Deepfake de votre dirigeant : que faire en cas d'usurpation ?
7 min de lecture
Voix clonée pour valider un virement, fausse vidéo d'investissement : ce que prévoit le Code pénal, quoi faire dans les premières heures, et comment réduire le risque.
Le scénario n'a plus rien d'exotique. Une voix qui ressemble à celle du dirigeant demande un virement urgent à la comptable. Une vidéo où il recommande un placement circule sur les réseaux. Dans les deux cas, la technologie est la même et l'urgence est différente. Voici ce que prévoit le droit français, et ce qu'il faut faire dans l'ordre.
Deux scénarios, deux urgences
Le premier vise votre trésorerie. Un faux ordre, transmis par voix clonée ou en visioconférence truquée, cherche à déclencher un paiement. L'urgence est d'arrêter le virement, et elle se compte en heures.
Le second vise votre réputation. Une fausse vidéo publiée ou sponsorisée fait dire à votre dirigeant ce qu'il n'a jamais dit, souvent pour promouvoir une arnaque. L'urgence est de faire retirer le contenu et de prévenir vos publics.
Un point commun : dans les deux cas, ce sont vos équipes ou vos clients qui détectent en premier. La rapidité dépend entièrement de leur capacité à alerter sans crainte d'avoir l'air ridicule.
Ce que dit le Code pénal
La diffusion d'un hypertrucage relève de l'article 226-8 du Code pénal, modifié par la loi du 21 mai 2024. Il vise expressément le fait de porter à la connaissance du public un contenu visuel ou sonore généré par un traitement algorithmique et représentant l'image ou les paroles d'une personne, sans son consentement, quand il n'apparaît pas à l'évidence qu'il s'agit d'un contenu généré ou qu'il n'en est pas expressément fait mention.
Les peines sont d'un an d'emprisonnement et 15 000 euros d'amende, portées à deux ans et 45 000 euros lorsque les faits sont commis via un service de communication au public en ligne. Autant dire : dans la quasi-totalité des cas réels.
Quand le deepfake sert à obtenir un paiement, on quitte l'atteinte à la représentation pour entrer dans l'escroquerie de l'article 313-1, punie de cinq ans d'emprisonnement et 375 000 euros d'amende. La qualification change, et la gravité aussi.
Ces textes répriment celui qui diffuse ou qui trompe. Ils ne vous rendent pas les fonds partis, et ils supposent d'identifier l'auteur. D'où l'importance de ce qui suit.
Les premières heures, dans l'ordre
Conserver les preuves avant toute chose. Captures d'écran horodatées, adresses des publications, enregistrements, courriels reçus. Un contenu signalé disparaît parfois avant que vous ayez de quoi le prouver.
Bloquer le flux financier si un paiement est parti. La banque doit être prévenue immédiatement : les chances de rappel de fonds s'effondrent avec les heures.
Signaler le contenu à la plateforme qui l'héberge, par le canal dédié à l'usurpation d'identité plutôt que par le formulaire générique. Le traitement n'est pas le même.
Déposer plainte, même si l'auteur est à l'étranger et l'issue incertaine. Le dépôt conditionne la coopération des plateformes, l'indemnisation par votre assurance et la crédibilité de votre communication.
Prévenir vos publics vous-même, sans attendre le retrait. Un message factuel sur vos canaux officiels vaut mieux qu'un silence pendant que la fausse vidéo circule. Dites ce qui est faux, où vérifier l'information authentique, et ce que vous ne demanderez jamais.
Alerter en interne dans la foulée. Une usurpation publique est souvent suivie d'une tentative de fraude ciblée, qui s'appuie sur la confusion créée.
Ce qui réduit vraiment le risque, en amont
La mesure la plus efficace n'est pas technologique. C'est une règle de double validation écrite : aucun virement au-delà d'un montant défini, ni aucun changement de coordonnées bancaires, ne s'exécute sur la base d'un seul canal, quel que soit l'émetteur apparent.
Cette règle doit protéger celui qui l'applique. Si la comptable craint de contrarier le dirigeant en rappelant sur un numéro connu, elle ne le fera pas. Écrivez noir sur blanc que la vérification n'est jamais un manque de confiance.
Un mot de passe verbal partagé entre le dirigeant et les personnes habilitées coûte zéro euro et neutralise n'importe quelle imitation vocale. C'est rudimentaire, et c'est ce qui fonctionne le mieux.
Côté exposition, sachez que chaque interview vidéo, podcast ou prise de parole publique alimente le matériau disponible. Ce n'est pas une raison de se taire, mais une raison de doubler la vigilance côté procédures quand le dirigeant est très visible.
Le lien avec l'AI Act
L'AI Act ne crée pas d'infraction pénale contre les auteurs de deepfakes. Il impose deux choses qui, mises bout à bout, rendent la fraude plus difficile : un marquage machine des contenus générés côté fournisseur, et une information visible côté diffuseur.
Ne comptez pas dessus pour vous défendre. Un fraudeur n'utilise pas un outil conforme, et les marquages s'effacent à la première conversion de format. Le marquage aide à documenter un contenu légitime, pas à démasquer un contenu malveillant.
Il y a en revanche un point de symétrie à retenir. Si vous produisez vous-même des vidéos avec un avatar ou une voix de synthèse de votre dirigeant, la mention est due. Une entreprise qui a normalisé les vidéos générées non signalées aura beaucoup de mal à faire entendre que celle-là, justement, est un faux.
Questions fréquentes
Qui dépose plainte : le dirigeant ou la société ?
Les deux, et sur des fondements différents. La personne dont l'image ou la voix a été reprise est visée par l'atteinte à la représentation. La société est visée par l'escroquerie ou la tentative, et par le préjudice commercial. Un avocat vous dira laquelle porter en premier.
Notre assurance couvre-t-elle ce type de fraude ?
Cela dépend entièrement de votre contrat, et la fraude au virement fait souvent l'objet d'une garantie spécifique, avec des conditions de procédure interne. Vérifiez ce point maintenant plutôt qu'après : certaines garanties tombent si la double validation n'était pas en place.
Peut-on prouver qu'une vidéo est un faux ?
L'analyse technique apporte des indices, rarement une certitude immédiate. Ce qui fonctionne le mieux en pratique est la preuve contraire : démontrer où se trouvait réellement la personne, produire l'agenda, l'enregistrement authentique ou les témoins. C'est plus rapide et plus convaincant qu'une expertise.
Où en est votre entreprise ?
L'audit de maturité IA de Klaveta évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.