Dernière revue :
Qu'est-ce qu'un deepfake (hypertrucage) ? Définition, loi et obligations
Un deepfake (hypertrucage) est une image, un son ou une vidéo généré ou manipulé par une IA, qui ressemble à une personne, un lieu ou un événement réel et peut être pris à tort pour authentique. En Europe, l'AI Act impose d'indiquer qu'un tel contenu est artificiel. En France, l'article 226-8 du Code pénal punit sa diffusion sans consentement et sans mention.
Le mot « deepfake » associe « deep learning » et « fake ». Le droit européen lui préfère « hypertrucage ». L'article 3, point 60, du règlement (UE) 2024/1689 (AI Act) vise une image ou un contenu audio ou vidéo généré ou manipulé par l'IA, qui ressemble à des personnes, des objets, des lieux, des entités ou des événements existants et peut être perçu à tort comme authentique. Un texte seul n'entre pas dans cette définition. L'article 50, paragraphe 4, impose aux déployeurs, c'est-à-dire aux entreprises qui utilisent l'outil, d'indiquer que le contenu a été généré ou manipulé par une IA. Pour une œuvre manifestement artistique, créative, satirique ou fictive, l'obligation se limite à une mention qui n'entrave pas la jouissance de l'œuvre. Cette règle s'applique depuis le 2 août 2026. Le droit pénal français repose sur le consentement. Depuis la loi du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique (loi SREN), l'article 226-8 du Code pénal punit d'un an d'emprisonnement et de 15 000 euros d'amende le fait de porter à la connaissance du public ou d'un tiers un contenu généré par un traitement algorithmique qui représente l'image ou les paroles d'une personne sans son consentement, s'il n'apparaît pas à l'évidence qu'il est artificiel ou s'il n'en est pas fait mention. Les peines passent à deux ans et 45 000 euros lorsque la diffusion utilise un service de communication au public en ligne. L'article 226-8-1 vise les contenus à caractère sexuel : deux ans et 60 000 euros, et trois ans et 75 000 euros en ligne.
Exemple concret
Fin janvier 2024, la police de Hong Kong reçoit le signalement d'une fraude sur le bureau local d'une multinationale, identifiée ensuite comme l'ingénieriste britannique Arup. Un employé de la finance a effectué 15 virements, pour 200 millions de dollars de Hong Kong (environ 25 millions de dollars américains), vers cinq comptes bancaires. Il avait suivi une visioconférence où le directeur financier et plusieurs collègues semblaient présents. Selon la police, tous les participants autres que lui étaient des reproductions fabriquées à partir de vidéos et de sons publics. Arup a confirmé en mai 2024 que des voix et des images falsifiées avaient été utilisées.
Questions fréquentes
C'est quoi un deepfake ?
C'est une image, un son ou une vidéo généré ou manipulé par une IA pour imiter une personne, un lieu ou un événement réel, au point de pouvoir être pris à tort pour authentique. Le droit européen emploie le terme « hypertrucage » (AI Act, article 3, point 60).
Un deepfake est-il illégal en France ?
Pas en soi. Le délit de l'article 226-8 du Code pénal vise la diffusion d'un contenu généré par IA qui représente l'image ou les paroles d'une personne sans son consentement, lorsqu'il n'apparaît pas à l'évidence qu'il est artificiel ou qu'il n'en est pas fait mention. Un an de prison et 15 000 euros d'amende, deux ans et 45 000 euros en ligne. Les contenus sexuels relèvent de l'article 226-8-1, plus sévère.
Quelle est la différence entre deepfake et hypertrucage ?
Aucune sur le fond. « Deepfake » est le mot courant, « hypertrucage » est le terme employé dans la version française de l'AI Act. Le Code pénal parle de « contenu généré par un traitement algorithmique » et, pour les montages classiques, de « montage ».
Faut-il signaler les contenus générés par IA dans la communication d'entreprise ?
Oui lorsqu'ils constituent un hypertrucage. L'article 50 de l'AI Act oblige les déployeurs à indiquer que l'image, le son ou la vidéo est généré ou manipulé par une IA, avec une mention plus discrète pour les œuvres manifestement artistiques ou satiriques. La règle s'applique depuis le 2 août 2026. Les lignes directrices de la Commission sur l'article 50 précisent les cas couverts.
Comment protéger son entreprise d'une fraude au président par deepfake ?
Par la procédure plutôt que par l'œil. Exigez une double validation et un rappel sur un numéro connu pour tout virement ou changement de coordonnées bancaires demandé à distance. Dans l'affaire Arup, un employé a effectué 15 virements après une visioconférence où tous les autres participants étaient des reproductions.
À voir aussi
Pour aller plus loin
Article 226-8 du Code pénal, Légifrance (version en vigueur depuis le 23 mai 2024)
Sources
- Règlement (UE) 2024/1689 (AI Act), article 3 point 60 (définition de l'hypertrucage) et article 50 paragraphe 4, EUR-Lex. https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- Règlement (UE) 2026/1744 « Omnibus numérique sur l'IA », EUR-Lex. https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32026R1744
- Code pénal, article 226-8, version en vigueur depuis le 23 mai 2024, Légifrance. https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000049571542
- Code pénal, article 226-8-1 (créé par la loi n° 2024-449 du 21 mai 2024), Légifrance. https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000049567458
- Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, Légifrance. https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000049563368
- Multinational loses HK$200 million to deepfake video conference scam, Hong Kong police say, Hong Kong Free Press, 5 février 2024. https://hongkongfp.com/2024/02/05/multinational-loses-hk200-million-to-deepfake-video-conference-scam-hong-kong-police-say/
- Deepfake fraud costs engineering giant Arup £20m, Computing, mai 2024. https://computing.co.uk/news/4209651/deepfake-fraud-costs-engineering-giant-arup-gbp20m