# Deepfakes : quand l'image d'une élue devient l'appât d'une arnaque à 250 €

Le mot deepfake, contraction de deep learning et de fake, désigne un contenu audio, photo ou vidéo créé ou modifié grâce à des techniques d'intelligence artificielle capables d'imiter un visage, une voix ou un mouvement avec un réalisme de plus en plus difficile à distinguer d'un contenu authentique. En français, l'autorité de protection des données préfère le terme d'hypertrucage. Longtemps cantonné à des démonstrations techniques ou à des usages de niche, le deepfake s'est banalisé au point de devenir, en 2026, un vecteur d'attaque grand public : face swapping pour remplacer un visage dans une vidéo, clonage vocal pour imiter une voix dans un message audio, lip synching pour resynchroniser les mouvements de lèvres avec un nouveau texte. Des applications largement accessibles permettent aujourd'hui de produire ce type de contenu sans compétence technique particulière, ce qui a mécaniquement démultiplié le volume de contenus truqués en circulation, notamment sur les réseaux sociaux.

Le 3 février 2026, la Commission nationale de l'informatique et des libertés (CNIL) a publié une fiche pratique consacrée à l'hypertrucage, destinée au grand public mais dont la portée est aussi juridique que pédagogique. Ce document a le mérite de cartographier précisément les qualifications pénales mobilisables face à un deepfake malveillant, sans se limiter à un seul texte. Le socle est l'article 226-8 du code pénal, qui punit d'un an d'emprisonnement et de 15 000 € d'amende le fait de publier, par quelque moyen que ce soit, un montage réalisé avec les paroles ou l'image d'une personne sans son consentement, s'il n'apparaît pas à l'évidence qu'il s'agit d'un montage ou s'il n'en est pas expressément fait mention. Introduit par la loi SREN du 21 mai 2024, l'article 226-8-1 aggrave ces peines lorsque le montage présente un caractère sexuel ou qu'il est diffusé via un service de communication au public en ligne — un réseau social, typiquement. Ce texte est directement issu de la volonté du législateur de répondre aux deepfakes pornographiques non consentis, un phénomène documenté depuis plusieurs années et qui touche disproportionnellement des femmes, connues ou anonymes.

Mais la CNIL rappelle que le deepfake malveillant ne se limite pas à l'atteinte à la représentation de la personne. Il peut aussi caractériser une escroquerie au sens de l'article 313-1 du code pénal — tromper une personne en vue de lui faire remettre des fonds, un bien ou un service, infraction punie de cinq ans d'emprisonnement et de 375 000 € d'amende — lorsque le contenu truqué sert à obtenir un virement ou un investissement frauduleux. Il peut constituer un harcèlement, en ligne ou non, sanctionné par l'article 222-33-2-2 et suivants (deux ans, 30 000 €), lorsqu'il sert à humilier, menacer ou faire chanter une victime, en particulier dans des phénomènes de sextorsion. Il peut relever de la désinformation prohibée par l'article 27 de la loi du 29 juillet 1881, l'article 322-14 du code pénal ou l'article L97 du code électoral, lorsqu'il vise à manipuler l'opinion publique. Et point sans doute le plus important pour un public technique : la CNIL précise noir sur blanc que la production, la détention ou la diffusion de contenus pédopornographiques tombe sous le coup de l'article 227-23 du code pénal (cinq ans, 75 000 €) y compris lorsque ces contenus ont été produits par des outils d'intelligence artificielle générative — la génération synthétique n'exonère en rien de la qualification pénale.

Pour donner corps à ce cadre, un cas concret et vérifiable mérite d'être détaillé. En juin 2025, une vidéo truquée par IA a circulé mettant en scène Huguette Bello, présidente du Conseil régional de La Réunion, affirmant qu'un investissement de 250 € permettait de « devenir riche rapidement » grâce à une plateforme financière prétendument soutenue officiellement par la collectivité régionale. L'information était fausse de bout en bout : la Région n'a jamais validé ni soutenu une telle opération, et a dû publier un démenti public relayé par les médias locaux. Il est essentiel de le souligner clairement : Huguette Bello n'est en rien fautive dans cette affaire. Elle est la victime d'une usurpation de son image et de sa fonction, exploitée par des escrocs pour donner une apparence de légitimité institutionnelle à une arnaque financière classique. Ce schéma — utiliser le visage ou la voix d'une personnalité publique, politique, économique ou médiatique, pour crédibiliser une fausse promesse d'enrichissement — est aujourd'hui l'un des usages malveillants les plus documentés de l'IA générative à des fins de fraude, aux côtés de la « fraude au président », qui vise cette fois les entreprises en usurpant la voix ou l'image d'un dirigeant pour obtenir un virement frauduleux d'un service comptable ou financier.

L'enjeu dépasse largement le seul cadre pénal individuel. Pour un professionnel de la cybersécurité, le deepfake est avant tout un vecteur d'ingénierie sociale industrialisé : il abaisse le coût de production d'un contenu de phishing vocal ou vidéo crédible, brouille les signaux de vérification traditionnels (voix reconnaissable, visage familier) sur lesquels reposaient les mécanismes humains de confiance, et s'attaque aussi bien aux particuliers, via des arnaques à l'investissement ou des sextorsions, qu'aux organisations, via des fraudes au virement fondées sur un clonage vocal du dirigeant. Le fait que l'infraction d'usurpation d'image soit constituée dès le montage non consenti, indépendamment de tout préjudice financier avéré, abaisse également le seuil de caractérisation par rapport à d'autres infractions économiques ou de presse — un paramètre important pour évaluer le risque juridique d'une simulation d'ingénierie sociale par deepfake menée dans un cadre offensif autorisé (red team, audit de sensibilisation), où le consentement et le périmètre contractuel de l'exercice doivent impérativement couvrir l'usage de l'image ou de la voix des personnes impliquées.

Face à cette menace, la CNIL ne se contente pas de rappeler l'arsenal répressif : elle finance et accompagne, via son laboratoire d'innovation numérique (LINC), des travaux de recherche technique sur la détection des contenus artificiels, notamment le projet GenFakes mené avec le Pôle d'expertise de la régulation numérique (PEReN), qui explore à la fois la génération et la détection des deepfakes, ainsi que des travaux sur le tatouage numérique (watermarking) des contenus produits par IA. La France participe également aux travaux européens sur un code de bonnes pratiques relatif au marquage et à l'étiquetage des contenus générés par IA, dans la continuité des obligations de transparence que le règlement européen sur l'IA (AI Act) impose progressivement aux fournisseurs de systèmes d'IA générative. Ce chantier de la détection technique — watermarking, empreintes cryptographiques de provenance, standards de certification de l'authenticité des médias — est appelé à devenir un terrain de recherche et de conformité central pour les années à venir, à mesure que les hypertrucages deviennent indiscernables à l'œil nu.

## Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Cinq angles possibles pour approfondir ce sujet selon l'intérêt du lecteur — copier l'un d'entre eux tel quel dans le champ de personnalisation de l'Audio Overview NotebookLM.

**Angle 1 — Audit offensif et ingénierie sociale par deepfake.** Concentre-toi sur les implications opérationnelles pour un test d'intrusion ou un red team incluant une simulation de fraude au président par clonage vocal ou vidéo : quelles autorisations écrites (rules of engagement) doivent couvrir l'usage de l'image ou de la voix d'un collaborateur, quels risques juridiques resteraient malgré une autorisation interne, et comment la qualification de l'article 226-8 du code pénal s'articule avec le périmètre contractuel d'un audit de sensibilisation.

**Angle 2 — Architecture technique de détection et de provenance.** Explique en détail le fonctionnement du tatouage numérique (watermarking) des contenus IA, le rôle du projet GenFakes mené par le PEReN et le LINC de la CNIL, et les standards émergents de certification de provenance des médias (type C2PA), en évaluant leur robustesse réelle face à des attaques adverses de suppression de watermark.

**Angle 3 — Comparaison des régimes de sanction déjà documentés dans ce dépôt.** Mets en perspective les peines individuelles de l'article 226-8 (15 000 €, un an) et de l'article 313-1 (375 000 €, cinq ans) face aux sanctions administratives à hauteur de plusieurs dizaines de millions d'euros déjà traitées dans les archives du dépôt (sanction CNIL Free/Free Mobile de 42 M€, amende DSA de 120 M€ contre X) : pourquoi le droit pénal individuel et la régulation administrative des plateformes suivent des échelles de sanction si différentes, et ce que cela dit de la répartition des responsabilités entre auteur du deepfake et plateforme de diffusion.

**Angle 4 — Veille réglementaire automatisée sur la transparence des contenus IA.** Concentre-toi sur la manière de construire une veille technique et juridique continue sur les obligations de marquage et d'étiquetage des contenus générés par IA en Europe : obligations de transparence du règlement AI Act pour les modèles à usage général, code de bonnes pratiques européen sur le watermarking, et interactions attendues avec le Digital Services Act pour les très grandes plateformes qui hébergent ces contenus.

**Angle 5 — Prospective contentieuse et responsabilité des plateformes.** Explore les scénarios de contentieux à venir : dans quelle mesure une plateforme qui héberge et propage un deepfake de fraude à l'investissement engagerait-elle sa responsabilité au titre du DSA (obligations de modération et de transparence déjà sanctionnées dans le cas X du 5 décembre 2025), et comment les futures obligations de l'AI Act sur les systèmes à haut risque et le marquage des contenus synthétiques pourraient, à terme, faciliter ou au contraire complexifier l'établissement de la preuve dans une affaire d'hypertrucage.