En 2024, un employé de la finance d’une multinationale (Arup) a viré 25 millions de dollars à des fraudeurs. Il n’a pas cliqué sur un lien de phishing classique. Il a participé à une visioconférence avec son directeur financier et plusieurs collègues. Sauf que tous, sauf lui, étaient des deepfakes audio et vidéo.
Ce n’est plus de la science-fiction. La désinformation dopée à l’IA n’est plus un simple enjeu citoyen ou électoral ; c’est une menace opérationnelle directe pour les entreprises. 42 % des organisations ont déjà subi une attaque d’ingénierie sociale, et 47 % des dirigeants citent l’IA générative comme le principal moteur de cette nouvelle vague de menaces (Source : Global Cybersecurity Outlook 2025, World Economic Forum).
Pour les décideurs français et européens, la pression est double. D’un côté, le risque de fraude et d’atteinte à la réputation. De l’autre, un cadre réglementaire (DSA, AI Act) qui se durcit et impose de nouvelles obligations de transparence et de gouvernance7.
Ce guide n’est pas une analyse philosophique. C’est un manuel opérationnel destiné aux CISO, DPO et Directeurs de la Communication. Nous n’allons pas seulement décrire la menace ; nous allons vous donner les protocoles, les outils et les cadres de conformité pour y faire face en 2025.
À retenir pour les décideurs :
- La menace est opérationnelle : Les deepfakes audio et vidéo sont désormais des outils de fraude B2B (fraude au président, usurpation d’identité).
- La conformité est obligatoire : Le DSA et l’AI Act 8 imposent de nouvelles obligations d’étiquetage et de transparence sur les contenus synthétiques que vous produisez ou hébergez.
- La réponse est organisationnelle : La technologie seule ne suffit pas. La résilience repose sur des protocoles humains (double canal, preuve de vie) et une gouvernance IA claire.
Menaces 2025: deepfakes, texte IA, amplification
Pour agir, il faut d’abord comprendre précisément l’ampleur et la nature de la menace. Le « Cybercrime-as-a-Service » (CaaS) s’est emparé de l’IA générative, démocratisant des attaques autrefois complexes.
Deepfakes audio/vidéo/visioconférence
La « fraude au PDG » est passée de l’email d’usurpation à l’appel visio interactif. Grâce à des kits prêts à l’emploi et à des modèles d’IA entraînés, un attaquant peut désormais cloner une voix avec quelques secondes d’échantillon ou simuler un dirigeant en temps réel.
L’objectif n’est plus seulement l’image publique, mais l’extraction financière directe, en exploitant l’urgence et le lien hiérarchique. L’affaire Arup de 2024 en est la preuve la plus spectaculaire.
Génération de texte et bots
La menace n’est pas que visuelle. L’IA générative permet de créer des narratifs coordonnés à grande échelle : faux articles de presse, campagnes de dénigrement sur les réseaux sociaux, ou « SEO toxique » pour nuire à votre référencement.
Ces opérations peuvent aussi viser vos propres outils. L’intoxication des LLM (ou LLM poisoning) consiste à polluer les données d’entraînement (par exemple, le web) avec de fausses informations sur votre entreprise, afin que les IA publiques (comme ChatGPT ou Gemini) les répètent ensuite comme des faits.
Exposition France/UE
Le contexte européen est particulièrement tendu. Les périodes électorales sont des catalyseurs : en 2024, la France a connu une augmentation de +97 % des incidents de deepfakes en glissement annuel (Source : Rapport Sensity AI).
Cette vulnérabilité est aussi culturelle. En France, seul un tiers des citoyens s’estime capable de reconnaître un deepfake, et plus de 9 Français sur 10 ont jugé authentique au moins une image (fausse) générée par IA lors d’un test récent (Source : Étude Ipsos/Cap’Com, 2024). Pour une organisation, cela signifie que vos employés, vos clients et vos partenaires sont des cibles perméables. Le Ministère des Armées français a lui-même dû démentir activement de fausses vidéos de convocation militaire et un faux site de recrutement en 2024-2025 (Source : Communiqués MinArm), illustrant la réalité de la menace institutionnelle.
Cadre FR/UE: obligations et initiatives
Face à ces menaces, le régulateur européen a cessé d’observer. Pour une DSI, une direction juridique ou une direction de la communication, ignorer ce cadre n’est plus une option.
DSA & AI Act : ce qui change pour vous
Deux textes majeurs forment le bouclier (et le carcan) réglementaire de l’UE :
- Le Digital Services Act (DSA) : Applicable aux Très Grandes Plateformes (VLOPs/VLOSEs), il les contraint à évaluer et atténuer les risques de désinformation, notamment via l’IA. Pour votre entreprise, cela signifie que les plateformes sur lesquelles vous communiquez (LinkedIn, X, YouTube…) doivent enforcer leurs propres CGU contre les deepfakes et donner aux chercheurs un accès aux données pour analyser les campagnes de manipulation.
- L’AI Act : Ce règlement cible directement les fournisseurs et utilisateurs d’IA9. Son principal impact pour vous est l’obligation de transparence. Si vous générez un deepfake (par exemple, un avatar IA pour une publicité ou une vidéo de formation), vous devez explicitement étiqueter qu’il s’agit d’un contenu synthétique. Ne pas le faire vous expose à des sanctions.
Votre priorité est de prouver votre diligence.
- Auditez vos contenus : Faites l’inventaire de tous vos contenus (marketing, RH, communication) utilisant de l’IA générative (voix, vidéo, avatars).
- Implémentez l’étiquetage : Appliquez immédiatement une mention claire (« Image générée par IA », « Voix synthétique ») sur tous les contenus concernés, comme l’exige l’AI Act.
- Mettez à jour vos CGU : Si vous hébergez du contenu utilisateur (avis, forums), mettez à jour vos conditions pour interdire les deepfakes malveillants, en ligne avec les principes du DSA.
- Rédigez une charte IA : Établissez une gouvernance interne simple : quels outils sont autorisés ? Pour quels usages ? Qui valide la transparence ?
France 2025: VIGINUM, MinArm et l’écosystème de confiance
La France ne reste pas inactive. L’écosystème public fournit des ressources précieuses pour les entreprises :
- VIGINUM : Le service de vigilance et de protection contre les ingérences numériques étrangères. C’est votre « tour de contrôle » des grandes campagnes de manipulation ciblant la France.
- Guide du Ministère des Armées : Publié en 2025, il offre des checklists et des méthodes de vérification concrètes, initialement pour les citoyens, mais parfaitement adaptables en entreprise pour la sensibilisation des équipes.
- Ressources éducatives (CLEMI / DE FACTO) : Ces observatoires et centres de ressources (comme DE FACTO, co-fondé par l’AFP) sont essentiels pour former vos équipes à l’éducation aux médias et au fact-checking.
Outils et méthodes de vérification
La conformité est une chose, la détection opérationnelle en est une autre. Comment savoir si la vidéo que vous recevez de votre « PDG » est légitime ? C’est là que les outils et les processus entrent en jeu.
Provenance/traçabilité (C2PA)
La meilleure défense est l’authentification à la source. C’est l’objectif du standard C2PA (Coalition for Content Provenance and Authenticity).
- Comment ça marche ? C2PA est une sorte de « carte d’identité » numérique inviolable, intégrée au fichier média (image, vidéo) au moment de sa création. Elle certifie qui a créé le contenu, quand, et avec quels outils (ex: « Photo prise avec un iPhone 15 », « Modifiée sur Adobe Photoshop »).
- Limites actuelles : L’adoption est encore partielle. Un fichier sans C2PA n’est pas forcément un faux, et un fichier avec C2PA peut être authentiquement malveillant. C’est une pièce du puzzle, pas une solution miracle.
- Workflow pour les marques (Dir. Contenu) : Si vous êtes une marque ou un média, commencer à signer vos propres contenus officiels avec C2PA devient un marqueur de confiance pour votre écosystème.
Détection média/process
Pour les contenus entrants non signés, on passe à la détection a posteriori.
Les outils de détection analysent les artefacts techniques (clignements d’yeux, reflets, cohérence audio) pour calculer une probabilité de manipulation. Le marché se divise en deux catégories :
- Outils citoyens/grand public : Souvent gratuits ou freemium, utiles pour une vérification ponctuelle (ex: extensions de navigateur, plateformes de fact-checking).
- Solutions B2B (API) : Conçues pour s’intégrer à vos systèmes. C’est là que la valeur se trouve pour une organisation11.
L’enjeu n’est pas d’avoir un « détecteur » gadget sur le poste d’un employé, mais de l’intégrer aux flux critiques :
- SOC/CTI : Intégrer des alertes de détection de deepfake dans votre SIEM (Security Information and Event Management). Si un fichier suspect est détecté dans un email visant la direction financière, l’alerte doit être corrélée aux autres signaux de menace.
- Processus Finance/Achats : Le flux de validation de paiement doit imposer une vérification.
Approches de vérification
| Approche | Type | Objectif | Idéal pour… | Limites 2025 |
|---|---|---|---|---|
| Vérification humaine | Processus | Confirmer l’intention et l’identité. | Fraudes (Visio, email, tél). | Lent, sujet à l’erreur humaine sous pression. |
| Provenance (Ex: C2PA) | Standard (Prévention) | Attester l’origine d’un fichier. | Médias, marques, photographes. | Adoption partielle, ne prouve pas l’intention. |
| Détection IA (API) | Outil (Réaction) | Analyser un fichier suspect. | SOC/CTI, modération de contenu. | Faux positifs/négatifs, coût, course contre les nouveaux modèles IA. |
| Fact-Checking (Ex: AFP) | Service (Analyse) | Vérifier une allégation narrative. | Communication, veille de crise. | Ne vérifie pas le média lui-même, mais l’info qu’il porte. |
Stratégies de détection et de réponse
Les outils sont inutiles sans protocoles humains robustes12. L’ingénierie sociale cible l’humain, la réponse doit donc être centrée sur l’humain.
« Les armées s’en défendent, agissent et manœuvrent mais chacun doit avoir conscience qu’il est cible et acteur dans ce combat collectif contre la manipulation de l’information. »
— Guide contre la désinformation, Ministère des Armées, juillet 2025
Protocole anti-fraude visio (Double canal)
Face à une demande de virement urgente par email ou même par visio, voici le protocole « zéro confiance » à implémenter dans vos services finance et achats13:
- Stop & Refroidissement : Ne jamais exécuter un virement inhabituel dans l’urgence. Imposer un délai de refroidissement non négociable (ex: 1 heure).
- Preuve de vie (Double Canal) : Contacter le demandeur (le PDG, le DAF) via un canal de communication totalement différent et préétabli.
- Mauvais exemple : Répondre à l’email ou rappeler le numéro fourni dans l’email.
- Bon exemple : Appeler son numéro de mobile personnel (stocké dans l’annuaire interne sécurisé) ou lui envoyer un message sur l’application de chat interne (Teams, Slack).
- Phrase-Code : Pour les opérations les plus sensibles, établir un mot-code (ou une question personnelle simple) à demander lors du double canal pour authentifier l’interlocuteur.
- Escalade claire : Si le doute persiste, l’employé doit avoir un script d’escalade clair vers le CISO ou le N+2, sans crainte de réprimande pour ce délai de vérification.
Veille & crise communicationnelle
Que faire si un deepfake de votre PDG annonçant de faux résultats financiers devient viral ?
- Veille (SOC/CTI) : Votre veille ne doit plus se limiter aux menaces techniques (malware, phishing), mais inclure les signaux narratifs. Surveillez l’émergence de « false claim fingerprints » (empreintes de fausses allégations) sur votre marque.
- Coordination (Com/Juridique/Sécu) : Le playbook de crise doit être prêt. Qui prend la parole ? Sur quels canaux ? Quel est le message ?
- Message public : La réponse doit être rapide, massive et utiliser vos canaux officiels (signés C2PA si possible) pour démentir, expliquer la situation et rediriger vers la source d’information fiable (votre site corporate).
Perspectives 2026–2028
Nous n’en sommes qu’au début. La résilience organisationnelle se jouera sur deux fronts.
Standards & adoption
La provenance (C2PA) et le watermarking (tatouage numérique) deviendront probablement des standards embarqués par défaut dans les navigateurs, les smartphones et les applications de réseaux sociaux. Les plateformes et les autorités (via le DSA) coopéreront davantage pour accélérer la détection.
Implications : la gouvernance IA devient critique
Pour les organisations, la gouvernance IA ne sera plus une option éthique, mais une nécessité opérationnelle.
« 66% des répondants pensent que l’IA impactera le plus la cybersécurité dans 12 mois, mais seulement 37% ont des processus pour un déploiement IA sûr. »
— Exécutif GCO 2025, World Economic Forum
Combler cet écart est la priorité n°1. Les audits de risques informationnels et le red-teaming génératif (tester vos propres défenses contre des IA d’attaque) deviendront des pratiques courantes pour les CISO matures.
FAQ
1) Comment reconnaître un deepfake en 30 secondes ?
Cherchez les incohérences :
- Visuelles : Clignements d’yeux absents ou étranges, contours du visage flous (surtout jonction cou/visage), éclairage incohérent avec l’arrière-plan, grain de peau trop lisse.
- Audio : Voix métallique, respiration absente, synchronisation labiale imparfaite.
- Process : Le demandeur met une pression anormale, refuse un double appel.
2) Quels outils gratuits vs payants pour vérifier une vidéo/voix ?
- Gratuits/Éducatifs : Les plateformes de fact-checking reconnues (AFP, CheckNews) pour vérifier l’information. Certains outils universitaires ou extensions de navigateur existent, mais leur fiabilité varie face aux nouvelles IA.
- Payants (B2B) : Ce sont des API (ex: ZeroFox, ValidSoft) qui s’intègrent à vos flux pour une analyse en temps réel. Le choix dépend de vos besoins (visio temps réel, analyse de fichiers audio) et de leur capacité d’intégration à votre SIEM.
3) Quelles obligations DSA/AI Act pour une marque sur les deepfakes ?
- AI Act : Si vous créez ou utilisez un deepfake (avatar IA, voix synthétique), vous devez l’étiqueter clairement comme tel pour informer l’utilisateur.
- DSA : Si vous êtes une plateforme (VLOP), vous devez activement lutter contre leur propagation malveillante. Si vous êtes une marque, vous bénéficiez de cette protection accrue.
4) Comment mettre en place un protocole anti-fraude visio en finance/achats ?
- Sensibiliser aux risques (cas Arup).
- Écrire la procédure : interdiction de virement urgent sans double vérification.
- Définir le « double canal » (ex: appel sur mobile personnel pré-enregistré, jamais sur le numéro donné dans l’email).
- Tester ce protocole via des exercices (fire drills).
5) Quelles ressources FR fiables pour fact-checking ?
- Pour vérifier une allégation ou une narrative : AFP Factuel, Les Décodeurs (Le Monde), CheckNews (Libération), FranceInfo Vrai/Faux, et l’observatoire DE FACTO.
- Pour la méthodologie et la formation : le CLEMI et le guide du Ministère des Armées.
La technologie de désinformation évoluera plus vite que vos outils de détection. Votre seule défense durable est une culture organisationnelle de la vérification.
Et vous, quels protocoles de vérification avez-vous mis en place face à la fraude par IA ? Partagez vos défis et vos bonnes pratiques en commentaire.
À propos des auteurs
Alain Lanoë est rédacteur en chef et analyste des futurs technologiques pour Ikendo.fr. Fort de 15 ans d’expérience en conseil stratégique et en journalisme économique, il décrypte les mouvements de fond qui dessinent notre avenir numérique. Sa mission : transformer le bruit informationnel en signal stratégique.
Thomas Prudhomme est journaliste Tech & Outils pour Ikendo.fr, spécialisé dans les tests, les guides pratiques et les comparatifs. Ancien chef de produit dans la tech, il traduit les grandes stratégies technologiques en choix concrets et actionnables, avec une honnêteté radicale.
Sources principales
- Global Cybersecurity Outlook 2025, World Economic Forum (WEF)
- Guide contre la désinformation, Ministère des Armées (France, 2025)
- Étude sur la perception des contenus IA, Ipsos/Cap’Com (2024)
- Rapports Sensity AI (2024)
- Textes officiels : Digital Services Act (DSA) et AI Act (Union Européenne)
