La règle européenne sur les deepfakes est en vigueur et vise l'outil, pas la fraude

L'article 50 de la loi européenne sur l'IA s'applique à partir du 2 août 2026. Les fournisseurs de systèmes génératifs doivent marquer leurs productions de manière lisible par machine ; toute personne utilisant un deepfake doit le déclarer. Le fraudeur qui en utilise un contre une banque ignore ces deux obligations, et la réglementation est rédigée en sachant qu'il le fera.

En bref

• Le Règlement (UE) 2024/1689, la loi sur l'IA, s'applique à partir du 2 août 2026. L'article 50 exige que les systèmes d'IA qui génèrent de l'audio, des images, des vidéos ou du texte marquent leur production dans un format lisible par machine afin qu'elle puisse être détectée comme générée artificiellement.
• Toute personne utilisant un deepfake doit divulguer que le contenu est artificiel. L'article 3(60) définit un deepfake comme un contenu d'IA ressemblant à de vraies personnes, lieux ou événements qui « semblerait faussement à une personne être authentique ou véridique ».
• La violation de l'article 50 entraîne des amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les systèmes déjà sur le marché avant le 2 août ont jusqu'au 2 décembre 2026 pour se conformer à l'obligation de marquage.
• La liste à haut risque de la même loi exclut expressément la vérification biométrique 1:1, la vérification qui confirme qu'une personne est bien celle qu'elle prétend être. L'outil qui attaque la vérification d'identité est réglementé ; la vérification elle-même est laissée libre de fonctionner.

Les deepfakes sont désormais une entrée permanente dans les évaluations de fraude des régulateurs

Le 30 juillet 2026, la Commission des jeux de hasard de Grande-Bretagne a publié une évaluation des risques qui cite les vidéos deepfake et les échanges de visages parmi les méthodes utilisées pour contourner les vérifications d'identité, et attribue le risque lié aux documents d'identité au plus haut niveau de son échelle. Un deepfake est une vidéo, un audio ou une image générés par l'IA qui imite de manière convaincante une personne réelle.

Cette évaluation est un exemple d'une tendance plus large. Une vérification conçue pour comparer un visage à un document suppose que le visage filmé appartient à une personne vivante. Les modèles génératifs ont brisé cette hypothèse, et l'ont fait à moindre coût : l'outillage qui produit un effet cinématographique peut produire un client synthétique, et la vérification ne peut pas faire la différence en l'observant.

La réponse de l'Union européenne est arrivée dans sa loi générale sur l'intelligence artificielle plutôt que dans une loi sur la fraude. Le Règlement (UE) 2024/1689, la loi sur l'IA, est la première loi complète sur l'IA d'un régulateur majeur. La majeure partie de son poids porte sur les systèmes à haut risque : dispositifs médicaux, outils de recrutement, notation de crédit. Elle comporte également un ensemble d'obligations de transparence, à l'article 50, visant les outils génératifs ordinaires que tout le monde utilise désormais. Ces obligations s'appliquent à partir du 2 août 2026.

Le choix de conception à noter est l'endroit où l'obligation se situe. La loi n'interdit pas les deepfakes. Elle exige que l'outil marque ce qu'il produit et que l'utilisateur divulgue ce qu'il déploie. La raison invoquée par la Commission européenne est un droit de savoir, consigné par le commissaire responsable lors de la publication du Code de bonnes pratiques le 10 juin 2026.

Les Européens ont le droit de savoir si ce qu'ils voient, entendent ou lisent a été créé ou modifié par l'IA, surtout lorsque ce contenu peut façonner le débat public. La transparence est la manière dont nous protégeons la confiance.

Henna Virkkunen, Vice-présidente exécutive pour la souveraineté technologique, la sécurité et la démocratie, Commission européenne. Déclaration du 10 juin 2026

L'article 50 divise le travail : les fournisseurs marquent, les utilisateurs divulguent

L'article 50 du Règlement (UE) 2024/1689 impose deux obligations principales à deux acteurs différents. Un fournisseur, l'entreprise qui construit ou fournit un système d'IA générative, doit s'assurer que ses productions « sont marquées dans un format lisible par machine et détectables comme générées ou manipulées artificiellement ». Un utilisateur, quiconque utilise le système, doit divulguer qu'un deepfake est artificiel.

L'obligation du fournisseur est d'ordre infrastructurel. Le marquage doit être intégré au système lui-même, et la loi demande que les solutions techniques soient « efficaces, interopérables, robustes et fiables dans la mesure où cela est techniquement réalisable ». « Lisible par machine » est l'expression clé : la marque est destinée aux logiciels, afin que d'autres systèmes puissent détecter le contenu synthétique sans qu'un humain ait à le scruter. La loi ne prescrit pas de technologie. Le filigrane et les métadonnées de provenance sont les deux candidats sur lesquels les travaux de normalisation de l'industrie ont convergé.

L'obligation de l'utilisateur est la plus visible. Quiconque publie un deepfake doit indiquer que le contenu est artificiel, « au plus tard au moment de la première interaction ou exposition ». Deux autres obligations complètent l'ensemble. Les systèmes qui s'adressent aux personnes, tels que les chatbots, doivent s'identifier comme IA à moins que cela ne soit évident, et les entreprises qui effectuent une reconnaissance des émotions ou une catégorisation biométrique sur des personnes doivent les en informer.

Chaque obligation comporte des exceptions, et il est utile de les lire. Le marquage n'est pas requis lorsque l'IA remplit « une fonction d'assistance pour l'édition standard », de sorte qu'une retouche photo n'est pas un deepfake. Les utilisations autorisées par la loi pour détecter ou enquêter sur des crimes sont exemptées de manière générale. L'art bénéficie d'une attention particulière : lorsqu'un deepfake fait partie d'une œuvre « manifestement artistique, créative, satirique, fictive ou analogue », la divulgation ne doit se faire que d'une manière « qui n'entrave pas l'affichage ou la jouissance de l'œuvre ». Le texte écrit par l'IA sur des questions d'intérêt public doit être divulgué, à moins qu'un éditeur humain ne l'ait examiné et que quelqu'un n'assume la responsabilité éditoriale.

Le prix de la non-conformité est fixé à l'article 99(4) : amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Il s'agit du niveau intermédiaire de la loi, en dessous des 35 millions d'euros et 7 % réservés aux pratiques interdites et au-dessus du niveau de 1 % pour la fourniture d'informations trompeuses. L'application incombe aux autorités nationales de surveillance du marché, les organismes des États membres qui contrôlent les règles relatives aux produits.

La loi arrive par étapes, et le 2 août 2026 était la principale

L'article 113 du Règlement (UE) 2024/1689 échelonne l'entrée en vigueur de la loi. Les interdictions de pratiques d'IA prohibées s'appliquent à partir du 2 février 2025 ; les obligations pour les modèles d'IA à usage général à partir du 2 août 2025. Le règlement dans son ensemble, y compris l'article 50, s'applique à partir du 2 août 2026. Une catégorie d'obligations à haut risque suit le 2 août 2027.

Une disposition transitoire concerne spécifiquement l'obligation de marquage. Selon les orientations de la Commission européenne, un système génératif déjà mis sur le marché avant le 2 août 2026 a jusqu'au 2 décembre 2026 pour satisfaire à l'exigence de marquage lisible par machine, et le contenu généré avant le 2 août n'a pas besoin de label rétroactif. Les obligations de divulgation des utilisateurs ne bénéficient d'aucun délai de grâce. Elles courent à partir du 2 août.

Les textes d'accompagnement sont arrivés juste avant la date limite. La Commission a publié le Code de bonnes pratiques volontaire sur le marquage et l'étiquetage du contenu généré par l'IA le 10 juin 2026 ; sa signature est un moyen de démontrer la conformité, bien que des « moyens alternatifs équivalents et adéquats » restent ouverts. Des lignes directrices de la Commission qui clarifient la portée et donnent des exemples pratiques l'accompagnent.

Date	Règle	Statut
1er août 2024	La loi sur l'IA entre en vigueur — Règlement (UE) 2024/1689, publié au Journal officiel le 12 juillet 2024, en vigueur le vingtième jour après.	Adopté
2 février 2025	Pratiques interdites — Les chapitres I et II s'appliquent : notation sociale, certaines pratiques de manipulation et de scraping.	Adopté
2 août 2025	Obligations des modèles d'IA à usage général — Le chapitre V s'applique aux fournisseurs de modèles à usage général mis sur le marché à partir de cette date.	Adopté
10 juin 2026	Publication du Code de bonnes pratiques — Code volontaire sur le marquage et l'étiquetage du contenu généré par l'IA ; communiqué de presse de la Commission IP/26/1328.	Adopté
2 août 2026	L'article 50 s'applique — Le règlement dans son ensemble s'applique. Les obligations de marquage, de divulgation des deepfakes, d'identification des chatbots et de notification de la reconnaissance des émotions sont en vigueur. Amendes jusqu'à 15 M€ ou 3 %.	En vigueur
2 décembre 2026	Fin de la période de grâce pour le marquage — Les systèmes mis sur le marché avant le 2 août 2026 doivent satisfaire à l'obligation de marquage lisible par machine, conformément aux orientations de la Commission.	À venir
2 août 2027	Les obligations à haut risque de l'article 6(1) s'appliquent — La dernière tranche : classification à haut risque pour les produits relevant de la législation européenne existante en matière de sécurité.	À venir

La même loi refuse de considérer la vérification d'identité comme à haut risque

L'annexe III du Règlement (UE) 2024/1689 répertorie l'identification biométrique à distance parmi les utilisations d'IA à haut risque, puis établit une limite. La liste « n'inclut pas les systèmes d'IA destinés à être utilisés pour la vérification biométrique dont le seul objectif est de confirmer qu'une personne physique spécifique est la personne qu'elle prétend être ». Une vérification d'identité 1:1 ne figure pas sur la liste à haut risque.

La distinction faite par les rédacteurs est entre la recherche et la confirmation. Un système d'identification biométrique à distance scanne les visages dans une base de données pour savoir qui est quelqu'un, généralement sans son implication. C'est à haut risque, avec tout l'appareil d'évaluation de la conformité qui s'ensuit. Une vérification biométrique répond à une question plus étroite : cette personne est-elle celle à qui ce passeport, ce compte, cette revendication appartient ? La personne se présente et affirme une identité ; le système la confirme ou la refuse. Cela ne relève pas de cette entrée.

La limite est une ligne de portée, pas une exemption de la loi. Un fournisseur de vérification reste responsable du reste de la loi là où elle s'applique, du droit de la protection des données et des règles sectorielles de chaque client qu'il sert. Et la loi maintient fermement deux utilisations voisines sur la liste à haut risque, la reconnaissance des émotions et la catégorisation biométrique par attributs sensibles, toutes deux assorties d'obligations de divulgation de l'article 50 lorsqu'elles sont déployées.

Lues conjointement avec les obligations d'étiquetage, la carte de la vérification d'identité de la loi est symétrique. L'outil génératif capable de fabriquer un visage doit marquer sa production. L'outil de vérification qui confirme un visage est laissé hors de la liste à haut risque pour faire son travail. Le document que le deepfake attaque et la vérification qui le lit sont tous deux, dans le cadre de la loi, des infrastructures qu'il convient de maintenir lisibles. L'autre nouveau cadre réglementaire d'identité de l'Europe fait le même pari dans la direction opposée : la réglementation anti-blanchiment d'argent accepte un document ou une identité électronique comme voies alternatives de vérification et refuse de les classer.

Une obligation d'étiquetage lie les conformes, et c'est la question ouverte qu'elle soulève

L'article 50, en vigueur depuis le 2 août 2026, n'empêche pas un fraudeur de générer un deepfake. Une personne utilisant une vidéo synthétique pour frauder une banque commettait déjà des délits et n'honorera pas une obligation d'étiquetage. Ce que la règle construit, c'est une infrastructure de provenance, portée par la majorité conforme des outils.

Les régulateurs ont déjà utilisé cette structure : placer l'obligation là où la conformité peut réellement être obtenue, de sorte que l'absence du signal attendu devienne informative. Si les systèmes génératifs grand public marquent leurs productions de manière lisible par machine, le contenu synthétique non marqué devient l'anomalie, et les logiciels récepteurs ont quelque chose à tester. L'évaluation de la Commission des jeux de hasard sur l'IA des deux côtés de la vérification d'identité décrivait le côté attaquant ; l'article 50 est la première tentative de faire en sorte que ce côté s'annonce.

Pour une équipe de conformité ou de lutte contre la fraude, les conséquences sont concrètes mais, pour l'instant, modestes. Les marques sont destinées aux machines, de sorte que les pipelines de vérification acquièrent un nouveau signal à lire une fois que les travaux de normalisation seront établis ; le Code de bonnes pratiques est l'endroit où cette convergence se produit. Les entreprises qui déploient l'IA générative dans la communication client ont leurs propres obligations de divulgation à respecter à partir du 2 août. Et les vérifications d'identité elles-mêmes continuent de fonctionner exactement comme avant, car le régime d'étiquetage suppose que l'attaquant le plus important ne marquera pas.

La question de la proportionnalité sous-jacente est la même, sous un nouveau jour. L'obligation incombe à chaque fournisseur et utilisateur conforme dans l'Union ; le préjudice est causé par des acteurs qui l'ignoreront. La question de savoir si l'infrastructure de provenance justifie cette répartition de l'effort est une question que les propres exceptions de la loi reconnaissent sans la résoudre, et les premières décisions d'application en vertu de l'article 99(4) montreront comment les autorités nationales l'évaluent. Aucune n'existe encore. La règle n'a que huit jours.

Points clés à retenir

Les obligations sont en vigueur.

L'article 50 du Règlement (UE) 2024/1689 s'applique à partir du 2 août 2026 : marquage lisible par machine pour les fournisseurs, divulgation des deepfakes pour les utilisateurs, identification des chatbots et notification pour la reconnaissance des émotions.

Une seule période de grâce existe.

Les systèmes mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour se conformer à l'obligation de marquage, conformément aux orientations de la Commission. Les obligations de divulgation ne bénéficient d'aucun délai de grâce.

L'amende est de 15 millions ou 3 %.

L'article 99(4) fixe le plafond des infractions à la transparence à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu, appliqué par les autorités nationales de surveillance du marché.

La vérification n'est pas sur la liste à haut risque.

L'annexe III exclut la vérification biométrique 1:1, la vérification qui confirme une identité revendiquée, de l'entrée d'identification biométrique à distance. La reconnaissance des émotions reste sur la liste.

La règle construit un signal, pas un bouclier.

Les fraudeurs ne marqueront pas leurs deepfakes. La valeur, si elle se concrétise, est que les productions grand public marquées permettent aux machines de détection de repérer plus facilement le contenu non marqué.

La place de Didit : les vérifications d'identité sous la pression des deepfakes

Les obligations de l'article 50 incombent aux fournisseurs et aux utilisateurs de systèmes d'IA générative. Effectuer une vérification KYC (connaissance client) est un rôle différent, et l'achat de services de vérification ne rend personne conforme à la loi sur l'IA. Si votre entreprise utilise des outils génératifs dans la communication client, les obligations de divulgation mentionnées ci-dessus sont les vôtres. Ce qu'un pipeline de vérification aborde, c'est l'autre facette du problème décrit dans ce billet : le client synthétique arrivant à l'intégration.

Les modules correspondent à l'attaque. La détection de la vivacité passive à 0,10 $ par vérification teste si une personne réelle, et non une vidéo rejouée ou générée, se trouve devant la caméra. La comparaison faciale (1:1) à 0,05 $ par vérification est précisément la confirmation décrite à l'annexe III : elle compare la capture en direct au portrait du document pour confirmer que la personne est bien celle qu'elle prétend être. La vérification d'identité à 0,15 $ par vérification lit et valide le document lui-même, et lorsque le document contient une puce, la lecture NFC à 0,15 $ par vérification extrait des données signées cryptographiquement qu'un faux présenté à l'écran ne peut pas fournir. Les prix actuels sont disponibles sur la page des tarifs.

Ce qui reste est le jugement que la loi laisse délibérément en place. Votre évaluation des risques décide des vérifications qu'un client voit, et vos processus décident ce qui se passe en cas d'échec. Aucun module de fournisseur ne lit encore les marques lisibles par machine de l'article 50, car les normes techniques sont encore en convergence. Quand elles seront établies, le contenu marqué deviendra un signal supplémentaire qu'un pipeline pourra tester. D'ici là, la vivacité et les données de puce sont les défenses fonctionnelles.

Questions fréquemment posées

Quand les règles d'étiquetage des deepfakes de la loi européenne sur l'IA sont-elles entrées en vigueur ?

Le 2 août 2026. L'article 113 du Règlement (UE) 2024/1689 stipule que le règlement s'applique à partir de cette date, et les obligations de transparence de l'article 50 s'appliquent avec lui. Il existe une disposition transitoire : selon les orientations de la Commission européenne, les systèmes mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour satisfaire à l'obligation de marquage lisible par machine.

Comment la loi sur l'IA définit-elle un deepfake ?

L'article 3(60) du Règlement (UE) 2024/1689 définit un deepfake comme « un contenu d'image, audio ou vidéo généré ou manipulé par l'IA qui ressemble à des personnes, objets, lieux, entités ou événements existants et qui semblerait faussement à une personne être authentique ou véridique ».

Quelles sont les sanctions en cas de violation de l'article 50 de la loi sur l'IA ?

En vertu de l'article 99(4) du Règlement (UE) 2024/1689, le non-respect des obligations de transparence de l'article 50 entraîne des amendes administratives pouvant aller jusqu'à 15 millions d'euros ou, pour une entreprise, jusqu'à 3 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.

La loi sur l'IA considère-t-elle la vérification d'identité comme une IA à haut risque ?

Pas la vérification un-à-un. L'annexe III répertorie les systèmes d'identification biométrique à distance comme à haut risque, mais précise que cela « n'inclut pas les systèmes d'IA destinés à être utilisés pour la vérification biométrique dont le seul objectif est de confirmer qu'une personne physique spécifique est la personne qu'elle prétend être ». Les systèmes de reconnaissance des émotions figurent sur la liste à haut risque.

Le Code de bonnes pratiques sur l'étiquetage du contenu IA est-il obligatoire ?

Non. La Commission européenne a publié le Code de bonnes pratiques sur le marquage et l'étiquetage du contenu généré par l'IA le 10 juin 2026 comme un outil volontaire. Sa signature est un moyen de démontrer la conformité aux obligations de marquage et d'étiquetage de l'article 50 ; les fournisseurs peuvent à la place utiliser des moyens alternatifs équivalents et adéquats.

Lectures complémentaires

• L'IA est désormais des deux côtés de la vérification d'identité des jeux de hasard — L'évaluation des risques du régulateur britannique du 30 juillet nomme les deepfakes que cette règle d'étiquetage vise.
• La loi européenne autorise cinq ans avant de revérifier qui est le propriétaire d'un client — L'autre instrument d'identité de l'UE, rédigé avec le même modèle de dates échelonnées.
• L'Asie transfère le coût des vérifications d'identité faibles aux banques et aux plateformes — Le Japon retire la vérification par téléchargement de photos à mesure que les deepfakes dépassent les vérifications de documents.
• AMLR Article 26 : à quelle fréquence devez-vous revérifier ? — Ce que l'UE attend après l'intégration, de la même génération de cadres réglementaires.

Sources

1. Règlement (UE) 2024/1689 établissant des règles harmonisées en matière d'intelligence artificielle — Parlement européen et Conseil · EUR-Lex · Articles 3(60), 50, 99, 113 et Annexe III · s'applique à partir du 2 août 2026
2. La Commission publie le Code de bonnes pratiques sur le marquage et l'étiquetage du contenu généré par l'IA — Communiqué de presse de la Commission européenne IP/26/1328 · 10 juin 2026 · source de la déclaration Virkkunen
3. Lignes directrices sur les obligations de transparence pour les fournisseurs et les utilisateurs de certains systèmes d'IA — Commission européenne · page de politique mise à jour le 6 août 2026
4. Obligations de transparence en vertu de l'article 50 de la loi sur l'IA — FAQ de la Commission européenne · source pour la disposition transitoire du 2 décembre 2026 et l'attribution de l'application
5. Code de bonnes pratiques sur la transparence du contenu généré par l'IA — Commission européenne · voie de conformité volontaire pour les obligations de marquage et d'étiquetage

Qui a écrit ceci

Tuan Nguyen — Croissance · Didit

Écrit sur la vérification d'identité, la fraude et la conformité chez Didit.

Dernière révision le 10 août 2026 par rapport aux sources ci-dessus