Accueil / Deepfakes et signature

Deepfakes : une signature électronique protège-t-elle ?

Une voix clonée, un visage animé en direct, une facture retouchée à la perfection : les faux fabriqués par intelligence artificielle sont devenus bon marché. Une signature électronique protège-t-elle ? Oui, mais pas partout et pas contre tout. Voici ce qu'elle règle, et ce qu'elle laisse ouvert.

Un cas réel : quinze virements après une visioconférence

Au début de 2024, un employé de la filiale de Hong Kong du groupe d'ingénierie Arup participe à une visioconférence avec son directeur financier et plusieurs collègues. Il les voit et les entend, il a un doute, puis il l'écarte. Il effectue quinze virements, pour un total de 25,6 millions de dollars. Le directeur financier et les collègues n'étaient que des images et des voix fabriquées. Arup a confirmé l'usage de fausses voix et de fausses images, et a précisé qu'aucun de ses systèmes informatiques n'avait été piraté. L'escroc n'a pas attaqué la cryptographie : il a attaqué la perception.

Un phénomène qui se mesure

Le FBI a publié en avril 2026 son rapport annuel sur 2025. Il recense 1 008 597 plaintes, pour près de 21 milliards de dollars de pertes déclarées. Parmi elles, 22 364 plaintes liées à l'intelligence artificielle, pour près de 893 millions de dollars. Ces chiffres concernent les États-Unis et reposent sur des plaintes déposées volontairement : ils donnent un ordre de grandeur, pas une mesure exacte.

Ce que l'IA ne change pas

Aucune attaque fondée sur l'intelligence artificielle ne menace les algorithmes de chiffrement et de hachage actuels, comme AES ou SHA-256. Pour retrouver une clé, il faut toujours essayer des clés une par une, et le nombre d'essais reste hors de portée. La menace de fond sur ces algorithmes est ailleurs : l'ordinateur quantique, qui menace surtout RSA et les courbes elliptiques, et pour lequel des algorithmes de remplacement existent. L'IA change autre chose : le prix d'un faux convaincant.

Pourquoi une signature résiste mieux qu'un visage

Un visage se copie, une voix aussi. Une signature électronique repose sur une clé privée que seul son titulaire détient, et qui ne se devine pas. Si l'entreprise exige que tout ordre de paiement porte la signature de son donneur d'ordre, l'imitation d'un visage ou d'une voix ne suffit plus : il manque la clé.

Le raisonnement vaut aussi pour les documents. Une facture dont le numéro de compte a été modifié, ou un faux diplôme fabriqué par IA, ne porte pas le cachet électronique de l'émetteur, ou porte un cachet qui ne correspond plus au contenu. Le logiciel de vérification le signale, à condition qu'on le consulte.

Ce que la signature ne règle pas

Un processus qui accepte encore l'oral. Si un ordre donné par téléphone ou par visioconférence reste valable, la signature n'a servi à rien.
Un employé trompé qui signe lui-même. La signature prouve qui a signé quoi et quand, pas que l'ordre était légitime.
Une clé volée. Elle signe à la place de son propriétaire. D'où l'intérêt des boîtiers sécurisés et de la signature qualifiée.
Une fausse identité acceptée à l'inscription. Elle reste fausse pendant toute la vie du certificat, d'où l'importance de prestataires qui vérifient une pièce d'identité réelle.

Que faire concrètement

Faire de la signature la condition de validité de tout ordre de paiement ou de modification de coordonnées bancaires.
Vérifier la signature ou le cachet d'un document avant de payer, et pas seulement son apparence.
Choisir le niveau de signature selon le risque, avec les quatre questions de la page sur les trois niveaux de signature.
Garder un dossier de preuve complet : qui, quoi, quand, avec quelle authentification.

Aller plus loin. La partie 3 du Cours 0, gratuit, consacre une section à l'intelligence artificielle et à la signature. Le module 1 traite le cas Arup et la vérification d'identité à distance, et le module 2 les faux documents face au cachet électronique.

Être prévenu de l'ouverture