Deepfake

Qu'est-ce qu'un deepfake, concrètement ?

Un deepfake est un faux contenu audio ou vidéo fabriqué par une IA générative. Le terme mêle « deep learning » (apprentissage profond) et « fake » (faux). Concrètement, l'IA apprend à reproduire le visage, la voix ou les gestes d'une personne à partir de quelques images ou secondes de son, puis génère un contenu où cette personne dit ou fait ce qu'on veut lui faire dire.

Le principe est simple à comprendre. Vous donnez à un modèle des exemples : des photos d'un visage, des extraits de voix. Le modèle apprend les traits caractéristiques de la personne, sa manière de bouger les lèvres, ses intonations. Ensuite, il fabrique du neuf qui n'a jamais existé.

Il y a quelques années, ce genre de trucage demandait un studio, du temps et des experts. Aujourd'hui, des applications grand public le font en quelques clics, à partir d'une photo trouvée sur LinkedIn ou d'un extrait vidéo publié en réunion.

En français, on parle aussi d'« hypertrucage ». Le mot dit bien la chose : ce n'est plus un montage grossier, c'est une falsification poussée à un niveau où l'œil et l'oreille se laissent tromper.

Comment fonctionne un deepfake, sans jargon ?

Un deepfake repose sur des modèles d'IA entraînés à imiter une personne. Pour la vidéo, l'IA analyse un visage image par image et le plaque sur un autre corps ou lui fait prononcer un nouveau texte. Pour la voix, elle apprend le timbre à partir de quelques secondes d'enregistrement, puis lit n'importe quel texte avec cette voix. Le résultat est ensuite lissé pour paraître naturel.

Deux grandes familles de techniques cohabitent. La première repose sur des réseaux qui s'affrontent : l'un fabrique le faux, l'autre tente de le démasquer, et à force de duel, le faux devient très convaincant. La seconde, plus récente, utilise des modèles de diffusion, ceux-là mêmes qui génèrent des images à partir de texte.

Le point commun, c'est l'appétit en données. Plus l'IA dispose d'images et d'extraits sonores d'une personne, plus le faux sera crédible. Or, un dirigeant ou un commercial laisse aujourd'hui des dizaines d'heures de vidéos et de sons accessibles en ligne.

Vous n'avez pas besoin de maîtriser cette mécanique pour vous protéger. Ce qu'il faut retenir : quelques secondes de voix ou quelques photos suffisent désormais à produire une imitation trompeuse.

• Collecte : l'IA récupère des images et des extraits sonores de la cible.
• Apprentissage : elle mémorise le visage, les expressions et la voix.
• Génération : elle fabrique une vidéo ou un audio inédit.
• Finition : elle lisse les détails pour effacer les indices du faux.

Deepfake, cheapfake, montage : quelles différences ?

Un deepfake est généré par IA, ce qui le rend fluide et difficile à repérer. Un « cheapfake » est un trucage bon marché fait à la main : vidéo ralentie, phrase sortie de son contexte, image recadrée. Un montage classique assemble des séquences réelles. Le deepfake se distingue par une chose : il crée du contenu qui n'a jamais existé, avec un réalisme inédit.

La distinction compte pour évaluer le risque. Un cheapfake se démonte souvent en vérifiant la source d'origine. Un deepfake, lui, n'a pas de source d'origine : il n'y a rien à retrouver, puisque la scène n'a jamais eu lieu.

C'est ce qui le rend redoutable en entreprise. On ne peut pas simplement « remonter à la vidéo originale » : elle n'existe pas. Il faut d'autres réflexes, fondés sur la vérification du canal et de l'identité, pas seulement du contenu.

• Deepfake : contenu inédit généré par IA, très réaliste.
• Cheapfake : détournement manuel d'un contenu réel (coupe, ralenti, recadrage).
• Montage : assemblage de séquences authentiques.
• Enjeu : le deepfake n'a pas d'original vérifiable, ce qui complique la détection.

Quels usages des deepfakes en entreprise ?

Les deepfakes ne servent pas qu'à nuire. Certaines entreprises les utilisent pour produire des vidéos de formation multilingues, des avatars de porte-parole ou des messages personnalisés à grande échelle. Mais les usages malveillants dominent l'actualité : fraude financière, usurpation de dirigeant, chantage, désinformation. Le même outil peut servir ou piéger.

Côté usage légitime, on voit fleurir des avatars qui présentent un produit dans dix langues, ou des vidéos e-learning où un formateur virtuel adapte son discours. Ces contenus reposent sur des personnes consentantes et des règles claires.

Côté sombre, la même technologie sert à imiter un patron en visio, à cloner la voix d'un comptable pour valider un virement, ou à fabriquer une fausse déclaration attribuée à une marque. La frontière tient au consentement et à l'intention.

• Usage légitime : vidéos de formation, avatars multilingues, doublage.
• Marketing : messages personnalisés produits en série.
• Fraude : usurpation de dirigeant pour ordonner un virement.
• Désinformation : fausse déclaration attribuée à une entreprise ou une marque.

Pourquoi les deepfakes sont-ils une menace pour les entreprises ?

Parce qu'ils font sauter le réflexe de confiance sur lequel repose une grande partie des échanges professionnels. Reconnaître une voix ou un visage suffisait à valider une demande. Avec les deepfakes, ce repère ne tient plus. Une simple visio ou un appel peut suffire à déclencher un virement frauduleux, une fuite d'information ou une atteinte à la réputation.

La fraude au président, déjà connue, franchit un cap. Hier, un e-mail imitait le dirigeant ; aujourd'hui, une visio le met en scène en direct, avec son visage et sa voix. Le collaborateur, mis sous pression, hésite d'autant moins qu'il « voit » son patron.

Le risque ne se limite pas à l'argent. Un faux enregistrement d'un cadre tenant des propos choquants peut circuler et abîmer une marque en quelques heures. Une fausse annonce peut faire chuter la confiance de clients ou de partenaires.

Le point commun de ces attaques : elles exploitent l'urgence et la confiance. Une équipe qui connaît l'existence des deepfakes reprend une longueur d'avance, parce qu'elle cesse de croire aveuglément ce qu'elle voit et entend.

• Fraude financière : ordre de virement par un faux dirigeant en visio.
• Usurpation : clonage de voix d'un collaborateur pour tromper un fournisseur.
• Réputation : faux propos attribués à un cadre ou à la marque.
• Fuite de données : demande urgente d'informations confidentielles.

Comment reconnaître un deepfake ?

Aucun signe n'est fiable à 100 %, mais des indices reviennent souvent : clignements d'yeux anormaux, contours du visage flous, désynchronisation entre les lèvres et le son, éclairage incohérent, voix un peu métallique. Le réflexe le plus efficace ne porte pas sur le contenu mais sur le contexte : vérifier l'identité par un autre canal avant d'agir.

Sur une vidéo, observez les détails que l'IA gère encore mal : les bords des cheveux, les reflets dans les lunettes, la peau autour du cou, les dents. Une lumière qui ne colle pas au décor est aussi un signal.

Sur un audio, méfiez-vous d'une voix trop lisse, sans souffle ni hésitation, ou d'intonations qui ne correspondent pas à la personne. Une demande urgente et inhabituelle doit toujours alerter, quel que soit le réalisme.

Mais soyons honnêtes : ces indices disparaissent à mesure que la technologie progresse. La seule parade solide reste organisationnelle, pas visuelle. On y revient juste après.

• Visage : clignements rares, contours flous, dents ou yeux étranges.
• Synchronisation : lèvres et son légèrement décalés.
• Éclairage : ombres et reflets incohérents avec le décor.
• Voix : timbre trop lisse, sans respiration ni hésitation naturelle.
• Contexte : demande urgente, inhabituelle, avec pression sur le temps.

Comment se protéger des deepfakes en entreprise ?

La meilleure protection n'est pas technique, elle est organisationnelle. Il s'agit de mettre en place des règles simples : double validation pour tout paiement, vérification de l'identité par un second canal, mot de passe verbal convenu à l'avance, et sensibilisation des équipes. Aucune visio ni aucun appel ne doit suffire à lui seul à débloquer une action sensible.

La règle d'or tient en une phrase : ne jamais valider une action sensible sur la seule foi d'une voix ou d'une image. Un ordre de virement, un changement de coordonnées bancaires, une transmission de données confidentielles exigent toujours une contre-vérification.

Cette contre-vérification passe par un canal différent. Si la demande arrive par visio, on rappelle sur un numéro connu. Si elle arrive par téléphone, on confirme par un autre moyen. Un fraudeur maîtrise rarement plusieurs canaux à la fois.

Enfin, la sensibilisation fait la vraie différence. Une équipe qui sait ce qu'est un deepfake ose dire « je vous rappelle pour confirmer », même face à un supposé dirigeant pressé. Cette phrase-là, apprise en formation, sauve des budgets entiers.

• Double validation obligatoire pour tout paiement ou changement bancaire.
• Vérification par un second canal connu (rappel sur un numéro fiable).
• Mot de passe verbal convenu entre personnes clés.
• Procédures écrites qui autorisent à dire non à une demande urgente.
• Sensibilisation régulière des équipes exposées (finance, direction, RH).

Que dit la loi et l'AI Act sur les deepfakes ?

L'AI Act européen impose une transparence : un contenu généré ou manipulé par IA, comme un deepfake, doit en principe être signalé comme tel. En France, l'usurpation d'identité, la diffusion d'un faux préjudiciable ou la fraude sont déjà punies par le droit pénal. Créer un deepfake d'une personne sans son accord expose à des sanctions civiles et pénales.

L'AI Act pose une obligation de marquage : les contenus artificiels doivent être identifiables, notamment pour lutter contre la désinformation. Cette exigence vise à préserver la confiance du public dans ce qu'il voit.

En parallèle, l'arsenal juridique classique s'applique déjà. Usurper l'identité d'un dirigeant, diffuser une fausse déclaration, tromper pour obtenir un virement : ces actes sont réprimés, deepfake ou pas. L'outil ne crée pas de zone de non-droit.

Pour une entreprise, deux enjeux se cumulent : ne pas produire de deepfakes sans consentement, et savoir réagir si elle en est victime. Documenter, conserver les preuves et signaler rapidement font partie des bons réflexes.

• AI Act : obligation de signaler les contenus générés ou manipulés par IA.
• Usurpation d'identité et fraude : déjà sanctionnées par le droit pénal.
• Consentement : créer un deepfake d'une personne sans accord est illicite.
• Réaction : conserver les preuves et signaler en cas d'attaque.

Les deepfakes vont-ils devenir indétectables ?

La qualité progresse vite et les indices visibles s'effacent d'année en année. Miser sur l'œil humain pour repérer un faux est donc une stratégie perdante à long terme. La réponse durable n'est pas de détecter le faux, mais de sécuriser les processus : authentifier les personnes et les demandes autrement que par leur seule apparence.

Chaque génération de modèles corrige les défauts de la précédente. Les clignements bizarres, les contours flous, les voix métalliques disparaissent. Compter sur ces signaux, c'est courir après une cible qui s'améliore sans cesse.

Des outils de détection existent et progressent aussi, mais ils restent un jeu du chat et de la souris. Aucun ne garantit un résultat parfait, et une entreprise ne peut pas fonder toute sa sécurité sur eux.

La conclusion est rassurante, en réalité. Puisqu'on ne peut pas gagner sur le terrain du réalisme, on déplace le combat sur celui des procédures, que l'entreprise contrôle entièrement. Là, une équipe formée fait vraiment la différence.

Pourquoi ce sujet est-il stratégique pour votre entreprise ?

Parce qu'un seul deepfake réussi peut coûter des centaines de milliers d'euros ou entamer durablement une réputation, alors que la parade tient à quelques réflexes simples. Former vos équipes à reconnaître la menace et à appliquer les bonnes procédures transforme un risque majeur en risque maîtrisé, pour un coût sans commune mesure avec celui d'une fraude.

Vos collaborateurs n'ont pas besoin de devenir experts en IA. Ils ont besoin de savoir que le danger existe, de reconnaître les scénarios d'attaque et d'oser appliquer une procédure de vérification, même sous pression.

C'est exactement l'objet de nos formations : expliquer les deepfakes et les usages malveillants de l'IA avec des cas concrets tirés de votre métier, puis installer des réflexes de vérification simples et efficaces.

Une demi-journée de sensibilisation suffit souvent à immuniser les fonctions les plus exposées, la direction, la finance et les RH, contre les arnaques les plus coûteuses. C'est de la prévention rentable, immédiate et sans jargon.