Législation relative aux deepfakes expliquée : réglementations mondiales et risques juridiques

On prévoit que la fraude financière facilitée par l'IA générative dépassera 40 milliards de dollars par 2027Ce chiffre est en hausse par rapport aux 12.3 milliards de dollars enregistrés en 2023. Cette croissance est en grande partie due aux deepfakes. Les vidéos, les fichiers audio et les images générés par l'IA imitent désormais si bien les personnes réelles qu'ils peuvent déjouer les contrôles d'identité les plus simples. Les autorités de régulation l'ont constaté. Des lois visant à encadrer la création, la diffusion et la détection des deepfakes sont désormais en vigueur aux États-Unis, au Royaume-Uni, dans l'Union européenne et en Asie-Pacifique, et d'autres devraient suivre d'ici 2026.

Pour les équipes de conformité et les responsables de la lutte contre la fraude au sein des entreprises réglementées, ce risque n'est plus théorique. La législation relative aux deepfakes crée des obligations légales concrètes et, dans certaines juridictions, une responsabilité pénale. Ce guide recense les lois sur les deepfakes à travers le monde et explique leurs implications pour les entreprises qui s'appuient sur la vérification d'identité.

Que sont les lois sur les deepfakes ?

Lois sur les deepfakes Il s'agit de lois et de réglementations qui encadrent la création, la diffusion et l'utilisation de contenus synthétiques générés par l'IA. Le plus souvent, cela concerne des vidéos, des fichiers audio ou des images mettant en scène des personnes réelles dans des situations fictives. Ces contenus se situent à l'intersection de la réglementation de l'IA, du droit à la vie privée et de la prévention de la fraude.

La plupart des lois relatives aux deepfakes se répartissent en deux catégories. La première vise les contenus préjudiciables, notamment les images intimes non consensuelles, la désinformation politique et l'usurpation d'identité. La seconde cible les utilisations commerciales et institutionnelles des médias synthétiques générés par l'IA, exigeant un étiquetage, des mécanismes de consentement et une transparence totale lorsque l'IA génère du contenu concernant des personnes réelles.

Les deux types de vérifications d'identité entraînent des conséquences en matière de conformité pour les entreprises réglementées. Un établissement financier qui traite ces vérifications sans contrôles permettant de détecter les visages synthétiques s'expose à un examen réglementaire au titre du second type de vérification, et à des poursuites pénales au titre du premier si ces visages sont liés à la coercition ou à la fraude.

Comprendre les mécanismes techniques du comment deepfakes travail fournit un contexte utile avant d'examiner le paysage juridique ci-dessous.

Comment les deepfakes sont-ils réglementés dans le monde ?

Les lois sur les deepfakes varient considérablement d'un pays à l'autre en 2026, tant en termes de portée, de cibles que d'application. Certaines juridictions privilégient la responsabilité pénale pour les contenus préjudiciables. D'autres se concentrent sur les obligations de divulgation civile concernant les médias générés par l'IA dans un contexte commercial. Quelques-unes sont allées plus loin, en intégrant directement des normes techniques de détection dans la réglementation. Leur point commun ? Une tendance claire : l'ère des médias synthétiques non réglementés touche à sa fin.

Les lois Deepfake aux États-Unis

Aux États-Unis, la législation sur les deepfakes s'applique tant au niveau fédéral qu'au niveau des États. À la mi-2025, 47 États américains avaient adopté une législation en la matière., avec 82 % de ces lois adoptées au cours des deux dernières années, soit le rythme législatif le plus rapide sur un sujet lié à l'IA durant cette période.

Au niveau fédéral, le Loi TAKE IT DOWNLa loi, signée en mai 2025, criminalise la publication non consensuelle d'images intimes truquées (deepfakes). Les législations nationales vont plus loin.

Plusieurs États ont promulgué des lois visant à lutter contre les deepfakes utilisés pour l'ingérence électorale, la fraude financière et l'usurpation d'identité. Le Texas, la Californie et New York disposent chacun de procédures d'application distinctes selon les différentes catégories de préjudices.

Le cadre réglementaire varie d'un État à l'autre. Les sanctions vont des dommages et intérêts aux poursuites pénales, selon l'intention et la nature du contenu synthétique concerné.

Lois britanniques sur les deepfakes

La principale loi britannique relative aux deepfakes est l'article 138 de la loi de 2025 sur les données (utilisation et accès)., entrée en vigueur le 6 février 2026. Elle criminalise la création d'images intimes générées par l'IA sans consentement, faisant du Royaume-Uni l'une des rares juridictions à criminaliser la création plutôt que la simple diffusion.

Parallèlement, l'Ofcom exerce une autorité de régulation sur les plateformes en ligne en vertu de la Loi sur la sécurité en ligne 2023Les plateformes doivent mettre en place des systèmes de détection et de suppression des contenus falsifiés avant qu'ils n'atteignent les utilisateurs. Concernant les entreprises de services financiers réglementées, la FCA a indiqué dans ses recommandations que les contrôles biométriques à l'entrée en fonction devront notamment viser à contourner les techniques de vérification de présence permissive.

L'Union européenne et la loi sur l'IA

La loi européenne sur l'IA constitue le cadre réglementaire le plus étendu actuellement en vigueur en matière de deepfakes. Son article 50 impose des obligations de transparence aux systèmes d'IA qui génèrent des contenus synthétiques, notamment l'obligation de signaler l'origine synthétique de ces contenus. Ces obligations s'appliquent aux fournisseurs et aux utilisateurs de modèles d'IA généralistes capables de produire des deepfakes.

Les amendes pour non-respect des obligations de transparence peuvent atteindre le montant le plus élevé entre quinze millions d'euros et 3 % du chiffre d'affaires annuel mondial. conformément aux dispositions de transparence de la loi européenne sur l'IALes règles de transparence pour les diffuseurs de contenu généré par l'IA sont entrées en vigueur en août 2026.

Pour vérification d'identité Les fournisseurs et leurs clients ont l'obligation de procéder à un étiquetage et à une divulgation lorsque du contenu synthétique est utilisé dans un flux de travail, y compris le devoir de détecter et de signaler les entrées générées par l'IA présentées lors de l'intégration.

Asie-Pacifique et au-delà

La Chine applique le cadre réglementaire le plus strict en matière d'étiquetage des deepfakes dans la région Asie-Pacifique. Sa réglementation sur la synthèse profonde, en vigueur depuis janvier 2023, exige le consentement préalable à l'entraînement de modèles d'IA sur l'image d'une personne, le marquage obligatoire des contenus synthétiques et la vérification de l'identité réelle des utilisateurs sur les plateformes hébergeant ces contenus.

L'Australie a adopté en 2024 un cadre juridique spécifique relatif aux préjudices causés par les deepfakes, étendant sa loi sur la sécurité en ligne aux contenus intimes générés par l'IA et prévoyant des sanctions pénales. À Singapour, les propos liés aux deepfakes relèvent de la loi sur la protection contre les fausses informations et la manipulation en ligne (POFMA), qui autorise les tribunaux à ordonner le retrait des contenus falsifiés. Les amendes infligées aux entreprises peuvent atteindre un million de dollars singapouriens.

Que signifient les lois sur les deepfakes pour les entreprises ?

Les lois relatives aux deepfakes et à l'IA exercent deux pressions distinctes sur toute organisation traitant des données d'identité ou produisant du contenu généré par l'IA. La première est une obligation de divulgation et d'étiquetage. La seconde est une obligation de détection et de contrôle. Les équipes de conformité sont désormais responsables de ces deux aspects, et la plupart des organisations se situent actuellement dans l'écart entre les obligations légales et leur niveau de préparation technique.

Obligations d'étiquetage et de divulgation

En vertu de la loi européenne sur l'IA et des cadres comparables en développement en Corée du Sud et au Brésil, les entreprises qui déploient des systèmes d'IA générant du contenu synthétique doivent étiqueter ce contenu comme étant généré par l'IA.

Pour les équipes marketing, communication et production de contenu, cela introduit de nouvelles exigences en matière de flux de travail concernant les métadonnées de divulgation, les normes de provenance du contenu et les pistes d'audit des ressources générées.

Pour les entreprises dont l'activité repose sur la vérification d'identité, l'obligation de transparence s'applique dans l'autre sens. Votre système d'intégration doit détecter et rejeter les données générées par l'IA. À défaut, vous risquez d'admettre des fraudeurs lors du traitement de contenus sur lesquels votre organisation n'exerçait aucun contrôle documenté, ce que les autorités de régulation, tant au Royaume-Uni que dans l'UE, considèrent comme une défaillance de contrôle.

Responsabilité pénale et risque de fraude d'identité

Comment les escrocs contournent la vérification faciale Il s'agit généralement d'attaques par injection de deepfake, où une vidéo préenregistrée ou générée par IA est diffusée dans le flux vidéo de la caméra pour tromper le système de vérification de présence. Dans la plupart des juridictions dotées d'une législation sur les deepfakes, l'utilisation de médias synthétiques pour usurper l'identité d'une personne lors d'une procédure de vérification d'identité constitue déjà une fraude au regard du droit pénal.

Ce que les nouvelles lois introduisent, c'est une responsabilité spécifique liée aux deepfakes. La création ou la possession de contenus synthétiques à des fins frauduleuses peut désormais donner lieu à des poursuites pénales distinctes de l'infraction de fraude sous-jacente.

Pour les responsables de la conformité, cela a son importance. Une entreprise qui traite ou ignore les données d'identité générées par l'IA peut être tenue pour complice dans certaines juridictions, notamment en cas de négligence délibérée avérée.

Comment Shufti aide les entreprises réglementées à se prémunir contre les deepfakes

La réglementation relative aux deepfakes exerce une double pression sur les institutions financières. La première est juridique : les obligations de déclaration et d’étiquetage prévues par la directive européenne sur l’IA et les cadres réglementaires similaires imposent aux organisations de détecter et de signaler les identités générées par l’IA. La seconde est technique : les examinateurs doivent désormais être en mesure de rejeter les visages synthétiques avant même qu’ils ne soient soumis à un contrôle humain.

Shufti's détection de deepfake et vérification du visage La plateforme prend en charge les deux. Elle couvre plus de 56 vecteurs d'attaque anti-usurpation d'identité, notamment les visages générés par IA, les masques 3D, les attaques par injection et la relecture vidéo, avec un taux de fausse acceptation (FAR) inférieur à 0.001. Ce chiffre a été validé en externe par le programme RIVR du Département de la Sécurité intérieure en 2025, ce qui signifie que moins d'une tentative de fraude sur 1 1,000 parvient à franchir la couche biométrique.

L'architecture prend en charge le déploiement sur site pour les institutions où les données biométriques ne peuvent pas quitter leur propre infrastructure, ainsi qu'une IA hybride associée à une vérification humaine pour les cas particuliers où la décision automatisée seule est insuffisante.

Pour les équipes de conformité qui élaborent une réponse défendable aux lois sur l'IA et les deepfakes, Rapport Horizon Scan du GAFI sur les deepfakes Ce document décrit ce que les organismes de réglementation attendent désormais des dispositifs de détection des institutions financières.