifié à partir d’un document existant, par exemple lorsqu’un visage est substitué à un autre dans une vidéo. Dans les deux cas, des modèles d’apprentissage automatique analysent de grandes quantités d’images, de séquences sonores ou de mouvements afin de reproduire des caractéristiques reconnaissables.

Ces techniques peuvent avoir des usages créatifs ou techniques légitimes, dans l’audiovisuel, le doublage ou l’accessibilité. Elles deviennent dangereuses lorsqu’elles servent à tromper un interlocuteur ou une audience. Les cybercriminels peuvent ainsi exploiter l’identité d’une personne, la notoriété d’une marque ou l’autorité supposée d’un responsable pour rendre une demande frauduleuse plus convaincante.

Les conséquences dépassent le seul secteur financier. Une vidéo falsifiée peut porter atteinte à la réputation d’un individu, alimenter une campagne de désinformation ou semer le doute sur un document authentique. Des personnalités publiques, parmi lesquelles Scarlett Johansson, ont déjà été confrontées à l’utilisation non autorisée de leur image dans des contenus artificiels. Le même mécanisme peut toucher un salarié, un élu local, un enseignant ou n’importe quel particulier dont des photos et des extraits vocaux sont accessibles en ligne.

Comment l’intelligence artificielle détecte-t-elle un deepfake ?

L’intelligence artificielle est employée pour examiner les traces que peuvent laisser les contenus manipulés. Un outil de détection peut analyser une vidéo image par image, étudier la synchronisation entre le mouvement des lèvres et la parole, repérer des incohérences dans les contours d’un visage ou relever des anomalies liées à la compression du fichier. Pour l’audio, il peut s’intéresser au rythme, aux variations de fréquence, aux respirations ou à des artefacts sonores inhabituels.

Cette approche est nécessaire car l’œil humain, même attentif, ne repère pas toujours les défauts subtils. Elle est aussi appelée à évoluer en permanence : à mesure que les générateurs progressent, les détecteurs doivent être entraînés sur de nouvelles formes de contenus synthétiques et de nouvelles méthodes de manipulation. C’est une course continue entre la fabrication et l’identification des faux.

Il faut toutefois éviter de présenter ces outils comme des arbitres infaillibles. Une vidéo de faible qualité, fortement compressée ou plusieurs fois repartagée peut contenir des défauts qui ressemblent à des signaux de manipulation. À l’inverse, une création très soignée peut échapper à certains détecteurs. Un score de détection constitue donc un indice à examiner, pas une preuve définitive.

Des sociétés spécialisées dans la vérification d’identité, comme iProov, placent ces capacités d’analyse au centre de leurs dispositifs de lutte contre les tentatives d’usurpation. Dans ce domaine, l’objectif n’est pas seulement de repérer un fichier suspect : il s’agit aussi de s’assurer qu’une personne réelle est bien présente lors d’une vérification, et qu’elle ne présente pas une image, une vidéo ou un visage synthétique à une caméra.

Détecter une manipulation ou prouver l’origine : deux protections différentes

La détection cherche une réponse à la question suivante : « Ce contenu semble-t-il avoir été généré ou modifié ? » L’authentification de provenance répond à une autre interrogation : « D’où vient-il et quel parcours a-t-il suivi ? » Ces deux approches sont complémentaires.

Des initiatives telles que Verify, développées avec le concours d’acteurs de l’image comme Sony et Canon, illustrent la seconde piste. Le principe consiste à associer une photographie à une signature numérique, inscrite lors de sa prise ou de son traitement, afin de pouvoir vérifier son authenticité et son origine. L’ambition est de permettre à un média, à une entreprise ou au public de disposer d’éléments techniques sur le parcours d’une image, au lieu de dépendre de son seul aspect visuel.

Des standards de provenance, portés notamment par la Coalition for Content Provenance and Authenticity, poursuivent une logique voisine. Ils visent à conserver des informations sur la création et les modifications d’un contenu. Cette démarche peut aider à identifier une photographie issue d’un appareil ou d’une chaîne de production connue.

Elle ne résout pas tous les problèmes. Une image authentique peut être sortie de son contexte, accompagnée d’une légende trompeuse ou utilisée pour soutenir une fausse affirmation. De même, l’absence de signature ne démontre pas qu’un document est truqué : beaucoup de contenus légitimes sont produits sans ce type de mécanisme.

En entreprise, la procédure compte autant que la technologie

Les organisations sont particulièrement exposées lorsqu’un faux contenu vise à contourner une règle de sécurité. Une voix imitant celle d’un dirigeant peut sembler suffisante pour convaincre un salarié de réaliser un paiement urgent. Une vidéo peut également être utilisée lors d’un échange à distance pour conforter une fausse identité.

La protection commence par des règles simples, applicables même si le contenu paraît parfaitement crédible. Toute instruction sensible, notamment un changement de coordonnées bancaires, une demande de virement ou la transmission de données confidentielles, devrait être confirmée par un canal indépendant. Il peut s’agir d’un appel vers un numéro connu, d’une validation à deux personnes ou d’une procédure interne sécurisée.

La formation des équipes est donc une première ligne de défense. Elle gagne à s’appuyer sur des simulations de fraude réalistes : une demande urgente, une voix familière, une visioconférence inhabituelle ou une sollicitation qui cherche à éviter les contrôles habituels. L’enjeu n’est pas de demander aux salariés de devenir experts en analyse vidéo. Il est de leur apprendre à ralentir, à signaler un doute et à respecter les étapes de validation.

Éduquer le public sans lui faire porter toute la responsabilité

La multiplication des deepfakes impose aussi une éducation aux médias et à l’information. Avant de partager une vidéo spectaculaire ou un extrait audio viral, quelques questions peuvent réduire le risque de relayer une manipulation : qui publie ce contenu ? Est-il repris par des sources fiables ? Existe-t-il une version complète de la séquence ? Son auteur ou son origine peuvent-ils être identifiés ?

Il est utile de se méfier des contenus conçus pour provoquer une réaction immédiate, particulièrement lorsqu’ils suscitent indignation, peur ou urgence. Mais la vigilance ne doit pas se transformer en défiance généralisée. Le danger des deepfakes est aussi de permettre à une personne mise en cause de contester abusivement un document réel en le qualifiant de faux. Cette situation est parfois désignée comme le « dividende du menteur » : l’existence de faux crédibles rend plus facile la remise en cause d’éléments authentiques.

La responsabilité ne peut donc reposer sur les seuls internautes. Les plateformes, les médias, les fabricants d’outils, les entreprises et les pouvoirs publics ont chacun un rôle à jouer. Les plateformes peuvent faciliter le signalement et la contextualisation des contenus. Les rédactions peuvent expliciter leurs méthodes de vérification. Les concepteurs de systèmes d’IA peuvent développer des mécanismes de traçabilité et des garde-fous adaptés.

Quel rôle pour la réglementation en mars 2025 ?

La réponse aux deepfakes est aussi juridique et politique. Les contenus manipulés peuvent toucher au droit à l’image, à la protection des données personnelles, à la fraude, à la diffamation ou encore à l’intégrité d’un processus démocratique. Les règles applicables dépendent de l’usage, de la personne visée et du pays concerné.

Dans l’Union européenne, le règlement sur l’intelligence artificielle, couramment appelé AI Act, est entré en vigueur le 1er août 2024. Ses dispositions s’appliquent selon un calendrier progressif. Parmi elles, les obligations de transparence concernant certains contenus générés ou manipulés par IA, dont les deepfakes, doivent devenir applicables à compter du 2 août 2026.

La réglementation ne remplacera ni la cybersécurité ni l’esprit critique. Elle peut en revanche fixer des obligations de transparence, clarifier les responsabilités et encourager les acteurs à intégrer la sécurité dès la conception de leurs outils. L’équilibre est délicat : il s’agit de protéger les citoyens contre l’usurpation et la désinformation, sans empêcher les usages légitimes de création, de satire ou d’innovation.

Ce qu’il faut surveiller

La capacité de génération de voix, d’images et de vidéos continuera de progresser. Les indices visibles qui permettaient autrefois de repérer un montage sommaire deviendront moins fiables. La défense devra donc moins reposer sur l’intuition face à une image isolée que sur une combinaison de signaux : outils de détection, provenance vérifiable, contrôle des accès, règles de validation et information du public.

La question décisive n’est pas de savoir si chaque internaute pourra reconnaître à coup sûr tous les deepfakes. En mars 2025, aucun dispositif ne le permet. L’enjeu est de construire des environnements où un contenu trompeur ne suffit pas, à lui seul, à déclencher un paiement, à prouver une identité, à ruiner une réputation ou à imposer un récit. C’est dans cette articulation entre intelligence artificielle, méthodes humaines et règles collectives que se joue la confiance numérique.