Deepfake : c’est quoi, comment le reconnaître et s’en protéger ?

Un comptable reçoit un appel vidéo de son directeur financier. Le visage est le bon, la voix aussi, le ton pressé colle parfaitement au personnage. On lui demande un virement urgent vers un nouveau fournisseur. Il l’exécute. Sauf que le dirigeant n’a jamais passé cet appel : tout, du visage à la voix, avait été fabriqué par une intelligence artificielle. C’est ça, un deepfake, et ce n’est plus de la science-fiction.

Qu’est-ce qu’un deepfake, concrètement ?

Un deepfake est un contenu numérique manipulé grâce à l’intelligence artificielle, pour remplacer ou recréer l’apparence et la voix d’une personne. Le résultat peut être une vidéo où quelqu’un semble prononcer un discours qu’il n’a jamais tenu, une photo truquée, ou un enregistrement vocal imitant une voix connue.

Le terme est né de la contraction de deux mots anglais : « deep learning », la technique d’apprentissage automatique qui fait tourner ces outils, et « fake », le faux. Autrement dit, un faux fabriqué par une machine qui a « appris » à imiter le réel.

Ce qui distingue le deepfake d’un simple montage ou d’une retouche Photoshop, c’est le procédé. Là où un truqueur d’autrefois découpait et recollait des images à la main, l’IA génère le faux toute seule, image par image, en s’appuyant sur des milliers d’exemples réels. Le rendu n’a plus rien à voir : les faux les plus aboutis sont aujourd’hui très difficiles à distinguer à l’œil nu.

Longtemps réservés aux studios d’effets spéciaux et aux chercheurs, ces outils sont devenus accessibles à tout le monde. Aujourd’hui, quelques photos publiques et une application grand public suffisent pour bricoler un trucage convaincant. C’est cette démocratisation qui transforme un sujet technique en vraie question de sécurité, y compris pour une TPE.

Comment fabrique-t-on un deepfake ?

Pas besoin d’être développeur pour comprendre le principe. Un deepfake repose sur ce qu’on appelle l’IA générative : des programmes capables de créer des images, des sons ou des vidéos qui n’existaient pas, à partir de ce qu’ils ont appris. Pour saisir d’où vient cette technologie, notre article sur l’IA qui crée des images et de l’art pose bien les bases.

A partir de quelques images publiques, l IA apprend un visage et une voix, puis fabrique le faux.

Voici les grandes étapes, expliquées simplement :

• 📸 La collecte. L’IA a besoin d’exemples de la personne visée : photos, vidéos, extraits sonores. Sur un dirigeant qui poste des interviews ou intervient en public, la matière première se trouve facilement en ligne.
• 🧠 L’apprentissage. Le programme analyse ces exemples pour comprendre les traits du visage, les expressions, la voix, les intonations. Il en tire un « modèle » de la personne.
• 🎭 La génération. À partir de ce modèle, l’IA fabrique le faux : elle plaque le visage sur un autre corps, anime une photo, ou fait prononcer un texte inédit avec la bonne voix.

La technique la plus connue s’appuie sur les réseaux antagonistes génératifs, ou GAN (pour Generative Adversarial Networks). Le principe est astucieux : deux IA travaillent l’une contre l’autre. La première fabrique des faux, la seconde essaie de les démasquer. À force de se corriger mutuellement, la première finit par produire des trucages que même la seconde n’arrive plus à repérer. C’est ce petit duel interne qui rend les deepfakes récents aussi réalistes.

À côté de la vidéo, le clonage vocal a fait des bonds spectaculaires. Quelques secondes d’un enregistrement suffisent parfois à recréer une voix, avec le bon timbre et les bonnes hésitations. C’est cette brique-là qui alimente les faux appels téléphoniques, souvent plus simples à réaliser et plus efficaces qu’une vidéo complète.

Comment reconnaître un deepfake ?

Aucun signe n’est infaillible, car la technologie progresse vite. Mais la plupart des faux, surtout ceux fabriqués à la va-vite pour une arnaque, laissent encore des indices. Le bon réflexe : ralentir, observer les détails, et se méfier de tout ce qui pousse à agir dans l’urgence.

Voici les signaux qui doivent vous alerter, regroupés par type de média :

Un moyen simple de résumer tout ça : fiez-vous à votre intuition du « quelque chose cloche ». Un regard trop fixe, un mouvement de tête saccadé, une bouche qui semble décollée du reste du visage. Le cerveau humain repère souvent ces anomalies avant de savoir les nommer.

Attention toutefois : ces repères s’appliquent surtout aux faux imparfaits. Face à un deepfake soigné, l’œil ne suffit plus. C’est pourquoi la vraie parade n’est pas visuelle mais organisationnelle, et nous y venons plus bas.

Les dangers du deepfake pour une entreprise

On associe souvent le deepfake aux célébrités et à la politique. Mais les premières victimes économiques, ce sont les entreprises, et pas seulement les grandes. Une TPE est même une cible intéressante : moins de procédures, moins de méfiance, des décisions qui reposent sur une ou deux personnes de confiance.

L’arnaque au président, version deepfake

C’est la menace la plus concrète. L’arnaque au président existe depuis des années : un escroc se fait passer pour le dirigeant et réclame un virement urgent et confidentiel. Avec le deepfake, cette fraude change de dimension. Le collaborateur ne reçoit plus un simple email douteux : il voit et entend son patron, en visio ou au téléphone, lui demander d’agir vite. La pression psychologique devient énorme, et le doute s’efface.

Des entreprises ont déjà perdu des sommes considérables de cette façon, après un faux appel vidéo d’un dirigeant reconstitué par IA. Le scénario est toujours le même : urgence, confidentialité, autorité. Trois leviers qui court-circuitent la réflexion.

L’usurpation d’identité

Un deepfake peut servir à se faire passer pour un client, un fournisseur ou un partenaire. Un faux appel du « comptable habituel » demandant de changer un RIB, une fausse validation vidéo pour débloquer un dossier : autant de portes d’entrée pour détourner de l’argent ou des informations sensibles. C’est une forme moderne d’atteinte aux données et à l’identité qui mérite la même vigilance qu’une fuite classique.

Les fausses vidéos qui abîment la réputation

Autre danger : la fausse déclaration. Une vidéo truquée où votre dirigeant semble tenir des propos choquants, annoncer une fermeture ou dénigrer un client peut se propager en quelques heures. Même démentie, elle laisse des traces. Pour une petite structure dont la réputation repose sur la confiance locale, le coût peut être lourd.

La peur n’est pas une bonne conseillère, et l’idée n’est pas de céder à la panique. Comme nous l’expliquons dans notre article faut-il avoir peur de l’intelligence artificielle, la meilleure réponse à une technologie, c’est de la comprendre pour s’en protéger sereinement.

Comment se protéger des deepfakes ?

Bonne nouvelle : contre les fraudes au deepfake, les meilleures défenses ne sont ni chères ni techniques. Ce sont des habitudes et des procédures, à la portée de n’importe quelle TPE. L’idée n’est pas de traquer chaque pixel, mais de rendre l’arnaque inefficace même si le faux est parfait.

La regle du double canal neutralise l arnaque au president, meme face a un faux parfait.

1. La règle du double canal. C’est la parade numéro un. Toute demande sensible (virement, changement de RIB, transfert de données) reçue par un canal doit être confirmée par un autre. Un appel vidéo urgent ? Vous rappelez sur le numéro habituel, pas sur celui affiché. Cette simple habitude neutralise l’immense majorité des fraudes.
2. Un mot de passe interne pour les demandes urgentes. Convenez d’un code oral, connu de quelques personnes, à demander en cas de virement exceptionnel. Un deepfake ne le connaîtra pas.
3. Des procédures écrites pour les paiements. Formalisez qui valide quoi, à partir de quel montant, avec quelle double vérification. Une règle claire est plus forte que la pression d’un « faux patron » pressé.
4. La méfiance envers l’urgence et le secret. Les escrocs jouent toujours sur ces deux ressorts. Une demande vraiment légitime supporte presque toujours une vérification de cinq minutes.
5. Former ses équipes. Le maillon décisif, c’est l’humain. Une personne qui sait que le deepfake existe et connaît la règle du double canal devient très difficile à piéger.

Ces réflexes s’inscrivent dans une hygiène numérique plus large. Sécuriser ses accès, protéger son site WordPress, sauvegarder ses données : tout se tient. Notre guide pour débuter en cybersécurité et notre article sur la cybersécurité en entreprise vous donnent le cadre complet. Pour aller plus loin, découvrez aussi les meilleures formations cybersécurité pour débutants.

Le deepfake et la loi en France

Créer un deepfake n’est pas illégal en soi. Les mêmes outils servent au cinéma, à la publicité ou à la satire clairement identifiée. Ce que la loi encadre, c’est l’usage malveillant et la diffusion sans consentement.

En France, plusieurs textes s’appliquent :

• ⚖️ L’usurpation d’identité est un délit (article 226-4-1 du Code pénal), qui vise le fait de se faire passer pour autrui pour lui nuire. Un deepfake utilisé pour tromper entre pleinement dans ce cadre.
• 🖼️ Le droit à l’image et à la voix protège toute personne : diffuser un montage la représentant sans son accord est sanctionnable.
• 💸 L’escroquerie (article 313-1) s’applique dès qu’un deepfake sert à obtenir un virement ou un avantage par la tromperie.
• 🆕 La loi SREN de 2024 (sécuriser et réguler l’espace numérique) a renforcé la répression des contenus générés par IA, notamment les deepfakes diffusés sans mention de leur caractère artificiel et les montages à caractère sexuel non consentis.

En clair : la loi vous protège si vous êtes victime, et sanctionne l’usage frauduleux. Mais entre le moment où le faux circule et celui où la justice tranche, le mal peut être fait. Raison de plus pour miser d’abord sur la prévention.

En résumé :

• ✅ Un deepfake est un média (vidéo, photo, audio) truqué par intelligence artificielle. Le mot vient de « deep learning » + « fake ».
• ✅ Il repose sur l’IA générative, souvent via des réseaux antagonistes génératifs (GAN) et le clonage vocal.
• ✅ On peut repérer un faux imparfait grâce à des signes : yeux, lèvres désynchronisées, lumière incohérente, voix trop lisse. Mais l’œil ne suffit plus face aux faux soignés.
• ✅ Pour une entreprise, le principal danger est l’arnaque au président par faux appel vidéo ou vocal, ainsi que l’usurpation d’identité et les fausses vidéos.
• ✅ La meilleure protection est organisationnelle : règle du double canal, procédures écrites, méfiance envers l’urgence, formation des équipes.
• ✅ En France, l’usage malveillant est réprimé (usurpation d’identité, escroquerie, loi SREN 2024), mais la prévention reste votre meilleure arme.

Questions fréquentes sur les deepfakes

Les réponses courtes aux questions qu’on nous pose le plus souvent.

Comment reconnaître un deepfake ?

Observez les détails : clignements d’yeux anormaux, lèvres désynchronisées avec l’audio, contours du visage flous, lumière et ombres incohérentes, ton de peau qui jure. Pour l’audio, méfiez-vous d’une voix trop lisse, sans respiration. Et surtout, doutez de toute demande urgente et confidentielle : la meilleure vérification reste de rappeler la personne par un autre canal.

Un deepfake, c’est illégal ?

Fabriquer un deepfake n’est pas interdit en soi (cinéma, satire, publicité). Ce qui est illégal, c’est l’usage malveillant : usurpation d’identité, escroquerie, diffusion sans consentement, montage à caractère sexuel. En France, le Code pénal et la loi SREN de 2024 répriment ces usages.

Comment sont faits les deepfakes ?

Une intelligence artificielle apprend l’apparence et la voix d’une personne à partir de photos, vidéos et enregistrements, puis génère un faux réaliste. La technique de référence est celle des réseaux antagonistes génératifs (GAN), où deux IA s’affrontent pour produire un trucage indétectable. Le clonage vocal permet aussi de recréer une voix en quelques secondes.

Comment se protéger des deepfakes en entreprise ?

Appliquez la règle du double canal : toute demande sensible (virement, changement de RIB) doit être confirmée par un second moyen de contact. Ajoutez des procédures écrites pour les paiements, un mot de passe interne pour les demandes urgentes, et formez vos équipes. La méfiance envers l’urgence et le secret est votre meilleur réflexe.

Qu’est-ce que l’arnaque au président par deepfake ?

C’est une fraude où un escroc se fait passer pour le dirigeant via un faux appel vidéo ou vocal généré par IA, pour réclamer un virement urgent et confidentiel. Le collaborateur croit voir et entendre son patron, ce qui rend l’arnaque très convaincante. La parade : toujours vérifier par un autre canal avant tout paiement.

Un deepfake peut-il être fait à partir de quelques photos ?

Oui. Les outils actuels se contentent souvent de quelques images et de courts extraits sonores, faciles à trouver en ligne pour un dirigeant qui communique publiquement. C’est justement cette accessibilité qui fait du deepfake une menace concrète, y compris pour les petites entreprises.

Faut-il vraiment s’en inquiéter quand on est une petite entreprise ?

Oui, et parfois plus qu’une grande. Les TPE ont moins de procédures de contrôle et des décisions concentrées sur peu de personnes, ce qui en fait des cibles. La bonne nouvelle : les protections efficaces sont simples et gratuites. Comprendre le risque et se former, c’est déjà l’essentiel du travail : tout l’objet de nos formations pour dirigeants et indépendants.

À propos de l'auteur

Hugo Vasseur

Hugo Vasseur est chef de projet à l'Agence SW. Spécialiste du SEO, du content marketing et de la stratégie digitale, il forme les indépendants et TPE à développer leur visibilité…

Voir tous les articles →