Deepfake : ce que tout pro doit savoir (et comment ne pas se faire avoir)

Un virement de 25 millions de dollars autorisé après une réunion vidéo avec le CFO. Le problème : le CFO était une fabrication IA. Ce cas n'est pas isolé, et il concerne ton métier, quelle que soit ta fonction. Ce décryptage t'explique ce que sont vraiment les deepfakes, pourquoi les outils de détection échouent, et quels réflexes concrets adopter selon ton secteur.

Qu'est-ce qu'un deepfake, exactement ?

En février 2024, un employé de la filiale hongkongaise du cabinet d'ingénierie britannique Arup a participé à une réunion vidéo avec une quinzaine de collègues, dont le directeur financier. Il a ensuite autorisé 15 virements pour un total de 25,6 millions de dollars. Chaque visage et chaque voix sur l'appel avait été reconstruit par IA à partir de vidéos publiques. L'employé a découvert la fraude en appelant le vrai CFO le lendemain (CNN, février 2024).

Un deepfake, c'est un contenu audio, vidéo ou image généré ou altéré par IA pour faire dire ou faire à une personne réelle quelque chose qu'elle n'a pas dit ou fait. Le mot vient de la contraction de "deep learning" et "fake". Les premiers deepfakes notables dataient de 2017 et nécessitaient des semaines de travail. En 2024, des outils accessibles produisent un clone vocal convaincant à partir de trois secondes d'enregistrement.

Ce décryptage ne t'explique pas comment les modèles GAN ou les diffusion models fonctionnent en interne. Il te donne les réflexes concrets pour ton secteur, les chiffres réels sur la menace, et un regard honnête sur les limites des protections actuelles.

Les deepfakes professionnels : que disent les données ?

Une menace documentée depuis 2019

La première fraude deepfake professionnelle documentée remonte à mars 2019. Une entreprise énergétique britannique a viré 220 000 euros à des escrocs après qu'un de ses dirigeants a reçu un appel téléphonique imitant la voix du PDG de la maison mère allemande, avec son accent et ses tournures de phrase. Le rapport de l'assureur Euler Hermes, qui a couvert l'intégralité du sinistre, cite un logiciel de synthèse vocale basé sur l'IA (Wall Street Journal, septembre 2019). La fraude a été découverte lorsque les escrocs ont rappelé pour demander un second virement.

En 2022, Europol a publié "Facing Reality? Law Enforcement and the Challenge of Deepfakes", son premier rapport dédié à la menace. L'agence y décrit trois usages criminels prioritaires : la fraude au CEO par imitation de dirigeants, la manipulation de preuves numériques, et la production de contenus intimes non consentis. Le rapport note que "la qualité des deepfakes s'améliore plus vite que les capacités de détection des forces de l'ordre" (Europol Innovation Lab, 2022).

Les chiffres de 2024

Le volume de deepfakes détectés a été multiplié par 4 entre 2023 et 2024 selon les données agrégées publiées par BrightDefense en mars 2026. 49 % des entreprises mondiales déclarent avoir été ciblées par une tentative de fraude audio ou vidéo deepfake en 2024.

Le point le plus inconfortable : dans une méta-analyse portant sur 56 études (Deepfake-Eval-2024, arXiv 2025), la précision moyenne de détection humaine s'établit à 55,54 %. C'est à peine mieux qu'un tirage au sort. Les détecteurs automatiques ne s'en sortent pas mieux : leurs performances chutent de 50 % dès qu'ils sont testés sur des contenus réels plutôt que sur des datasets de laboratoire.

Ce que les outils de détection peuvent (et ne peuvent pas) faire

Le standard C2PA (Coalition for Content Provenance and Authenticity), soutenu par Adobe, la BBC, Microsoft et Intel depuis 2021, repose sur une approche différente : pas de détection après coup, mais une signature numérique au moment de la création. Un contenu certifié C2PA porte un historique vérifiable de ses modifications. Limite structurelle : C2PA ne protège que les contenus créés avec des outils compatibles. Un deepfake généré hors de l'écosystème C2PA n'a simplement pas de certificat, ce qui ne le rend pas identifiable pour autant.

Sur le plan juridique français, la loi SREN (n°2024-449 du 21 mai 2024) a modifié l'article 226-8 du Code pénal pour criminaliser la diffusion non consentie de contenus générés par IA représentant l'image ou les paroles d'une personne. Les sanctions atteignent 2 ans d'emprisonnement et 45 000 euros d'amende pour une diffusion en ligne, et 3 ans et 75 000 euros pour les deepfakes à caractère sexuel. La CNIL, dans sa communication de février 2026, a qualifié pour la première fois les deepfakes de "menace systémique" sur les données personnelles.

Ce cadre juridique vise le distributeur du contenu. Il ne protège pas automatiquement l'entreprise qui a signé un virement après une réunion vidéo truquée.

Ce que ca change pour ton métier

La menace deepfake n'est pas uniforme selon les fonctions. Voici ce qu'elle implique concrètement pour les quatre profils les plus exposés.

RH : le faux candidat

Le FBI a alerté en juin 2022 sur une pratique alors naissante : des candidats utilisant des deepfakes vidéo pour passer des entretiens à distance et accéder à des postes sensibles (PSA IC3, 28 juin 2022). Les signaux cités dans l'alerte sont précis : désynchronisation entre le mouvement des lèvres et la voix, réponses trop fluides, réticence à activer la caméra sur demande.

Installe une vérification d'identité documentaire avant tout entretien final en visio. Pose des questions qui exigent une réaction spontanée, pas une réponse préformatée. Renforce le processus de référence en appelant directement les anciens employeurs sur des numéros vérifiés indépendamment du CV fourni.

Finance : la fraude au virement

La fraude Arup suit un schéma répété : contact email préliminaire pour établir la crédibilité, réunion vidéo avec deepfake du dirigeant, demande urgente de virement hors circuit habituel. L'urgence et la confidentialité sont toujours invoquées.

Toute demande de virement importante doit déclencher une validation téléphonique sur un numéro que tu as dans tes contacts depuis longtemps, pas le numéro fourni dans le message reçu. Certaines équipes adoptent un mot de passe verbal interne pour les demandes sensibles. La règle simple : si un dirigeant te demande un virement urgent et confidentiel en vidéo, appelle-le sur un numéro connu avant de rien signer.

Communication : l'atteinte réputationnelle

Le risque ici est réputationnel : un deepfake du PDG annonçant des résultats fictifs, une crise créée de toutes pièces avant déni officiel. La vitesse de diffusion sur les réseaux dépasse celle de tout rectificatif.

Installe une veille alerte (Google Alerts, Talkwalker) sur le nom des dirigeants clés. Prépare un kit de réponse de crise avant que la crise arrive. Adopte le watermarking C2PA sur les vidéos officielles produites par ton équipe : tu ne détectes pas les faux, mais tu certifies tes vrais contenus.

Juridique et Conformité : les voies de recours

Si ton organisation est victime d'un deepfake professionnel : dépose une déclaration à la CNIL (l'image et la voix sont des données biométriques au sens du RGPD), puis une plainte pénale en invoquant l'article 226-8 CP modifié par la loi SREN. Constitue les preuves par constat d'huissier ou horodatage notarial. Le délai de prescription court à partir de la date de connaissance du contenu, pas de sa création.

Mon avis : on sous-estime la partie juridique et on surévalue la partie technique

Le débat sur les deepfakes se concentre presque toujours sur la technique : les modèles de détection, les GAN, les artefacts visuels. C'est le mauvais endroit pour chercher la protection.

La vulnérabilité principale des organisations n'est pas l'incapacité à détecter un visage reconstruit par IA. C'est l'absence de protocoles de vérification hors-canal pour les décisions à fort impact. Un virement de 25 millions de dollars validé sans un seul appel téléphonique sur un numéro connu n'est pas un problème de deepfake en premier lieu : c'est un problème de processus.

La détection automatique ne rattrapera pas ce retard de sitôt. Les chiffres de Deepfake-Eval-2024 le montrent sans ambiguïté : les modèles entraînés en laboratoire perdent la moitié de leur efficacité face à des deepfakes issus du terrain réel. Et les outils adversariaux de 2024 contournent les signaux de détection les plus courants à des taux supérieurs à 40 %.

La loi SREN est une avancée réelle pour les victimes de deepfakes intimes. Pour les fraudes B2B, elle reste un outil de recours après les faits. Elle ne remplace pas la prévention.

Ce que j'anticipe : le standard C2PA va progressivement s'imposer comme marqueur de confiance pour les contenus professionnels, de la même façon que le HTTPS s'est imposé pour les sites web. Une vidéo officielle sans certificat C2PA sera dans cinq ans regardée avec la même méfiance qu'un site HTTP en 2026. La transition sera longue, et elle ne protégera pas les organisations qui n'auront pas mis en place de protocoles internes d'ici là.