Deepfake : comment le reconnaître et que faire si c'est vous

↑ Ce conseil fait partie du guide : Arnaques & hameçonnage

Deepfake : comment le reconnaître et que faire ?

Regardez la bouche sur les consonnes, les dents, le contour des cheveux et les reflets dans les deux yeux : un hypertrucage y laisse presque toujours un défaut. Si le montage vous met en scène, capturez l'écran et l'adresse de la page avant toute démarche, signalez le contenu à la plateforme, puis déposez plainte au titre de l'article 226-8 du code pénal.

1. Ne répondez pas, ne payez pas.
2. Capturez l'écran, l'adresse et la date.
3. Signalez le contenu à la plateforme.
4. Déposez plainte au commissariat ou en gendarmerie.
5. Demandez le retrait des résultats de recherche.
6. Si le contenu est sexuel, appelez le 3018.

Deepfake se traduit officiellement par hypertrucage : une image, une vidéo ou un son fabriqué par un modèle d'intelligence artificielle pour imiter le visage, la voix ou les gestes d'une personne réelle. On commence ici par reconnaître le deepfake, puis par le faire retirer quand c'est vous qui êtes dessus.

Les 7 défauts qui trahissent un deepfake vidéo

Un deepfake se trahit rarement sur toute l'image, mais sur un détail que le modèle d'hypertrucage a redessiné image par image. Il faut donc avancer image par image : sur YouTube, les touches , et . quand la vidéo est en pause ; dans VLC, la touche E. Puis regarder ces sept endroits, dans cet ordre.

1. La bouche sur les consonnes fermées. Les sons b, p et m obligent les lèvres à se toucher. Les modèles de synchronisation labiale les ratent souvent : la bouche reste entrouverte sur « bonjour » ou sur « maman ».
2. Les dents. Elles sortent en bloc, sans séparation nette entre les incisives, et il n'y a rien derrière : pas de langue, pas d'ombre de gorge. Il arrive même que leur nombre change d'un plan à l'autre.
3. Le raccord de la mâchoire. Avancez jusqu'au moment où la tête tourne de trois quarts : la limite du visage greffé apparaît le long de la joue, sous forme d'un liseré plus net, plus flou, ou d'un teint légèrement différent.
4. Le contour des cheveux. Mèches isolées, frisottis et cheveux qui passent devant le front sont ce qu'un deepfake rend le plus mal : halo, bord gommé, mèche qui disparaît d'une image à l'autre.
5. Les oreilles, les lunettes, les bijoux. Une boucle d'oreille qui change de forme, une oreille visible d'un côté et absente de l'autre, une branche de lunettes qui se déforme : ces objets ne font pas partie du visage appris, ils sont recalculés au hasard.
6. Les reflets. Les deux yeux doivent porter le même reflet, de la même source de lumière, au même endroit ; un verre de lunettes doit voir son reflet glisser quand la tête tourne. Un reflet figé est un reflet peint.
7. Le cou. La peau du cou vient de la vidéo d'origine, pas du visage greffé. Une démarcation de teint à la base du menton, ou une pomme d'Adam immobile quand la personne parle, suffit à trancher.

Et le huitième signe du deepfake, qui n'est pas dans l'image : la provenance. Une vidéo qui n'existe nulle part ailleurs que sur le compte qui vous l'a envoyée est fausse jusqu'à preuve du contraire. Une déclaration marquante est toujours reprise ailleurs ; si elle ne l'est pas, c'est qu'elle n'a pas eu lieu.

Une voix clonée au téléphone : 4 tests en direct

Le deepfake vocal est la forme qui fait le plus de dégâts : il arrive sans image et sans délai de réflexion. Le scénario ne change pas : un proche appelle, la voix est la sienne, il est en difficulté, il faut de l'argent tout de suite et n'en parler à personne. L'urgence et le secret sont les deux marqueurs : un vrai proche en difficulté ne vous interdit pas d'appeler quelqu'un d'autre.

1. Posez une question dont la réponse n'est pas publiable. Pas la date de naissance : le prénom du chat de sa grand-mère, ce que vous avez mangé ensemble dimanche. Une voix clonée récite ce qu'elle a trouvé, elle n'invente pas un souvenir partagé.
2. Écoutez ce qu'il y a autour de la voix. Une voix de synthèse n'a ni inspiration avant une phrase longue, ni bruit de rue, ni écho de pièce. Le silence est trop propre, et le débit ne ralentit jamais.
3. Coupez-lui la parole. Un interlocuteur réel s'arrête net. Une voix pilotée par un opérateur accuse une seconde ou deux de retard et finit sa phrase par-dessus la vôtre.
4. Raccrochez et rappelez vous-même. Pas le numéro affiché, qui peut être usurpé : celui de votre répertoire. Si personne ne répond, appelez un autre membre de la famille.

Une parade coûte dix secondes : convenir à froid, en famille, d'un mot de passe parlé — un mot banal que personne ne publiera jamais, demandé dès qu'il est question d'argent. Il tranche en un échange, là où discuter du ton de la voix ne tranche rien. Même réflexe contre l'usurpation du numéro de téléphone, qui accompagne souvent ces appels.

La première heure : capturer avant que ça disparaisse

Le réflexe de tout le monde est de demander le retrait tout de suite. C'est une erreur d'ordre : une fois le message supprimé, la preuve part avec lui, et une plainte sans pièce ne va pas loin. On capture d'abord, on signale ensuite. Dix minutes.

1. Une capture d'écran complète, barre d'adresse comprise. L'adresse visible dans l'image vaut mieux que la même adresse recopiée à côté.
2. Le fichier lui-même, en entier, par la fonction de téléchargement de la plateforme si elle existe. Un enregistrement de votre écran est un second choix : il perd les métadonnées.
3. Les identifiants du diffuseur : nom du compte, adresse du profil, date de création si elle s'affiche, et le nombre de vues et de partages au moment de votre constat. C'est ce chiffre qui mesure le préjudice.
4. Tout ce qui est arrivé autour : messages privés, menaces, demande d'argent, commentaires, et les messages de proches qui vous signalent la vidéo — leur horodatage date la diffusion mieux que votre souvenir.
5. Une copie sur un support à part, clé USB ou disque externe, pas seulement le téléphone qui a servi aux captures : la méthode est dans la fiche sur la sauvegarde de vos données.

Pendant ce temps, ne commentez pas sous la publication, et demandez la même chose à vos proches : un commentaire indigné est un signal d'engagement qui fait remonter le contenu dans les recommandations, et il met votre nom dans le fil, donc dans ce qu'indexent les moteurs.

Faire retirer le contenu : les trois canaux

Trois canaux, à activer en parallèle et non l'un après l'autre, parce qu'ils n'ont ni le même effet ni le même délai.

1. La plateforme qui héberge. C'est le seul canal qui fait vraiment disparaître la page. Le motif choisi décide de la file de traitement : prenez le plus précis que propose le formulaire — « usurpation d'identité », « média manipulé », « nudité non consensuelle », « contenu généré par IA » —, jamais un motif vague. Signalez vous-même : c'est en tant que personne représentée que vous pouvez joindre une pièce d'identité, ce que vingt signalements d'amis ne remplacent pas.

2. Le moteur de recherche. Google retire de ses résultats les contenus à caractère sexuel factices représentant une personne identifiable et diffusés sans son accord, via un formulaire dédié. Attention à la portée : la page reste en ligne, elle devient seulement introuvable par la recherche. C'est ce qui arrête la diffusion en pratique, parce que presque personne n'arrive sur ces pages autrement.

3. Les autorités. Pharos (internet-signalement.gouv.fr) reçoit le signalement des contenus illicites, 17Cyber oriente ; ni l'un ni l'autre n'est un dépôt de plainte. Si la personne visée est mineure ou jeune adulte, le 3018 est gratuit, confidentiel, et dispose d'une procédure accélérée auprès des grandes plateformes : c'est le canal le plus rapide quand le contenu est sexuel.

Ce que punissent les articles 226-8 et 226-8-1

Depuis la loi du 21 mai 2024 sur l'espace numérique, le code pénal nomme explicitement les contenus « générés par un traitement algorithmique ». Deux articles, deux niveaux.

Ce qui est diffusé	Article	Peine	En ligne
Montage ou contenu généré reproduisant votre image ou vos paroles, sans accord	226-8	1 an et 15 000 €	2 ans et 45 000 €
Le même contenu, à caractère sexuel	226-8-1	2 ans et 60 000 €	3 ans et 75 000 €
Le montage sert à obtenir de l'argent	313-1, escroquerie	5 ans et 375 000 €	—

Trois détails changent tout, et ils sont rarement écrits :

• L'article 226-8 tombe si le montage est annoncé comme tel. Le texte ne vise que les contenus dont il « n'apparaît pas à l'évidence » qu'il s'agit d'un montage, ou dont il n'est pas « expressément fait mention ». Une parodie clairement étiquetée sort du champ de cet article — ce qui n'empêche ni l'action civile pour atteinte au droit à l'image, ni la diffamation.
• L'article 226-8-1 n'a pas cette échappatoire. Pour un contenu sexuel, la mention « généré par IA » ne change rien : le texte protège la personne représentée, pas le public trompé.
• Fabriquer n'est pas puni, diffuser l'est. C'est la mise à disposition du public ou la communication à un tiers qui constitue l'infraction ; un montage gardé sur un disque dur n'entre dans aucun des deux articles.

La plainte se dépose en commissariat, en gendarmerie, ou par lettre au procureur de la République, avec les captures imprimées et le fichier sur une clé. Refusez une simple « main courante » : elle n'ouvre aucune enquête. Demandez le numéro de procédure : les plateformes traitent plus vite un signalement accompagné d'une plainte. Un délit se prescrit par six ans : l'urgence est celle de la preuve, pas celle du droit. Détail des démarches dans la fiche porter plainte et signaler un piratage.

Droit à l'effacement et plainte à la CNIL

Votre visage et votre voix sont des données personnelles : un site qui publie un montage vous représentant traite vos données, et vous pouvez lui adresser une demande d'effacement au titre du règlement européen. Par écrit, à son adresse de contact ou à son délégué à la protection des données, en gardant date et copie. Il a un mois pour répondre.

Sans réponse ou en cas de refus, la plainte se dépose en ligne auprès de la CNIL. Deux limites avant d'y mettre des espoirs : la CNIL ne retire pas le contenu, elle met en demeure puis sanctionne ; et elle n'a guère de prise sur un site hébergé hors d'Europe sans représentant. Reste alors le déréférencement, qui agit sans la coopération du site.

Les détecteurs de deepfake : ce qu'ils valent

Les détecteurs de deepfake qui annoncent un pourcentage de probabilité se trompent dans les deux sens, d'autant plus que le fichier a été recompressé par une plateforme — ce qui est le cas de tout contenu ayant circulé. Leur verdict n'a aucune valeur de preuve. Deux vérifications gratuites, elles, servent vraiment :

• La recherche d'image inversée, pour retrouver la photo d'origine qui a servi de matière : souvent une image de profil, et la comparaison des deux rend l'hypertrucage évident. Les quatre recherches gratuites sont détaillées dans la fiche quelqu'un utilise mes photos.
• Les métadonnées du fichier : sous Windows, clic droit, Propriétés, onglet Détails. Le logiciel de création du deepfake y apparaît parfois, et certains générateurs y laissent leur nom.

Ce qui ne sert à rien, et ce qui aggrave

• Payer pour faire retirer le contenu. Une demande d'argent accompagnant un montage est un chantage, et payer n'arrête rien : la demande revient. La conduite à tenir est celle du chantage aux photos intimes.
• Partager le deepfake pour le démentir. « Attention, c'est faux » accompagné du lien multiplie les vues de la vidéo truquée. Décrivez, ne diffusez pas.
• Supprimer ses comptes dans la panique. On perd les messages, les captures et les dates, c'est-à-dire le dossier. Passez le compte en privé : les contenus restent.
• Menacer l'auteur. Cela retourne le dossier contre vous et lui fournit la réaction qu'il cherchait.
• Confier ses photos à un « service de suppression » vu dans une publicité. Les faux nettoyeurs de réputation sont une seconde arnaque greffée sur la première : même mécanisme que les faux hackers qui promettent de récupérer un compte.

Si les photos utilisées venaient de chez vous, passez le test « suis-je piraté ? » puis un audit de sécurité ; et si vous préférez qu'on prépare les captures et les signalements avec vous, c'est le rôle de l'assistance à distance.

Questions fréquentes

Un deepfake qui précise « généré par IA » est-il légal ?

Pour l'article 226-8, oui : un montage dont il est expressément fait mention sort du champ de l'infraction. Deux réserves tout de même. Un contenu sexuel reste puni par l'article 226-8-1 malgré la mention. Et l'atteinte au droit à l'image, la diffamation ou le harcèlement s'apprécient séparément.

Combien de temps une plateforme met-elle à retirer un deepfake ?

Aucun délai général n'est fixé par la loi française pour ce type de contenu : les plateformes s'engagent sur leurs propres délais. Ce qui accélère le traitement est connu : un motif de signalement précis, un signalement déposé par la personne représentée, une pièce d'identité jointe, et le numéro de la plainte.

Peut-on porter plainte si on ne connaît pas l'auteur ?

Oui, et c'est la règle dans ces dossiers. La plainte contre auteur inconnu ne coûte rien et sert à deux choses même si personne n'est identifié : elle donne un numéro de procédure utile face aux plateformes, et elle permet de rapprocher plusieurs plaintes visant le même compte.

Mon enfant est visé : à qui s'adresser en premier ?

Au 3018, gratuit et confidentiel, avant même l'établissement scolaire : il dispose d'une procédure accélérée auprès des plateformes. Faites les captures d'abord, comme pour un adulte. Le volet prévention est traité dans la fiche sur la sécurité des enfants en ligne.

Sources

• Légifrance — article 226-8 du code pénal (montage ou contenu généré par traitement algorithmique : 1 an et 15 000 €, porté à 2 ans et 45 000 € en ligne ; exception si le montage est évident ou mentionné).
• Légifrance — article 226-8-1 du code pénal (contenu à caractère sexuel : 2 ans et 60 000 €, porté à 3 ans et 75 000 € en ligne).
• Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique (texte qui a inséré l'article 226-8-1 et étendu le 226-8 aux contenus générés).
• CNIL — hypertrucage (deepfake) (définition, démarches de signalement, articles applicables).
• Google — supprimer de la recherche un contenu sexuel factice (conditions ; la page reste en ligne, seul le référencement est retiré).
• Pharos — signalement des contenus illicites (signalement aux autorités, qui ne vaut pas dépôt de plainte).
• Association e-Enfance — le 3018 (numéro gratuit et confidentiel contre les violences numériques, procédure accélérée auprès des plateformes).

À lire aussi : quelqu'un utilise mes photos · un faux profil à mon nom · usurpation d'identité.