Art. 226-8 CP — montage utilisant l'image ou les paroles d'une personne sans son consentement (1 an d'emprisonnement, 15 000 € d'amende)Art. 226-8-1 CP — hypertrucage à caractère sexuel et/ou diffusé via un service de communication en ligne : peines aggravéesArt. 313-1 CP — escroquerie : tromperie en vue de remettre des fonds, un bien ou un service (5 ans, 375 000 €)Art. 222-33-2-2 CP — harcèlement, y compris en ligne (2 ans, 30 000 €)Art. 227-23 CP — contenus pédopornographiques, y compris générés par IA (5 ans, 75 000 €)Le 3 février 2026, la CNIL publie une fiche pratique qualifiant les hypertrucages de risque de masse et détaillant, article par article, les qualifications pénales applicables : usurpation d'identité, escroquerie, harcèlement, désinformation, contenus haineux ou pédopornographiques — en précisant explicitement que ces derniers sont punis même produits par un outil d'IA.
Illustration concrète du phénomène : en juin 2025, une vidéo truquée par IA a mis en scène Huguette Bello, présidente du Conseil régional de La Réunion, affirmant qu'un investissement de 250 € permettait de « devenir riche rapidement » grâce à une plateforme prétendument soutenue par la Région — ce qui était faux. La collectivité a dû publiquement démentir. Bello n'est ici en rien fautive : elle est la victime d'une usurpation de son image à des fins d'escroquerie, un scénario que la CNIL range désormais parmi les usages malveillants les plus courants de l'IA générative, aux côtés de la fraude au président visant les entreprises.
Le deepfake n'est plus une prouesse technique isolée : c'est un vecteur d'attaque social-engineering industrialisé, accessible avec un simple face-swap et quelques secondes de voix. Pour un professionnel de la sécurité, l'affaire Bello illustre un axe d'attaque directement transposable au vishing d'entreprise (fraude au président par clonage vocal du dirigeant) et à la désinformation ciblée. Le droit français ne se contente pas de l'article 226-8 : il combine usurpation d'image, escroquerie et harcèlement en fonction du vecteur utilisé, ce qui multiplie les qualifications mobilisables contre un même contenu. Et la loi ne raisonne pas en « degré de réalisme » : dès le montage sans consentement, l'infraction est consommée, ce qui abaisse le seuil de preuve par rapport à une manipulation de marché ou une diffamation classique — un point utile à connaître pour évaluer la surface de risque juridique d'un test d'ingénierie sociale par deepfake en contexte offensif autorisé.