Vous croyez déjà en l'IA ? Pourquoi est-il si difficile d'identifier le contenu généré par l'IA ?

Vous avez probablement déjà vu (voire utilisé) cette expression circuler dans les commentaires et les stories : « J’y croyais déjà. » Elle apparaît sous cette vidéo d’un animal faisant l’impossible, ce selfie « aéroport » étrangement parfait, cet enregistrement audio qui ressemble à une célébrité débitant des inepties. C’est la légende idéale pour ce moment de panique où l’on se dit : « Oups, j’ai failli me faire avoir ! » Et c’est drôle parce que c’est vrai : aujourd’hui, moins de 1 % des gens sont capables d’identifier correctement les contenus truqués générés par l’IA, qu’il s’agisse de photos, d’enregistrements audio ou de vidéos.

Au fond, la blague repose sur une statistique bien réelle. Et c'est là que le bât blesse : au Brésil, la fraude par deepfake a explosé de 400 % en 2026, et l'intelligence artificielle est déjà présente dans 42,5 % des fraudes financières enregistrées dans le pays, selon la police fédérale. Autrement dit : ce même réflexe de « j'y ai presque cru » qui vous fait rire devant une vidéo de chat est aussi ce que les escrocs exploitent pour convaincre les entreprises de leur transférer de l'argent.

Mais d'où vient donc ce « j'y croyais déjà » ?

Franchement, il n'y a pas d'origine officiellement répertoriée, pas de publication unique qui aurait « inventé » l'expression, du moins rien que nous ayons pu confirmer. Il s'agit plus probablement d'une de ces expressions qui se sont formées naturellement, comme le fait souvent l'internet brésilien : quelqu'un l'utilise dans un commentaire, elle fait mouche, devient une réaction courante, et soudain, elle est partout.

Et il est tout à fait logique que ce phénomène ait pris une telle ampleur maintenant. Nous vivons constamment entourés de contenu généré par l'IA, de l'« art » à la Ghibli qui a envahi Instagram aux vidéos hyperréalistes de choses qui ne se sont jamais produites. « L'IA y croit déjà » est devenu presque un réflexe, comme ce moment où, après avoir lu une information étrange, avant de la partager, on s'arrête et on se demande : « Attends, est-ce que c'est vrai ? ».

Le problème, c'est que ce reflet devient de moins en moins fiable, non pas parce que nous sommes devenus plus distraits, mais parce que le « résultat généré par l'IA » devient trop performant.

Les modèles génératifs ont évolué au point de produire des images, des vidéos et des enregistrements audio capables de convaincre même ceux qui sont habitués à déceler les signes de contenu artificiel. Et il y a là une ironie : plus nous apprenons à nous méfier de ce que nous voyons sur Internet, plus le faux contenu doit être sophistiqué pour tromper notre vigilance, et pourtant, il y parvient toujours.

Il en résulte une sorte de lassitude face à la méfiance. Nous ne savons plus ce qui est vrai ; bien souvent, nous ignorons même s'il est judicieux de se fier à notre propre capacité à faire la distinction. Et ce problème ne se limite plus aux vidéos virales.

Vous pourriez également être intéressé par : Le goulot d'étranglement des agents d'IA au Brésil : ce n'est pas la technologie, c'est la confiance.

Pourquoi presque plus personne n'est capable d'identifier un deepfake ?

Vous souvenez-vous de l'époque où l'on pouvait « repérer » une image générée par IA rien qu'en regardant les mains brûlées à sept doigts ? Eh bien, cette époque est révolue. Pendant un temps, identifier un faux numérique reposait sur la recherche d'erreurs : des mains étranges, une voix trop robotique, des mouvements bizarres, un visage qui ne correspondait pas à la parole. L'IA générative a éliminé une grande partie de ces erreurs, et les données du marché le confirment sans équivoque : des études indiquent que moins de 1 % des personnes sont capables d'identifier correctement et systématiquement les contenus falsifiés générés par IA.

Aujourd'hui, les contenus mensongers peuvent être techniquement convaincants et, surtout, contextuellement convaincants, et cette seconde caractéristique est la plus insidieuse. Une vidéo d'une personnalité connue prononçant une phrase absurde éveille encore les soupçons (on peut encore la déceler). Le problème survient lorsque cette même personne dit quelque chose de plausible, dans un contexte connu, avec sa propre voix et ses propres manières. La difficulté n'est alors plus de percevoir une anomalie, mais de se méfier de ce qui semble parfaitement normal. Et se méfier du normal est bien plus difficile (et épuisant) que de se méfier de l'étrange.

Lire aussi : Fraude du Black Friday : comment protéger votre opération

Du mème à l'arnaque : comment ce phénomène est déjà exploité

Bon, jusqu'ici tout va bien, mais attention, la plaisanterie cache une réalité plus sérieuse. Ce scénario est très pertinent en matière de sécurité informatique, car la plupart des attaques ne commencent pas par une faille technique ; elles commencent par la persuasion d'une personne. C'est le même principe que pour le phishing, l'ingénierie sociale et l'usurpation d'identité, sauf qu'ici, la persuasion est décuplée.

Les chiffres du Brésil pour 2026 illustrent clairement cette tendance :

L'appellation « arnaque au PDG 2.0 », forgée par des acteurs du secteur financier, résume parfaitement le mode opératoire : le criminel imite la voix (ou la vidéo) d'un dirigeant pour autoriser un virement ou accorder un accès. En 2024, une affaire largement médiatisée a révélé une tentative de fraude utilisant un enregistrement audio truqué (deepfake) imitant la voix d'un PDG demandant un virement urgent. L'escroquerie a échoué uniquement parce qu'un cadre, méfiant, a posé une question personnelle dont seul le véritable PDG connaissait la réponse. Dans d'autres cas signalés à travers le monde, ce type de vérification n'a tout simplement pas été effectué, et les pertes ont été confirmées.

Un escroc peut utiliser des informations publiques concernant un dirigeant (une interview, une vidéo LinkedIn, un enregistrement téléphonique) pour adapter son approche et se rapprocher ainsi de son mode de communication réel. Il peut combiner texte, voix et image pour formuler une demande qui paraît légitime. Il peut jouer sur l'urgence, le contexte et l'autorité pour réduire le temps dont dispose la victime pour remettre en question la demande.

La technologie ne crée donc pas un problème nouveau à proprement parler. Elle rend un problème ancien (l'ingénierie sociale) beaucoup plus préoccupant. Et c'est peut-être là le point essentiel du débat : la principale vulnérabilité ne réside pas nécessairement dans le deepfake lui-même, mais dans la décision qu'il cherche à provoquer.

Les limites de « l'apprentissage de la méfiance envers les gens »

Lorsqu'on aborde ce sujet, la première réaction est naturelle : former les utilisateurs à identifier les contenus générés par l'IA. Cela reste essentiel ; les équipes doivent connaître les signes les plus courants et comprendre que la voix et l'image ne constituent plus une preuve d'identité suffisante.

Mais cette approche a ses limites, et le chiffre de « moins de 1 % » le démontre clairement : si la sécurité repose exclusivement sur la capacité humaine à remarquer qu’un enregistrement audio « sonne étrangement », la responsabilité est confiée à une faculté qui n’a jamais été conçue pour servir de mécanisme d’authentification. Le cerveau utilise le contexte, la familiarité et les schémas pour décider rapidement ; la plupart du temps, c’est un avantage, mais c’est précisément cette prévisibilité qui peut être exploitée.

Par conséquent, la montée en puissance des deepfakes conduit les entreprises : il ne suffit pas d’apprendre aux gens à être plus méfiants. Il est nécessaire de créer des processus qui ne reposent pas uniquement sur leur méfiance.

Une sécurité qui fonctionne même lorsque l'arnaque semble légitime

Ce changement de perspective transfère une partie de la responsabilité de l'individu au système. Concrètement, cela signifie :

• Une deuxième confirmation est obligatoire pour les transactions à fort impact (virements, modifications des coordonnées , octroi d'accès aux systèmes critiques), quelle que soit la force de la demande ;
• L’authentification multifactorielle (AMF) comme norme, et non comme exception ; la voix et l’image seules ne constituent plus une preuve d’identité suffisante.
• Contrôles d’accès proportionnels aux risques, limitation des privilèges et surveillance des comportements inhabituels ;
• Des procédures formelles pour les changements sensibles avec les fournisseurs et les partenaires, qui ne dépendent pas d'un simple appel téléphonique ou d'un message « paraissant légitime ».

La logique est simple : plus l’impact d’une décision est important, moins elle doit dépendre d’un seul élément de preuve d’identité. Une personne peut croire parler au PDG, mais un transfert financier important ne devrait pas reposer uniquement sur ce critère.

Quelle place occupe l'architecture de sécurité dans cette discussion ?

C’est précisément le principe d’une architecture Zero Trust : au lieu de se fier à un seul élément de preuve (une voix familière, un visage connu, un message qui « semble » provenir de la source), l’accès aux systèmes critiques exige une authentification obligatoire avant toute utilisation, avec une authentification multifacteur (MFA) et des contrôles qui ne dépendent pas du jugement humain au moment de l’attaque. C’est ce type de couche, une authentification forte avant l’accès à l’application, et non après qu’une personne se soit fiée à la voix de son supérieur, que Skyone Autosky met en œuvre pour protéger l’accès aux systèmes de l’entreprise. Côté surveillance, les outils d’analyse des menaces et les solutions SOC/SIEM permettent d’identifier les comportements inhabituels, même lorsque la requête initiale paraît parfaitement légitime, car la défense ne peut pas reposer sur la simple détection d’une anomalie à temps.

Et il y a un problème encore plus important : la confiance numérique

L'effet le plus frappant de la popularisation des deepfakes n'est peut-être même pas la recrudescence des escroqueries, mais l'érosion de la confiance. Sachant qu'une voix peut être clonée, une image créée de toutes pièces et une vidéo falsifiée, nous commençons à remettre en question ce qui faisait autrefois foi. Un appel téléphonique ne suffit plus. Une photo ne suffit plus. Une vidéo ne suffit plus.

Cela modifie la dynamique des entreprises qui dépendent de plus en plus des interactions numériques. Il existe une différence importante entre l'authenticité et l'apparence d'authenticité. Un contenu peut sembler parfaitement légitime sans l'être. La question de la sécurité évolue donc : au lieu de simplement se demander « cela semble-t-il vrai ? », il convient de se demander « comment puis-je confirmer que c'est vrai ? ».

Écrit par Skyone