Nouvelles obligations de transparence de l’UE sur deepfakes et IA depuis le 2 août.
Emmanuel Macron en vacances avec Marine Le Pen, Jordan Bardella et Jean-Luc Mélenchon ? C’est ce que révèlent trois clichés postés sur Instagram le 21 juillet dernier. Sur ces images, le président français apparaît souriant, dans une villa, dans la rue et sur un rooftop, en compagnie de quelques-uns de ses opposants politiques.
Ces photos, qui ont reçu plus de 208 000 « likes », semblent être le type de contenu généralement produit par des intelligences artificielles (IA) génératives à des fins satiriques ou de désinformation, plutôt que des images authentiques.
De plus, aucun média officiel français n’a relayé ces moments supposés partagés. Les images présentent également des incohérences : l’épaule de Jordan Bardella qui « rogne » sur le visage de Marine Le Pen, des chaussures de couleurs différentes ou des vêtements échangés alors que les scènes sont censées se dérouler lors de la même soirée, ainsi que des visages au rendu très lisse, presque « plastifié », manquant de pores ou de texture réaliste.
Malgré ces éléments probants d’un manque d’authenticité, aucune mention, étiquette ou vignette n’indiquant que ces images ont été générées par une IA n’apparaît sur la plateforme. Ce ne sont pas les seules publications virales, vraisemblablement également générées par IA, qui ne sont pas décrites comme telles.
À partir du 2 août 2026, cette absence de transparence sera renforcée au sein de l’Union européenne (UE) avec l’application de nouvelles directives du règlement européen sur l’intelligence artificielle (IA Act). Quelles sont concrètement ces nouvelles obligations et quelles en sont les limites ? Décryptage.
L’IA Act est la première législation générale au monde sur l’intelligence artificielle. Elle vise à encadrer le développement, la mise sur le marché et l’utilisation de systèmes d’intelligence artificielle pouvant poser des risques pour la santé, la sécurité ou les droits fondamentaux.
Cette première mondiale a été adoptée le 1er août 2024, mais l’Europe a décidé d’appliquer cette législation de manière progressive.
Ainsi, à partir du 2 août 2026, de nouvelles obligations vont s’imposer. Parmi celles-ci, des lignes directrices visant à aider les fournisseurs et les responsables du déploiement de systèmes d’IA, ainsi que les autorités compétentes, à garantir le respect des obligations de transparence prévues à l’article 50 de l’IA Act.
Ces lignes directrices distinguent les fournisseurs (organismes développant des systèmes d’IA, comme Open AI – ChatGPT, Gemini ou Claude.ai) des responsables du déploiement de systèmes d’IA (notamment les plateformes utilisant des systèmes d’IA comme Instagram, Facebook ou TikTok).
Ces deux groupes n’ont pas les mêmes obligations de transparence.
Concernant les fournisseurs, ceux-ci doivent désormais respecter deux lignes directrices principales suivant l’article 50 :
1. Concevoir les systèmes d’IA de manière à garantir que les individus soient explicitement informés chaque fois qu’ils interagissent directement avec un système d’IA.
2. Ajouter des signes lisibles par machine pour permettre la détection de contenu généré ou manipulé par l’IA.
Concrètement, explique Trisha Meyer, maîtresse de conférences en gouvernance numérique à la Brussels School of Governance de la Vrije Universiteit Brussel, « les fournisseurs doivent disposer d’un système de marquage ou d’étiquetage qui peut prendre la forme de filigranes ou de métadonnées, et ce, pour tous les types de contenu : texte, vidéo, image ».
Pour cette chercheuse, ces obligations représentent une avancée significative dans la lutte contre la désinformation, car « il sera beaucoup plus facile pour les vérificateurs de faits, par exemple, de détecter les contenus générés et manipulés par l’IA ».
Prenons l’exemple d’une personne générant une image avec l’IA de Google, Gemini, représentant un fjord norvégien où se trouverait le monstre du Loch Ness. Dès aujourd’hui, conformément à l’article 50, Gemini est tenu de doter ce visuel de « marques lisibles, efficaces, fiables, robustes et interopérables », permettant d’identifier cette image comme ayant été générée ou manipulée par un système d’IA.
On peut ainsi voir sur l’image ci-dessous un petit losange en transparence en bas à droite, logo de Gemini, attestant que celle-ci a été générée via ce système d’IA.
Pour Laurence Dierickx, maîtresse de conférences au Département des Sciences de l’Information et de la Communication de l’Université libre de Bruxelles (ULB), ce système présente une limite : « toutes ces techniques de marquage peuvent être contournées : on peut par exemple recadrer, faire une capture d’écran, ajouter un petit peu d’humain dedans, ou encore retirer le petit symbole Gemini, et voilà, c’est bon. »
Elle ajoute que « les fraudeurs, ceux qui ont des velléités criminelles, ceux qui utilisent de fausses vidéos pour arnaquer les gens, passeront toujours entre les mailles du filet. Ce sont des gens qui se moquent pas mal des amendes de l’Union européenne. »
Pour elle, ces obligations s’inscrivent dans un environnement où « c’est compliqué d’avoir confiance tellement on est exposé à du vrai et du faux ».
En gardant cet exemple de l’image du monstre du Loch Ness dans un fjord norvégien, que se passe-t-il si la personne qui l’a générée décide de la publier sur un de ses réseaux sociaux ?
Comme ces derniers (Instagram, Facebook ou TikTok) ne sont pas considérés comme des outils générateurs d’IA (contrairement à l’outil Grok de « X »), l’article 50 stipule que ceux-ci sont « fortement encouragés à maintenir le marquage et l’étiquetage mis en œuvre conformément à l’article 50 de la loi sur l’IA et à mettre en œuvre des mesures proportionnées et techniquement réalisables pour permettre aux personnes physiques de détecter les contenus générés ou manipulés par l’IA ».
Par exemple, les réseaux sociaux peuvent indiquer qu’un contenu a été généré par IA sans que cela soit directement visible pour les utilisateurs.
En testant la publication de l’image du monstre du Loch Ness sur un compte Instagram, la mention que celle-ci a été générée par IA se trouve en cliquant sur les trois petits points à droite du cliché, puis sur « détails du réel » pour voir qu’il a bien été généré par IA.
Parfois, la mention qu’un contenu a été généré par IA est plus visible pour les utilisateurs. C’est le cas, par exemple, pour une vidéo publiée sur TikTok, « likée » plus de 4 millions de fois, montrant une personne glissant d’un toboggan géant se terminant dans un squelette d’un monstre marin.
Sur cette vidéo, une vignette indique clairement « Creator labeled as AI-generated » (« Créateur étiqueté comme généré par IA »).
Instagram, Facebook ou TikTok peuvent donc choisir d’informer les utilisateurs d’une manière plus ou moins visible qu’une vidéo ou une image a été générée avec un système d’IA. Mais ils ne sont pas obligés de le faire.
Ils le sont lorsque les utilisateurs sont exposés à trois types de contenus :
1. Des outils de reconnaissance des émotions et de catégorisation biométrique : lorsqu’une entreprise utilise une technique permettant de classer une personne dans une catégorie (par exemple son âge) grâce à son visage, sa voix ou sa façon de taper au clavier. La reconnaissance biométrique en temps réel dans les lieux publics est interdite, sauf cas très particuliers.
2. Des publications textuelles sur des sujets d’intérêt public sans relecture humaine ni contrôle éditorial au-delà de 200 tokens (soit environ 150 mots).
3. Des « deepfakes » : un contenu image, audio ou vidéo généré ou manipulé par l’IA qui ressemble à des personnes, des objets, des lieux, des entités ou des événements existants et qui apparaîtrait faussement à une personne comme authentique ou véridique. Des exceptions sont prévues pour les « deepfakes » faisant partie d’œuvres ou de programmes artistiques, créatifs, fictionnels ou satiriques.
Selon l’IA Act, trois critères cumulatifs doivent être réunis pour qu’un contenu constitue un « deepfake » : ressemblance (un degré élevé de similarité entre le contenu falsifié et le sujet simulé), existant (les personnes, objets, lieux, entités ou événements simulés doivent ressembler à quelque chose qui existe ou aurait pu exister dans la réalité) et fausse apparence d’authenticité ou de véracité (cela se rapporte à la capacité potentielle du contenu « deepfake » à tromper ou induire en erreur une personne quant à son authenticité).
C’est le cas, par exemple, avec une image du joueur de football de l’équipe du FC Barcelone, Frenkie de Jong, entrant dans un appareil d’Imagerie à Résonnance Médicale (IRM) alors qu’il a réellement subi une grave blessure, indiquée sous le nom du compte « IA Info » sur Instagram.
Parmi les autres changements qui entreront en vigueur ce 2 août figurent également l’obligation pour tout site internet d’informer ses utilisateurs lorsqu’ils échangent avec un agent