Un faux PDG en visio, une voix clonée en trois secondes, un visage volé parmi 14 000 autres. Peut-on s'assurer contre les deepfakes ?
Quatorze mille visages volés. C'est le bilan de la saisie, le 12 juin 2026, de deux plateformes spécialisées dans la publication de deepfakes à caractère sexuel non consentis, par les autorités américaines, françaises et italiennes, soit un total de 300 000 images, 7 000 vidéos. Le principal site réunissait 200 000 utilisateurs et 4 millions de vues par mois, à raison de 50 mises en ligne chaque jour. Leur administrateur, un informaticien niçois de 47 ans, sera jugé le 7 juillet devant la 13ème chambre du tribunal correctionnel de Paris « pour les infractions d'administration de plateforme permettant des transactions illicites et complicité de diffusion de deepfakes », précise le communiqué du Parquet de Paris.
Une menace qui s'industrialise
Une cadence qui ne risque pas de ralentir, au rythme du développement des technologies qui baissent les barrières à l'entrée : il suffit désormais de trois secondes d'enregistrement audio pour cloner une voix. Début 2024, un employé du bureau de Hong-Kong d'une multinationale britannique opérait un versement de 25 millions de dollars après une visioconférence où le directeur financier et ses collègues étaient tous des avatars générés en direct. La même année, un cadre de Ferrari recevait un appel de son faux PDG généré par IA pour valider une fausse acquisition ; il détecta des distorsions suspectes, posa une question personnelle, et son interlocuteur raccrocha. En mars 2026 à Vienne, Kim Sawyer témoignait à l'occasion du Global Fraud Summit organisé par l'ONUDC et Interpol à Vienne. Cet ancien professeur australien racontait comment il a perdu 2,5 millions de dollars dans une arnaque. Son escroc, dont les méthodes s'inscrivent dans l'arsenal IA documenté par l'ONUDC (deepfakes, clonage vocal), a tissé sa toile pendant des mois autour du couple. « On est frappé deux fois. On prend votre argent, et on vole votre âme, votre estime de soi. Et le silence des autorités donne l'impression d'être arnaqué une seconde fois », se désole Kim Sawyer.
Le rapport annuel 2025 du FBI acte l'ampleur du phénomène : 22 364 plaintes liées à l'IA, pour près de 900 millions de dollars de pertes, sur un total de 20,8 milliards de pertes cybercriminelles, en hausse de 26 % en un an. L'ONU documente par ailleurs des « fraud factories » en Asie du Sud-Est, en Birmanie et au Cambodge, qui industrialisent la fraude par deepfake à l'échelle régionale. En 2024, une tentative de fraude deepfake survenait déjà toutes les cinq minutes dans le monde. En France, la CNIL a publié ses recommandations face aux deepfakes en février 2026.
Devant cette armée de doubles synthétiques, comment se structure la réponse légale ? Aux États-Unis, le Take It Down Act (signé en mai 2025) cible les deepfakes intimes non consentis. Le NO FAKES Act, ayant franchi la commission judiciaire du Sénat en juin 2026, irait plus loin : droits quasi-exclusifs sur son double numérique IA, transmissibles après la mort, jusqu'à 750 000 dollars de dommages par oeuvre. En Europe, l'AI Act impose le marquage des contenus générés par IA dès août 2026, un régime de traçabilité plutôt qu'une interdiction.
En Allemagne, c'est l'affaire Collien Fernandes qui a précipité une réforme que le gouvernement tardait à engager : cette actrice et animatrice de télévision accuse son ex-mari d'avoir fabriqué et diffusé de fausses vidéos sexuelles à son effigie pendant dix ans. Le scandale, qualifié de « pendant numérique de l'affaire Pelicot » outre-Rhin, a contraint le gouvernement à promettre une loi contre les violences numériques, au sens large.
Le marché qui avance sans cadre
Si le droit sanctionne, qu’en est-il des indemnisations ? Les assureurs répondent, mais pas nécessairement dans le sens qu'on croit. Dans Digital Insurance, Courtney Horrigan, avocate au sein du cabinet Reed Smith, compare l'évolution possible des couvertures deepfake à celle de la cyber-assurance : au départ, des garanties ajoutées à des polices existantes, puis des produits dédiés. « Ces risques cesseront d'être des couvertures silencieuses. Il faudra une couverture explicite pour un risque lié à l'IA », résume-t-elle.
Cette clarification a un prix. Ce qui était couvert implicitement devient plus lisible, mais aussi plus facile à borner, à chiffrer, à exclure. Pour les assureurs, l'obstacle reste très concret : comment évaluer la perte liée à une réputation abîmée, à une image virale, à une voix utilisée sans consentement ?
En décembre 2025, Coalition, insurtech américaine présente en France, ajoutait à sa police cyber un « Deepfake Response Endorsement » couvrant analyse technique, retrait de contenu et soutien réputationnel. En mars 2026, Hush lançait une couverture « vol d’identité » à destination des particuliers très fortunés, offrant une couverture allant jusqu'à 5 millions de dollars. Car, pour cette société américaine de protection et de sécurité, l'IA permet désormais de cibler et usurper des individus précis plutôt que de la fraude de masse.
Faute de police claire, certains se protègent autrement. En janvier 2026, Matthew Mc Conaughey révélait avoir fait enregistrer comme marques plusieurs vidéos et extraits audio de lui-même, dont son fameux Alright, alright, alright. En avril, Taylor Swift faisait de même avec son image et des échantillons de sa voix. On ne couvre plus seulement un préjudice : on commence à déposer son propre double.
Le prix de l'identité
Le problème tient à la nature même de l'attaque. Les polices cyber existantes reposent souvent sur l'idée d'une intrusion dans les systèmes. Or la fraude deepfake exploite la confiance humaine : l'employé de Hong Kong n'a pas eu ses systèmes compromis, il a été convaincu par de faux avatars en visioconférence. Une étude publiée dans Scientific Reports (Nature, 2025) mesure l'étendue du problème : les humains identifient correctement une voix générée par IA seulement 60 % du temps, à peine mieux que le hasard.
Reste à savoir ce que recouvrent réellement ces garanties dédiées : une protection supplémentaire, ou une nouvelle manière de définir ce qui sera indemnisé. Car si le deepfake crée un nouveau risque, il déplace aussi la frontière entre fraude technique et manipulation humaine... là où ni le droit ni l’assurance ne sont jamais très à l’aise.
Participer à la conversation