Académie Nexus
Deepfakes et menace synthétique

Peut-on encore détecter un deepfake ? Ce qui marche, ce qui ne marche plus

La question arrive dans tous nos séminaires : « comment reconnaître un deepfake ? ». La réponse honnête dérange : de moins en moins à l'œil, de moins en moins à l'oreille, et pas durablement par les artefacts. Ce qui tient, c'est la provenance des contenus, le droit — et surtout le protocole. État des lieux sourcé.

Elie Abousaab · 17 juillet 2026 · 4 min de lecture

Ce que vaut vraiment l'oreille humaine : 73 %

L'étude de référence sur la détection humaine des voix synthétiques a été conduite à l'University College London et publiée dans PLOS ONE en août 2023 : sur 529 participants, en anglais comme en mandarin, le taux de détection correcte des voix truquées plafonne à 73 % — et l'entraînement des auditeurs n'améliore les résultats que marginalement [1].

Ce chiffre, obtenu avec des outils antérieurs à la génération actuelle et dans des conditions où les participants savaient qu'ils devaient chercher des trucages, constitue un plafond optimiste. Dans la vraie vie — un appel imprévu, un contexte d'urgence, aucune raison de se méfier — la performance réelle est nécessairement inférieure. Or un contrôle qui échoue une fois sur quatre en conditions idéales n'est pas un contrôle : c'est une loterie.

Les artefacts visuels : un savoir périssable

Mains à six doigts, clignements absents, lunettes asymétriques, textes illisibles : les listes d'indices visuels ont fait le tour des sensibilisations d'entreprise. Le problème est structurel : chaque artefact identifié est un défaut de génération, et les défauts de génération se corrigent à chaque version de modèle. Un indice fiable en 2023 ne l'était déjà plus en 2025.

Former des équipes à une liste d'artefacts produit donc le pire des résultats : une confiance durable fondée sur un savoir périssable. Celui qui n'a pas trouvé de défaut conclut que le contenu est authentique — alors qu'il a seulement établi que le générateur était récent.

La piste sérieuse : la provenance des contenus

Plutôt que de chercher les traces du faux, l'approche par la provenance atteste l'origine du vrai : des métadonnées signées cryptographiquement documentent quel appareil ou quel logiciel a produit un contenu et ce qui l'a modifié. C'est le principe du standard C2PA (Coalition for Content Provenance and Authenticity), porté notamment par Adobe, Microsoft, la BBC et des fabricants de matériel, et de plus en plus intégré aux chaînes de production d'images [2].

Ses limites sont connues : les métadonnées peuvent être retirées, l'absence de signature ne prouve rien, et l'écosystème n'est pas complet. Mais la logique est la bonne — l'authenticité se prouve à la source, elle ne se devine pas à l'arrivée.

Ce que le droit impose désormais : l'article 50 de l'AI Act

Depuis le 2 août 2026, l'article 50 du règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689) impose des obligations de transparence : les contenus synthétiques doivent être marqués dans un format lisible par machine, les hypertrucages étiquetés comme tels, et les personnes informées lorsqu'elles interagissent avec un système d'IA. Les sanctions peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial [3].

Pour une organisation, l'obligation joue dans les deux sens : vos propres contenus générés par IA doivent être marqués, et le marquage des contenus tiers devient un signal exploitable par vos équipes de vérification — sans jamais suffire, un attaquant ne marquant évidemment pas ses trucages.

Déplacer la question : du contenu au processus

L'exemple slovaque montre pourquoi la détection, même parfaite, arrive souvent trop tard. Le 28 septembre 2023, à 48 heures des élections législatives et pendant le silence électoral, un enregistrement truqué attribué au candidat Michal Šimečka et à la journaliste Monika Tódová — évoquant une fraude électorale — se propage de Telegram vers Facebook. Le trucage a été signalé rapidement ; mais pendant le moratoire, les victimes ne pouvaient pratiquement pas répondre [4]. L'arme n'était pas la qualité du faux : c'était le calendrier.

La question opérationnelle n'est donc pas « ce contenu est-il truqué ? » mais « que déclenche ce contenu, chez qui, et qui décide de la réponse ? ». Un faux grossier diffusé au bon moment fait plus de dégâts qu'un faux parfait diffusé au mauvais. C'est pourquoi la défense se construit en processus — seuils, doubles canaux, chaîne d'alerte, décideur désigné — et non en acuité visuelle.

Ce que vous pouvez faire lundi matin

  1. Retirer des supports internes toute liste d'artefacts visuels présentée comme méthode de détection : remplacer par la règle « l'authenticité se vérifie par le canal, pas dans le contenu ».
  2. Inventorier vos contenus générés par IA et vérifier leur conformité au marquage exigé par l'article 50 de l'AI Act, applicable depuis le 2 août 2026.
  3. Activer les Content Credentials (C2PA) sur vos chaînes de production visuelle quand vos outils le permettent.
  4. Écrire le scénario « un enregistrement truqué de notre dirigeant circule à J-2 d'une échéance critique » et le jouer une fois : le calendrier de l'attaquant doit rencontrer un protocole, pas une improvisation.

Sources

  1. Mai, K. T., Bray, S., Davies, T. et Griffin, L. D., « Warning: Humans cannot reliably detect speech deepfakes », PLOS ONE, 2 août 2023. DOI 10.1371/journal.pone.0285333
  2. Coalition for Content Provenance and Authenticity (C2PA), spécifications techniques.c2pa.org
  3. Règlement (UE) 2024/1689 (intelligence artificielle), article 50 ; calendrier d'application, article 113.
  4. International Press Institute, « Slovakia: Deepfake audio of Denník N journalist offers worrying example of AI abuse », octobre 2023 ; AFP Fact Check, septembre 2023.

Cet article est une ressource de sensibilisation. Il ne constitue ni un conseil juridique, ni un audit, ni une analyse adaptée à votre contexte particulier.

Formation · Deepfakes : détection et protocole de réponse
Une journée pour passer de la détection au protocole

État réel de la menace synthétique, exercices sur contenus truqués, conception de votre protocole de réponse : une journée intra pour les équipes dirigeantes, communication et sûreté.

Recevoir la fiche programme
À lire ensuite