En bref : À l'ère des deepfakes, la perception visuelle et sonore ne fait plus preuve : une méta-analyse 2024 établit que l'humain ne distingue le vrai du faux que dans 55,54 % des cas. L'affaire Arup (environ 25,6 millions de dollars détournés via une visioconférence truquée) l'illustre. Le droit français protège la victime de virement frauduleux (Cass. com., 23 octobre 2024, n° 23-16.267 ; articles L. 133-18 à L. 133-24 du code monétaire et financier), réprime l'escroquerie (art. 313-1 du code pénal) et l'hypertrucage (loi SREN, art. 226-8 du code pénal) et impose une transparence des contenus générés par IA (règlement (UE) 2024/1689, art. 50). Mais la seule défense qui précède la fraude est procédurale : vérification hors canal, règle des quatre yeux, mot de passe verbal.

« Je ne crois que ce que je vois » : l'adage qui a cessé d'être vrai

L'incrédule réclamait de toucher pour croire. Notre époque a retourné la leçon : celui qui se fie encore à ses yeux et à ses oreilles est devenu la proie la plus facile. !Illustration de la rubrique Le droit face au numérique : motif de réseau champagne sur fond navy évoquant un œil, symbole de vigilance à l'ère de l'intelligence artificielle.

« Heureux ceux qui croient sans avoir vu. »Évangile selon saint Jean, 20, 29

L'incrédule réclamait de toucher pour croire. Notre époque a retourné la leçon : celui qui se fie encore à ses yeux et à ses oreilles est devenu la proie la plus facile.

I. Les deux Thomas, ou l'histoire d'une méprise

On attribue volontiers la formule « je ne crois que ce que je vois » à Thomas d'Aquin. La méprise est courante, et elle est doublement instructive.

D'abord parce qu'elle vise le mauvais Thomas. Le sceptique qui exige de voir pour croire n'est pas le théologien du XIIIe siècle, mais l'apôtre Thomas, dit Thomas Didyme, l'incrédule de l'Évangile selon saint Jean. Absent lorsque le Ressuscité se montre aux disciples, il refuse leur témoignage : « Si je ne vois pas dans ses mains la marque des clous, si je ne mets pas mon doigt dans la marque des clous, si je ne mets pas la main dans son côté, je ne croirai pas » (Jean, 20, 25). Ensuite parce que Thomas d'Aquin, loin d'avoir soutenu ce credo empirique, professait l'exact contraire : la foi porte sur ce qui ne se voit pas, selon l'adage hérité de l'épître aux Hébreux (11, 1), fides est de non apparentibus. Se tromper de Thomas, c'est déjà tenir pour vrai ce que l'on croit savoir sans l'avoir vérifié. Le sujet de cet article tient tout entier dans cette confusion.

Car l'adage a longtemps gouverné la raison commune. Voir, entendre, constater de ses propres sens : voilà ce qui faisait preuve. La photographie, puis la vidéo, ont hérité de cette autorité. Jusqu'aux années 2020, une image mouvante et une voix reconnue valaient quasi-certitude. Ce réflexe protégeait. Il est en train de devenir une vulnérabilité. Depuis que les médias synthétiques, ceux que l'on nomme hypertrucages ou deepfakes, imitent le visage, la voix, la gestuelle et l'environnement d'une personne, l'œil et l'oreille ne prouvent plus rien. L'incrédulité de l'apôtre, jadis marque de rigueur, ne suffit plus. Il faut désormais douter de ce que l'on voit.

II. Quand l'œil et l'oreille cessent de faire preuve

A. La perception, désormais disqualifiée

L'intuition selon laquelle un faux se trahit toujours par un détail est démentie par la mesure. Une méta-analyse publiée en 2024, portant sur cinquante-six études et 86 155 participants, établit que l'être humain ne distingue le vrai du faux que dans 55,54 % des cas, à peine mieux qu'un tirage à pile ou face (Diel et alii, Human performance in detecting deepfakes, Computers in Human Behavior Reports, vol. 16, 2024). Le résultat vaut pour l'image comme pour la vidéo, l'audio et le texte.

La cause n'est pas seulement technique, elle est cognitive. L'esprit humain est câblé pour la cohérence : face à une latence, à un timbre légèrement métallique ou à une lèvre mal synchronisée, il ne conclut pas à la fraude, il impute l'anomalie à une mauvaise connexion, à un micro défaillant, à la fatigue de l'interlocuteur. La faille n'est pas dans l'algorithme, elle est dans la propension du témoin à normaliser ce qui cloche. C'est cette indulgence naturelle que l'attaquant exploite.

B. L'affaire Arup, ou la preuve par l'exemple

L'illustration la plus retentissante est celle du groupe d'ingénierie britannique Arup, concepteur de l'Opéra de Sydney. Début 2024, un employé de son bureau de Hong Kong exécute quinze virements pour un total d'environ 25,6 millions de dollars, soit 200 millions de dollars de Hong Kong. Il avait d'abord flairé le piège : un courriel du prétendu directeur financier, réclamant une transaction confidentielle, lui avait paru suspect. Ses doutes se sont dissipés lors d'une visioconférence où figuraient ce directeur financier et plusieurs collègues qu'il reconnaissait. Tous étaient des avatars générés par intelligence artificielle. La supercherie n'a été découverte qu'après coup, en vérifiant auprès du siège (CNN, 16 mai 2024).

La leçon de l'affaire est précise. Ce ne sont pas les yeux de l'employé qui l'ont sauvé, ils l'ont perdu. Sa méfiance initiale, éveillée par un simple courriel, a été désarmée par la vue de visages familiers. La preuve visuelle, tenue pour la plus sûre, a été le vecteur même de la tromperie.

III. L'outil, la main, et la menace

A. Une technologie neutre, retournée contre la confiance

L'intelligence artificielle n'est ni bonne ni mauvaise en soi. Elle est un outil, formidable entre des mains honnêtes, redoutable entre des mains malveillantes. La même technologie qui clone une voix pour redonner la parole à un malade la clone pour extorquer un virement. Tout dépend de qui la tient, et de l'usage qu'il en fait.

Or la matière première de la fraude est aujourd'hui à portée de main. Les visages et les voix des dirigeants circulent librement : webinaires, interviews, présentations de résultats, podcasts. Quelques secondes suffisent à entraîner un modèle. Ce qui relevait hier de la prouesse d'un studio se fabrique désormais à bas coût, en temps réel. L'exposition publique, longtemps un actif de communication, est devenue un gisement pour l'imposteur.

B. L'arnaque au président et le faux conseiller bancaire

Ces techniques ne créent pas de nouvelles escroqueries : elles rendent hyperréalistes des fraudes anciennes. La fraude aux faux ordres de virement, dite arnaque au président, consiste à obtenir « par persuasion, menaces ou pressions diverses » qu'une victime exécute un virement non planifié (Cybermalveillance.gouv.fr). Le faux conseiller bancaire opère par usurpation du numéro d'appel de la banque, dite spoofing, pour pousser la cible à valider elle-même les opérations. Les ressorts sont invariables : l'autorité du donneur d'ordre, l'urgence de la demande, la confidentialité imposée, le changement de coordonnées bancaires, le refus de tout autre canal. Le deepfake ne change pas ce scénario, il l'habille d'un visage et d'une voix que la victime croit reconnaître.

Le phénomène n'a rien d'anecdotique. Selon la Banque de France, « la part de la fraude par manipulation s'est stabilisée en 2024 à 32 % du montant total de la fraude, soit 382 millions d'euros » (Observatoire de la sécurité des moyens de paiement, rapport 2024).

IV. Ce que le droit oppose à l'imposture

A. La responsabilité de la banque

Face à un virement frauduleux, le premier réflexe utile est juridique. Le droit des services de paiement protège fortement la victime, et la jurisprudence récente a renforcé cette protection.

Par un arrêt de principe publié au Bulletin, la chambre commerciale de la Cour de cassation a jugé qu'un client abusé par un faux conseiller usurpant le numéro de sa banque ne commet pas de négligence grave. Elle rappelle d'abord la règle probatoire : « il incombe au prestataire de services de paiement de rapporter la preuve d'une négligence grave de son client ». Elle relève ensuite que le procédé du spoofing « a mis M. [J] en confiance et a diminué sa vigilance, inférieure, face à un appel téléphonique émanant prétendument de sa banque [...], à celle d'une personne réceptionnant un courriel, laquelle aurait pu disposer de davantage de temps pour s'apercevoir d'éventuelles anomalies » (Cass. com., 23 octobre 2024, n° 23-16.267). Le pourvoi de la banque est rejeté, le remboursement confirmé. La même chambre a confirmé la vigueur de cette charge probatoire, y compris au profit d'une société victime de virements frauduleux : elle rappelle que « l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur », et censure la cour d'appel qui, en déduisant le consentement du recours à la forme convenue entre les parties, avait inversé la charge de la preuve (Cass. com., 1er juillet 2026, n° 25-13.134).

La distinction demeure utile. Le hameçonnage par courriel, où le destinataire dispose du temps de déceler l'anomalie, peut caractériser une négligence grave ; le spoofing téléphonique, qui diminue objectivement la vigilance, l'exclut le plus souvent. Un deepfake vocal ou vidéo, plus trompeur encore qu'un simple numéro usurpé, devrait a fortiori faire obstacle à cette qualification. L'argument reste à plaider, aucune décision publiée ne s'étant encore prononcée sur ce cas précis. Le socle textuel se trouve aux articles L. 133-18 à L. 133-24 du code monétaire et financier, qui régissent le remboursement des opérations de paiement non autorisées et la charge de la preuve.

B. Le pénal, et l'étiquette européenne

Sur le terrain répressif, plusieurs qualifications se cumulent. L'escroquerie, d'abord : « L'escroquerie est le fait, soit par l'usage d'un faux nom ou d'une fausse qualité, soit par l'abus d'une qualité vraie, soit par l'emploi de manœuvres frauduleuses, de tromper une personne [...] et de la déterminer ainsi [...] à remettre des fonds [...]. L'escroquerie est punie de cinq ans d'emprisonnement et de 375 000 euros d'amende » (article 313-1 du code pénal), peines portées à dix ans et un million d'euros en bande organisée. L'usurpation d'identité (article 226-4-1 du code pénal) et le faux (article 441-1) peuvent s'y ajouter.

La loi du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, dite loi SREN, a créé une incrimination propre à l'hypertrucage. Est puni « d'un an d'emprisonnement et de 15 000 euros d'amende le fait de porter à la connaissance du public ou d'un tiers [...] le montage réalisé avec les paroles ou l'image d'une personne sans son consentement, s'il n'apparaît pas à l'évidence qu'il s'agit d'un montage ou s'il n'en est pas expressément fait mention », le texte assimilant à ce montage tout contenu généré par un traitement algorithmique (article 226-8 du code pénal). Les hypertrucages à caractère sexuel sont plus sévèrement réprimés, de deux ans d'emprisonnement et 60 000 euros d'amende, peines portées à trois ans et 75 000 euros lorsque la diffusion emprunte un service de communication au public en ligne (article 226-8-1 du code pénal). On notera la limite du dispositif : seule la diffusion est réprimée, non la simple fabrication d'un faux resté privé.

Le droit européen ajoute une obligation de transparence. Le règlement sur l'intelligence artificielle impose, à compter du 2 août 2026, que les contenus générés par IA soient marqués comme tels, avec une obligation renforcée pour les hypertrucages (règlement (UE) 2024/1689, article 50). Il faut en mesurer la portée réelle. Ce régime est un étiquetage, non un dispositif anti-fraude. Il protège le débat public, il ne garde pas la porte de l'entreprise : un escroc n'apposera jamais la mention sur son propre faux. La vigilance ne saurait donc se reposer sur la loi seule.

V. Tenter de débusquer, et surtout s'armer

A. Ce que l'œil ne peut plus faire

Longtemps, la vulgarisation a recommandé des tests de vivacité : faire tourner la tête à 90 degrés, passer une main devant le visage, modifier brusquement l'éclairage. Ces réflexes exploitaient les faiblesses des modèles en deux dimensions. Ils ne tiennent plus. La modélisation tridimensionnelle reconstitue un profil complet et recalcule l'éclairage en temps réel. Surtout, les attaques dites par injection insèrent le flux truqué directement dans le logiciel, au moyen d'une caméra virtuelle, sans jamais passer devant un objectif : le test de vivacité ne voit rien, puisqu'il n'y a plus rien à filmer. Se fier à son seul regard procure aujourd'hui un faux sentiment de sécurité.

B. Les remparts qui tiennent

Ce qui résiste n'est ni perceptuel ni logiciel, mais comportemental et procédural. C'est le scénario, non le pixel, qui trahit la fraude. Quelques principes valent quelle que soit la perfection du trucage.

La vérification hors canal est le premier. Devant une demande sensible, il y a lieu d'interrompre l'échange et de rappeler l'interlocuteur sur un numéro de référence connu, tiré de l'annuaire interne, jamais sur le numéro qui vient d'appeler ni en répondant au courriel reçu, puisque l'un et l'autre sont sous le contrôle de l'attaquant. La règle des quatre yeux vient ensuite : au-delà d'un seuil, tout virement ou tout changement de coordonnées bancaires doit requérir la validation indépendante d'une seconde personne, le donneur d'ordre supposé ne pouvant être le validateur. Un mot de passe verbal, convenu à l'avance et hors ligne, oppose au clone une donnée qu'il ne possède pas. Enfin, réduire l'exposition publique des voix et des visages des dirigeants tarit la matière première du faux.

Si la fraude est consommée, chaque minute compte. Il faut contacter sans délai la banque pour tenter le rappel des fonds avant leur dispersion, déposer plainte en conservant courriels, enregistrements, ordres et coordonnées de destination, et signaler les faits par la plateforme adaptée, THESEE pour les e-escroqueries des particuliers, Perceval pour la fraude à la carte, PHAROS pour les contenus illicites. Les entités soumises à la directive européenne sur la sécurité des réseaux doivent en outre vérifier leurs obligations de notification.

Synthèse

L'ère où l'on pouvait dire « je ne croirai que ce que je verrai » s'est achevée avec les technologies génératives. La perception a cessé d'être une preuve, et le faux parfait ne se démasque plus à l'œil. Le droit offre un bouclier, protection du client bancaire, répression pénale de l'imposteur, transparence imposée aux machines, mais ce bouclier intervient après le coup. La seule défense qui précède la fraude est une discipline : ne rien exécuter d'important sur la foi d'une image ou d'une voix, et vérifier toujours par une autre voie que celle où l'on nous parle.

Le scepticisme de Thomas passait pour une faiblesse. À l'ère du faux parfait, il devient une vertu. On ne croit plus ce que l'on voit, mais on vérifie ce que l'on croit.

Cet article est publié à titre informatif et ne constitue pas un avis juridique. Pour toute question relative à votre situation, nous vous invitons à consulter l'un de nos avocats.

Mots-clés : deepfake, hypertrucage, arnaque au président, faux ordre de virement, spoofing, faux conseiller bancaire, responsabilité de la banque, escroquerie, loi SREN, règlement sur l'intelligence artificielle.

Sources

Droit positif et jurisprudence (sources officielles)

Données publiques et institutionnelles

Références documentaires

Mots-clés : deepfake, hypertrucage, arnaque au président, faux ordre de virement, spoofing, faux conseiller bancaire, responsabilité de la banque, escroquerie, loi SREN, règlement sur l'intelligence artificielle Source : https://www.weizman-avocats.com/actualites/je-ne-crois-que-ce-que-je-vois