Hong Kong, janvier 2024. Un employé reçoit un appel visio de son directeur financier. Le visage est le bon, la voix est la bonne, les directives sont claires : transférer 25 millions de dollars. Sauf que de l’autre côté de l’écran, personne n’est réel. Tout est synthétique — un deepfake vidéo en temps réel. En France, une femme verse 830 000 € à un escroc qui se fait passer pour Brad Pitt grâce à des vidéos générées par IA. Ces affaires ne sont plus des curiosités technologiques. Elles sont le symptôme d’une crise systémique.
Selon une étude Surfshark publiée en 2025, 38 pays ont déjà été touchés par des manipulations électorales par deepfakes, exposant 3,8 milliards de personnes. Le Forum économique mondial a classé la désinformation amplifiée par l’IA comme le deuxième risque mondial en 2024, juste derrière les événements climatiques extrêmes. Le phénomène dépasse la simple escroquerie : les hypertrucages menacent les fondements mêmes de la confiance publique — intégrité des élections, dignité des personnes, fiabilité de l’information.
Quand l’IA fabrique la réalité
Le règlement européen sur l’IA (AI Act) fournit la première définition juridique harmonisée. Son article 3(60) définit le deepfake comme un « contenu image, audio ou vidéo généré ou manipulé par l’IA qui ressemble à des personnes, des objets, des lieux, des entités ou des événements existants et qui semblerait faussement authentique ou véridique ».
Cette définition est plus large qu’on ne le pense. Elle couvre non seulement les vidéos de visages superposés, mais aussi les clonages vocaux, les images photoréalistes générées de toute pièce et les manipulations partielles — modification de paroles, lip-syncing, altération d’expressions. La CNIL utilise le terme « hypertrucage » comme équivalent français et précise que ces contenus sont réalisés grâce à des techniques d’apprentissage profond, notamment les réseaux antagonistes génératifs (GAN).
La fraude de Hong Kong illustre parfaitement la chaîne d’attaque typique d’un deepfake à visée financière :
Un fléau devenu incontrôlable
Les chiffres donnent le vertige. L’ampleur du phénomène a explosé en quelques mois, et aucun secteur n’est épargné.
Le phénomène frappe de manière disproportionnée les femmes. Comme le souligne Polytechnique Insights, la quasi-totalité des deepfakes accessibles en ligne sont à caractère sexuel et ciblent des femmes, y compris des personnalités politiques et des journalistes. L’enjeu dépasse la technologie : c’est une question de droits fondamentaux.
L’arsenal pénal français
La France dispose depuis la loi SREN du 21 mai 2024 (loi visant à sécuriser et réguler l’espace numérique) d’un arsenal pénal spécifique. Cette loi a modifié et complété plusieurs articles du code pénal pour couvrir explicitement les contenus générés par IA.
Le montage frauduleux
L’article 226-8 du code pénal, modifié par la loi SREN, sanctionne désormais « le fait de porter à la connaissance du public ou d’un tiers un contenu visuel ou sonore généré par un traitement algorithmique et représentant l’image ou les paroles d’une personne, sans son consentement ». L’infraction est constituée si le caractère artificiel du contenu n’apparaît pas de manière évidente ou s’il n’est pas fait mention de l’utilisation de l’IA.
Le deepfake à caractère sexuel
La loi SREN a créé cette infraction spécifique pour lutter contre les deepfakes pornographiques. Elle ne nécessite pas que le contenu ait été diffusé publiquement : la simple publication suffit.
Le double verrou européen
L’AI Act et le DSA forment un tandem réglementaire qui encadre les deepfakes sous deux angles complémentaires : la production et la diffusion. Ces deux régimes ne se confondent pas, mais se renforcent mutuellement.
Transparence à la source : l’AI Act
L’article 50 de l’AI Act impose un régime de transparence à deux niveaux, applicable en août 2026.
Pour les fournisseurs (développeurs de systèmes d’IA) — article 50(2) : les contenus synthétiques doivent être marqués dans un format lisible par machine et détectables comme artificiellement générés. Cela inclut le tatouage numérique (watermarking), les métadonnées, les empreintes cryptographiques ou d’autres techniques appropriées.
Pour les déployeurs (utilisateurs professionnels) — article 50(4) : toute personne utilisant un système d’IA pour générer ou manipuler du contenu constituant un deepfake doit divulguer que ce contenu a été artificiellement généré ou manipulé.
| Obligation | Qui | Quoi | Exception |
|---|---|---|---|
| Marquage machine-readable | Fournisseurs d'IA | Watermark, métadonnées, empreinte | Fonction d'édition standard |
| Divulgation deepfake | Déployeurs | Mention visible pour l'utilisateur | Contenu artistique / satirique (allégée) |
| Divulgation texte IA | Déployeurs | Mention si texte d'intérêt public | Contenu sous contrôle éditorial humain |
| Détection de contenus manipulés | Plateformes (via DSA) | Systèmes de détection et d'étiquetage | — |
Le code de bonnes pratiques sur la transparence des contenus IA, dont le premier brouillon a été publié par la Commission européenne en décembre 2025, prévoit notamment la création d’une icône commune européenne pour signaler les deepfakes. L’exception pour les contenus « manifestement artistiques, créatifs, satiriques, fictifs » ne supprime pas l’obligation de transparence — elle la limite à une mention non intrusive qui ne gêne pas la jouissance de l’œuvre.
Le filet de sécurité des plateformes : le DSA
Le règlement sur les services numériques (DSA), pleinement applicable depuis février 2024, cible les canaux de diffusion. L’article 35(1)(k) impose aux très grandes plateformes (VLOP, celles dépassant 45 millions d’utilisateurs dans l’UE) de marquer proactivement les contenus deepfakes. Comme l’analyse le cabinet Taylor Wessing, cette obligation entraîne les plateformes dans une « course technologique perpétuelle » contre des techniques de génération toujours plus sophistiquées.
Le 3 février 2026, la justice française a marqué un tournant en ordonnant la perquisition des bureaux de X (ex-Twitter) à Paris dans le cadre d’une enquête portant notamment sur la diffusion de deepfakes et d’images pédopornographiques générées par l’IA Grok. L’ère de l’impunité pour les plateformes est révolue.
Trois sentinelles, un même combat
La France a structuré un dispositif institutionnel à trois acteurs complémentaires pour lutter contre les deepfakes et la désinformation.
Les trois autorités coordonnent leurs actions via une convention tripartite ARCOM-CNIL-DGCCRF signée en juin 2024 pour la mise en œuvre du DSA. Cette articulation institutionnelle est un atout français dans la lutte contre la désinformation.
Démocratie sous influence synthétique
L’impact des deepfakes sur les processus démocratiques est l’un des risques les plus préoccupants identifiés à ce jour. Selon le rapport du groupe Insikt, 82 deepfakes ciblant des personnalités publiques dans 38 pays ont été identifiés entre juillet 2023 et juillet 2024.
Les exemples concrets sont édifiants. En Slovaquie, un deepfake audio a été diffusé la veille des élections pour fabriquer de fausses informations sur la fraude électorale. Aux États-Unis, un faux appel robotisé imitant Joe Biden a tenté de décourager les électeurs démocrates lors de la primaire du New Hampshire en janvier 2024. En Allemagne, un réseau piloté par la Russie a diffusé plus d’une centaine de faux sites vidéos ciblant des candidats.
La France, qui se prépare aux élections de 2026, est directement concernée. Une question sénatoriale de 2025 souligne que la procédure de référé de la loi de 2018 contre la manipulation de l’information « reste trop lente face à la viralité des contenus falsifiés ». L’annulation du premier tour de l’élection présidentielle en Roumanie en raison de soupçons d’ingérences numériques a conduit la Commission européenne à organiser un stress test avec les grandes plateformes en mars 2025.
Pour les partis politiques et les équipes de campagne, il est désormais indispensable de mettre en place une veille active sur les deepfakes, de préparer des protocoles de réponse rapide et de collaborer avec les services de Viginum.
La violence invisible
Les deepfakes à caractère sexuel constituent le cas d’usage le plus massif et le plus destructeur. Comme le documente l’UNESCO, 96 % des vidéos deepfake sont pornographiques et ciblent quasi exclusivement des femmes. Des services en ligne utilisant l’IA prétendent « déshabiller » des personnes réelles à partir de simples photos, y compris des mineurs.
Le droit français offre des recours directs. L’article 226-8-1 du code pénal, créé par la loi SREN, punit la diffusion de deepfakes sexuels non consentis : 2 ans d’emprisonnement et 60 000 € d’amende, portés à 3 ans et 75 000 € en cas de publication en ligne. La production ou détention de contenus pédopornographiques générés par IA est punie de 5 ans d’emprisonnement et 75 000 € d’amende.
En début d’année 2026, les autorités françaises ont ouvert une enquête sur la diffusion de deepfakes sexuels générés par Grok, le système d’IA de X. Ce cas illustre un point fondamental : pour ces contenus, le code de bonnes pratiques sur l’étiquetage est sans objet. Il ne s’agit pas de les étiqueter, mais de les interdire et supprimer.
Le compte à rebours réglementaire
Le calendrier est dense. Voici les jalons qui structurent la montée en puissance du dispositif :
La proposition Digital Omnibus de la Commission européenne pourrait modifier ou retarder certains aspects de ce calendrier. Selon TechPolicy.Press, elle pourrait « retarder, adoucir et recadrer l’environnement dans lequel les règles sur les deepfakes opèreront ». À ce stade, il s’agit d’une proposition, pas d’un texte en vigueur — mais la vigilance s’impose.
Six leviers pour agir maintenant
Que vous soyez une startup IA, une PME utilisant des outils de génération de contenu ou un responsable conformité, voici les actions à engager sans attendre.
Les angles morts du dispositif
Malgré les avancées significatives, plusieurs failles persistent dans l’arsenal juridique.
La lenteur de la justice face à la viralité est le problème central. Un deepfake peut atteindre des millions de personnes en quelques heures. Les procédures judiciaires, même en référé, prennent des jours voire des semaines. Le Sénat reconnaît que la procédure de la loi de 2018 contre la manipulation de l’information reste trop lente face à la réalité des diffusions virales.
La détection technique est une course d’armement permanente. Les outils de watermarking et de détection progressent, mais les techniques de génération évoluent plus vite. Comme le note l’UNESCO, conseiller au public de « repérer les mains à six doigts » ou d’inspecter les erreurs visuelles n’est pas une stratégie tenable à moyen terme.
La dimension transfrontalière complique l’application du droit. Un deepfake généré en Russie, hébergé aux États-Unis et diffusé en France relève de plusieurs juridictions. La coopération internationale reste insuffisante, même si l’AI Act crée un cadre harmonisé au niveau européen.
Enfin, le Digital Omnibus proposé par la Commission européenne pourrait, selon TechPolicy.Press, « retarder, adoucir et recadrer l’environnement dans lequel les règles sur les deepfakes opèreront ». La vigilance est de mise sur l’évolution de ce texte.