La détection de deepfake fonctionne. Elle progresse vite, elle est portée en France par des équipes scientifiques de premier plan. Elle a tout à fait sa place dans une stack de sécurité. Mais ce n'est pas le sujet de cet article. Le sujet, c'est que la détection des deepfakes répond à une question qui n'est peut-être pas la vôtre. Et aucun gain en qualité de détection ne viendra changer cela.
Ce que la détection de deepfake fait bien, et qu'il faut garder
Commençons par une évidence. La détection de contenus générés par IA est un champ scientifique sérieux, et il produit des résultats. En France, Label4.ai, issue de la recherche publique (Inria, CNRS), a été doublement primée au Prix Start-up InCyber 2026 (prix de la recherche et coup de cœur du jury, une première pour le Forum InCyber), avec une approche multimodale : image, vidéo, audio, document. Ce n'est pas du marketing : c'est de la recherche appliquée, et elle a une utilité réelle.
Un détecteur automatisé vous sert à trier un volume qu'aucun humain ne peut trier à la main : des milliers de justificatifs d'identité en KYC, des notes de frais, des pièces jointes, des flux entrants. Il vous sert à lever une alerte là où aucun analyste SOC ne regardait. Il vous sert à qualifier un contenu après coup, dans une investigation. Sur ces usages, la détection est un bon outil et le retirer de votre stack serait une erreur.
Le problème n'est pas là. C'est le glissement d'usage : passer de « cet outil m'aide à trier » à « cet outil me dit si je peux exécuter cet ordre de virement ». Ce glissement est silencieux, confortable, mais hélas structurellement faux. Quatre asymétries expliquent pourquoi.
Asymétrie 1 — Le détecteur a forcément une génération de retard
Un détecteur apprend à reconnaître les artefacts des générateurs passés. Le générateur produit ceux de demain. Et ce n'est pas un défaut d'ingénierie : c'est la manière même dont est construit un détecteur.
La démonstration la plus nette est récente. Le benchmark Deepfake-Eval-2024 (Nuria Alina Chandra et al., arXiv:2503.02857, 4 mars 2025) a fait une chose que les publications académiques ne faisaient pas : il a confronté les détecteurs à des deepfakes réellement en circulation en 2024. Au total 45 heures de vidéo, 56,5 heures d'audio, 1 975 images, collectées sur 88 sites et dans 52 langues. Résultat : les détecteurs open source à l'état de l'art perdent en moyenne 50 % d'AUC en vidéo, 48 % en audio et 45 % en image par rapport aux jeux de données académiques sur lesquels ils avaient été évalués. Les modèles commerciaux et les modèles réentraînés sur ce jeu font mieux — mais restent en deçà des analystes forensiques humains.
Le but n'est pas de montrer que les détecteurs sont mauvais. C'est de souligner que le benchmark n'est pas le champ de bataille. Un détecteur excellent en laboratoire peut se comporter très différemment face au faux qui arrive un vendredi à 17 h 30.
Les meilleurs acteurs du domaine le savent, et le disent. Label4.ai écrit sur son propre site qu'elle ne croit pas au détecteur universel et que ses détecteurs sont spécialisés par usage. C'est une position scientifiquement honnête. C'est aussi l'aveu que la couverture est, par construction, un patchwork qu'il faut étendre en permanence.
Asymétrie 2 — Générer coûte 3 secondes, détecter coûte un abonnement
Toute défense dont le coût croît avec l'effort de l'attaquant est une défense qu'on perd à l'usure.
Côté attaquant : trois secondes d'audio suffisent, depuis 2023, à cloner un timbre de voix (Microsoft Research, VALL-E, arXiv:2301.02111, 5 janvier 2023). Le coût marginal de l'attaque suivante est proche de zéro (les messageries vocales permettent généralement de récupérer toute la matière nécessaire à un clone suffisant).
Côté défenseur : le coût est récurrent. Là encore, l'écrire n'est pas un procès d'intention, c'est la promesse commerciale elle-même. Label4.ai annonce sur sa page d'accueil mettre ses détecteurs à jour en continu afin qu'ils restent efficaces face aux nouveaux modèles génératifs. C'est exactement ce qu'il faut faire quand on fait de la détection. C'est ce qui définit une course : vous ne la gagnez pas, vous la financez.
Dit autrement, ce n'est pas une bataille… c'est un abonnement !
Asymétrie 3 — Un détecteur rend un score, pas une décision
« 82 % de probabilité que ce contenu soit synthétique » n'est pas une réponse. C'est une question renvoyée à quelqu'un d'autre, à qui vous déléguez le stress de prendre une décision sur cette seule information.
Un détecteur produit une sortie probabiliste : score, carte de chaleur, rapport... C'est utile pour un analyste, mais ce n'est pas exploitable dans la minute pour un comptable au téléphone à qui l'on demande un virement urgent. Que fait-il à 82 % ? La décision est-elle différente à 61 % ? Le seuil de décision n'est pas dans l'outil : il est dans la tête d'une personne sous pression. Et l'on sait ce que l'autorité et l'urgence font à cette personne (c'est le sujet de « Ingénierie sociale à l'ère de l'IA : votre cerveau est la faille »). Pire : les procédures censées encadrer ce moment (contre-appel, mot de code, double validation) échouent pour la même raison : elles produisent une supposition, pas une preuve. Elles n'aident pas à la prise de décision.
Le raisonnement vaut pour tous les canaux, et c'est là que la démonstration devient la plus parlante : une instruction critique arrive aussi par e-mail, par WhatsApp, par Teams ou par SMS. Chez Pathé, en 2018, la fraude est passée par de simples emails. Et 19,2 M€ sont partis. Il n'y avait rien à détecter. Et si elle était arrivée par Teams, cela aurait-il été différent ? Probablement pas. La règle, ici, c'est qu'on ne pourra jamais anticiper le canal utilisé par les attaquants, alors que le détecteur doit les couvrir tous, avec leur spécificités d'intégration.
Asymétrie 4 — Un score faux dégrade celui qui devait décider
Le détecteur ne se contente pas d'échouer : quand il se trompe, il entraîne l'humain dans son erreur.
C'est le résultat le plus important de la littérature, et le moins cité. Dans une étude publiée dans PNAS en janvier 2022 (Matthew Groh, Ziv Epstein, Chaz Firestone, Rosalind Picard, Deepfake detection by human crowds, machines, and machine-informed crowds, 119(1), e2110013119), 15 016 participants ont dû distinguer vidéos authentiques et deepfakes, seuls puis assistés d'un modèle de détection. Conclusion des auteurs : l'ensemble humain + modèle fait mieux que chacun séparément, mais les prédictions incorrectes du modèle dégradent souvent la justesse des participants car ceux-ci révisent leur jugement dans le mauvais sens. Les auteurs vont plus loin : un outil d'aide à la décision peut se révéler contre-productif.
Qu'est-ce que cela signifie pour l'entreprise ? Vous déployez un détecteur pour renforcer la vigilance de vos équipes. Le jour où il se trompe (et cela arrivera forcément, voir asymétrie 1), il ne vous laisse pas au point de départ. Il vous laisse en plus mauvaise posture. Car pour un collaborateur qui doutait, un outil qui affiche « contenu authentique » est vu comme une autorisation d'exécution. L'outil est déployé par l'entreprise, c'est donc forcément une validation de l'entreprise. Vous avez transformé un doute utile en autorisation implicite.
C'est le pire scénario possible pour un dispositif de sécurité : non pas ne rien apporter, mais retirer quelque chose.
Marquage IA et AI Act : pourquoi le filet ne se refermera pas
Objection légitime : le marquage des contenus IA (watermarking) va régler le problème par le haut, sous l'impulsion de l'article 50 de l'AI Act, qui prévoit que les contenus générés soient marqués de manière robuste et lisible par machine.
Deux limites, et ce n'est pas nous qui les posons. La première est calendaire et d'adoption : le CEO de Label4.ai, Nicolas Bodin, explique publiquement que tant que l'obligation n'est pas appliquée (horizon fin 2026), les acteurs hésitent à l'intégrer, et que son entreprise s'est donc tournée vers la détection passive comme « filet de sécurité ». La seconde est structurelle : le marquage suppose un producteur coopératif. Il authentifie le contenu de ceux qui acceptent de se marquer. Un fraudeur qui monte une usurpation de dirigeant utilise un modèle qui ne marque rien. Et l'absence de marque, à nouveau, ne prouve rien. Au mieux cela forcera les attaquants à travailler un peu plus : ils ne pourront plus utiliser de services en ligne (qui, eux, respecteront l'obligation de marquage) et devront déployer localement, sur du matériel puissant, des modèles débridés.
Le marquage est une excellente réponse à un problème de transparence. Ce n'est pas une réponse à un problème d'origine d'un ordre.
Le test du détecteur parfait : 100 % de justesse ne prouve rien
Accordons maintenant la victoire au détecteur. Supposons la technologie parfaite : 100 % de justesse, zéro faux positif, temps réel, gratuit et disponible sur tous les formats. Rien de tout ce qui précède ne tient plus.
Il ne résout toujours pas votre problème.
Et pourtant, ce n'est toujours pas suffisant. Parce qu'il répond à une autre question, et qu'il ne se prononce que sur l'authenticité d'un contenu. Alors que vous avez besoin de l'origine d'une instruction et d'une trace forte qui le prouve. Ce n'est pas une différence de performance. C'est une différence de nature.
Un détecteur parfait ne vous dit toujours pas :
-
ce qui se passe quand l'ordre arrive par un canal qu'il n'écoute pas. L'e-mail de Pathé n'avait rien à détecter. Le virement est parti quand même ;
-
ce qui se passe quand le contenu est authentique et l'ordre illégitime. Un enregistrement réel, sorti de son contexte, passe tous les tests d'authenticité. Et quand le contenu est faux mais que la vérification repose sur un œil humain, elle cède : c'est ce qui s'est joué chez Arup ;
-
ce qu'il reste six mois plus tard, quand l'assureur ou l'auditeur demande qui a autorisé le virement. Un score archivé n'est pas une attribution, c'est une question de gouvernance et de responsabilité ;
-
et surtout : un détecteur parfait ne prouve rien. Il ne fait que ne rien signaler. L'absence d'alerte n'est pas une preuve d'autshenticité. C'est une absence.
Voilà pourquoi la course est perdue d'avance : même en la gagnant, vous n'obtenez pas ce que vous cherchez.
Détection ou preuve : la charge change de camp
| Détection | Preuve d'origine | |
|---|---|---|
| Question posée | Ce contenu est-il synthétique ? | Le dirigeant a-t-il approuvé cette instruction ? |
| Objet analysé | Un contenu (voix, image, document) | Une instruction |
| Sortie | Un score probabiliste | Un oui / non vérifiable |
| Moment | Après réception, avant décision humaine | Avant exécution |
| Charge de la démonstration | Sur le défenseur : prouver que c'est faux | Sur l'ordre : rien ne s'exécute sans validation |
| Face à un canal non couvert | Aveugle | Indifférent : c'est l'instruction qui est vérifiée, pas le médium |
| En cas d'échec | L'ordre s'exécute et le score erroné a pu dégrader le vérificateur humain | L'ordre ne s'exécute pas car l'absence de validation bloque |
La ligne décisive est la dernière. Dans le monde de la détection, l'échec est silencieux et permissif : rien n'est signalé, donc on exécute. Dans le monde de la preuve, l'échec est bruyant et bloquant : rien n'est validé, donc rien ne part.
C'est le renversement de la charge. On ne cherche plus à démontrer que le faux est faux. On exige que le vrai se prouve.
Gardez votre détecteur. Cessez de l'appeler une preuve
Notre recommandation opérationnelle :
-
Gardez-votre détecteur. Sur le tri de volume, le KYC, l'analyse post-incident, la modération, l'alerte sur des signaux faibles. Il fait un travail que nul autre ne fait.
-
Ne le placez jamais sur le chemin d'une décision d'exécution. Un score ne doit pas être une condition de virement, de changement d'IBAN, de réinitialisation d'accès ou d'ouverture de droits. Un score est un point de donnée.
-
Ne l'archivez pas comme preuve. Un rapport de détection documente une analyse. Il n'établit pas qui a donné l'ordre.
-
Vérifiez l'instruction, pas le médium. La question n'est pas « cette voix est-elle vraie ? » mais « le dirigeant a-t-il lui-même validé cette demande précise à tel instant ? ».
Ce sont ces critères, développés et utilisables face à n'importe quel fournisseur, que nous détaillons dans « Fraude au président : 5 critères pour évaluer une solution ».
Vérifier l'instruction, pas le contenu : le déplacement à opérer
L'écart que la détection ne peut pas combler porte un nom : l'instruction trust gap — l'espace entre l'ordre donné et l'ordre exécuté, où rien ne prouve, de manière indépendante, que l'ordre vient de la bonne personne (« L'autorité humaine usurpée : la nouvelle surface d'attaque de l'IA » en donne la définition complète). Vos outils savent qui a exécuté et où va l'argent ; aucun ne prouve qui a ordonné (Trustpair protège-t-il contre la fraude au président ?).
C'est le déplacement qu'opère l'Executive Instruction Verification : ne pas détecter le faux, mais prouver le vrai — une validation cryptographique de l'instruction par le dirigeant lui-même, sur son appareil, avant exécution, quel que soit le canal.
On ne détecte pas le faux. On prouve le vrai.
FAQ
La détection de deepfake est-elle fiable en entreprise ? Elle est fiable pour ce qu'elle sait faire : trier, alerter, qualifier après coup. Elle est peu fiable comme condition d'exécution en temps réel. Les détecteurs open source à l'état de l'art perdent en moyenne 45 à 50 % d'AUC face aux deepfakes réellement en circulation par rapport aux benchmarks académiques (Deepfake-Eval-2024, mars 2025). Les modèles commerciaux font mieux, sans pour autant atteindre le niveau des analystes forensiques humains.
Pourquoi un détecteur ne peut-il pas remplacer une vérification d'identité du donneur d'ordre ? Parce qu'il analyse un contenu, pas une instruction. Il peut vous dire qu'un fichier audio semble authentique. Il ne peut pas vous dire que votre dirigeant a réellement approuvé ce virement précis. Ces deux questions n'ont ni le même objet, ni la même sortie.
Un détecteur à 99 % de justesse suffirait-il ? Non. Un détecteur parfait ne prouve rien : il se contente de ne rien signaler. Et il reste aveugle aux canaux qu'il n'écoute pas. Par exemple, l'e-mail de Pathé (19,2 M€, 2018) n'avait rien à détecter et la fraude est passée “légitimement”.
Un outil de détection peut-il aggraver le risque ? Oui, et c'est documenté. Dans l'étude PNAS de 2022 (Groh et al., 15 016 participants), les prédictions incorrectes du modèle ont souvent dégradé la justesse des participants, qui révisaient leur jugement dans le mauvais sens. Les auteurs qualifient explicitement ce type d'aide à la décision de potentiellement contre-productif.
Le marquage des contenus IA prévu par l'AI Act réglera-t-il le problème ? Non, pour deux raisons. L'obligation n'est pas encore appliquée, et le marquage suppose un producteur coopératif : un fraudeur n'apposera aucune marque sur son contenu. Le marquage sert la transparence des contenus IA légitimes, pas la vérification de l'origine d'un ordre malveillent.
Faut-il désinstaller son détecteur de deepfake ? Non. Il faut cesser de lui demander ce qu'il ne peut pas donner. Gardez-le pour le tri, le KYC et l'investigation. Retirez-le du chemin de décision d'un virement ou d'un changement d'accès, et remplacez-le à cet endroit par une vérification de l'instruction elle-même.
Sources
-
Chandra, N. A. et al., Deepfake-Eval-2024: A Multi-Modal In-the-Wild Benchmark of Deepfakes Circulated in 2024, arXiv:2503.02857, 4 mars 2025. https://arxiv.org/abs/2503.02857
-
Groh, M., Epstein, Z., Firestone, C., Picard, R., Deepfake detection by human crowds, machines, and machine-informed crowds, PNAS, 119(1), e2110013119, janvier 2022. DOI : 10.1073/pnas.2110013119
-
Microsoft Research, VALL-E — Neural Codec Language Models are Zero-Shot Text to Speech Synthesizers, arXiv:2301.02111, 5 janvier 2023. https://arxiv.org/abs/2301.02111
-
Banque de France / Observatoire de la sécurité des moyens de paiement, Rapport annuel 2024 (publié le 9 septembre 2025) : la fraude par manipulation représente 382 M€.
-
Label4.ai — site officiel (label4.ai) et entretien de Nicolas Bodin, CEO, publié par Bretagne Cyber Alliance (2026) : détection passive comme « filet de sécurité », mise à jour continue des détecteurs, spécialisation par usage.
-
Forum InCyber (FIC) 2026 — Prix Start-up : Label4.ai, prix de la recherche et coup de cœur du jury.
-
Affaire Pathé (2018) — 19,2 M€ détournés par instructions frauduleuses transmises par e-mail ; jugement du tribunal d'Amsterdam.