ENTRETIEN. En juillet 2025, un homme était condamné sur la base des nouveaux délits de deepfakes. Ici et là, législateurs et juges serrent la vis face à ce fléau aux multiples visages. Éclairage.
En juillet 2025, une sénatrice du Minnesota, Amy Klobuchar, tombait sur une vidéo dans laquelle on l’entend critiquer de manière vulgaire et absurde une campagne de publicité pour des jeans mettant en scène l’actrice Sydney Sweeney. Il s’agissait d’un deepfake, ce montage réalisé à l’aide de l’intelligence artificielle (IA) à partir de contenus vidéo ou audio et dont la ressemblance avec la victime est telle qu’il peut être perçu à tort comme authentique ou véridique.
Néologisme né de la contraction de deep learning (« apprentissage profond ») et de fake (« faux »), le deepfake est doté d’une capacité de nuisance considérable. « L’année dernière, une personne a utilisé l’IA pour cloner la voix d’un directeur de lycée dans le Maryland et créer un enregistrement audio dans lequel il tenait des propos racistes et antisémites. Au moment où l’enregistrement s’est révélé être un faux, le directeur avait déjà été suspendu de ses fonctions, et les familles et les élèves étaient profondément blessés », rappelle Amy Klobuchar dans une tribune publiée dans le New York Times.
Les montages numériques à caractère sexuel connaissent aussi une croissance alarmante. Chaque jour, des dizaines de milliers d’images ou de vidéos pornographiques truquées sont partagées, générant des millions de vues aux conséquences parfois tragiques. « Au moins 20 enfants se sont récemment suicidés en raison de la menace de diffusion d’images explicites sans leur consentement », déplore la sénatrice.
« Les possibilités sont infinies »
Et d’alerter sur les dégâts considérables liés à ces montages diffusés en masse à des fins multiples (vengeance, dénigrement, désinformation, déstabilisation politique, etc.) : « Imaginez un deepfake du PDG d’une banque qui déclenche une ruée bancaire, un deepfake d’un influenceur incitant les enfants à consommer de la drogue ou un deepfake du président américain déclenchant une guerre qui provoque des attaques contre nos troupes, énumère encore l’élue. Les possibilités sont infinies. Avec l’IA, la technologie a pris de l’avance sur la loi, et nous ne pouvons pas la laisser aller plus loin sans règles. »
Des États-Unis à la Corée du Sud en passant par le Danemark et le Royaume-Uni, la riposte législative et judiciaire se durcit. En France, une première condamnation est intervenue, en juillet 2025, sur la base des nouvelles dispositions du Code pénal sanctionnant cette pratique. Un homme de 20 ans avait, par vengeance, diffusé sur les réseaux sociaux des montages vidéo à caractère sexuel mettant en scène des jeunes filles mineures dont la plus jeune avait 12 ans. Il a écopé de deux ans de prison avec sursis et mise à l’épreuve.
Cette décision envoie-t-elle un signal fort aux auteurs de deepfakes ? La loi française est-elle adaptée à l’évolution rapide de ce fléau ? Comment les autres États réagissent-ils face aux deepfakes ? Les réponses de Claire Poirson, avocate spécialisée en droit du numérique, associée du cabinet Firsh, autrice du livre blanc Démêler le vrai du faux à l’ère des deepfakes, est-ce encore possible ?, publié dans le cadre du laboratoire de recherches du cabinet, sont éclairantes.
Le Point : En juillet 2025, le tribunal correctionnel de Coutances a condamné l’auteur d’une série de deepfakes à caractère sexuel mettant en scène 13 collégiennes. Que vous inspire cette décision intervenue dans un délai record ?
Claire Poirson : Ce jugement, rendu dans un délai exceptionnellement court, a condamné un homme de 20 ans – rapidement identifié – à deux ans de prison avec sursis pour avoir généré et diffusé des vidéos à caractère sexuel non consenties, représentant douze mineures et une adulte (en l’occurrence, la femme qui l’avait éconduit). La peine est assortie d’une obligation de soins, d’une interdiction d’entrer en contact avec les victimes, ainsi que du versement de dommages et intérêts à chacune d’elles. Il faut dire que l’affaire, qui visait des mineures dans une bourgade tranquille de France, avait profondément choqué la population locale, ce qui a sûrement accéléré la réponse judiciaire.
Je salue cette décision qui, à ma connaissance, constitue la première application des nouveaux délits issus de la loi visant à sécuriser et à réguler l’espace numérique (SREN) votée en mai 2024. Ces délits répriment la diffusion de contenus visuels ou sonores générés par intelligence artificielle représentant l’image ou les paroles d’une personne sans son consentement.
Cette décision a été assez peu médiatisée alors qu’elle mériterait de l’être ! Au-delà de la sanction, elle envoie un signal fort à ceux qui menacent la paix sociale et la protection de nos enfants : l’État, services de police et justice compris, apporte un traitement rapide et efficace aux atteintes causées par tous contenus synthétiques malveillants diffusés en ligne, surtout lorsque les victimes sont mineures. Face à l’émergence de cette IA malveillante, la réponse de l’État doit effectivement être claire, ferme et rapide et tous les acteurs, les plateformes comprises, doivent respecter leurs obligations face à de tels actes.
« Il aurait fallu sanctionner de manière claire et non équivoque tous les responsables de la chaîne que sont l’auteur, le diffuseur et les repartageurs. »
Ces nouveaux délits – et notamment celui de porter un deepfake à la connaissance du public ou d’un tiers – vous semblent-ils adaptés à l’évolution du phénomène, notamment, aux deepfakes à caractère sexuel ?
Avant l’introduction de dispositions spécifiques par la loi SREN, les montages de type deepfake, à caractère sexuel ou non, pouvaient difficilement être poursuivis, sauf à les rattacher à des qualifications existantes comme l’atteinte à la vie privée ou la diffamation, ce qui pouvait poser des problèmes de preuve.
La création d’une infraction autonome permet de lever cette incertitude juridique.
Néanmoins, cette loi, adoptée dans la précipitation, ne semble pas avoir pris la mesure du phénomène, et notamment la viralité du deepfake, qui est l’enjeu majeur de cette infraction au regard du préjudice de la victime. Il aurait fallu sanctionner de manière claire et non équivoque tous les responsables de la chaîne que sont l’auteur, le diffuseur et les repartageurs.
Que nous enseignent les décisions rendues dans d’autres pays ?
Le phénomène des deepfakes est présent partout dans le monde. Il s’agit d’une technologie en constante évolution, dont la sophistication croissante rend la détection de plus en plus difficile. De nombreux États (notamment la Suède, le Japon, la Suisse et l’Inde) ont choisi de ne pas légiférer spécifiquement sur les deepfakes, estimant que leur droit – souvent qualifié de « technologiquement neutre » – permettait de répondre de manière adéquate aux infractions commises via ces contenus synthétiques.
Cette approche présente l’avantage de préserver la pérennité des textes juridiques et d’éviter qu’ils deviennent vite obsolètes face à l’évolution rapide des technologies. Ces États disposent souvent de processus législatifs plus longs et plus complexes que celui de la France, ce qui explique en partie leur prudence. Ils privilégient donc une adaptation jurisprudentielle ou réglementaire plutôt qu’une réforme pénale dédiée.
Pourriez-vous citer un exemple jurisprudentiel marquant dans l’un de ces pays ?
Le 18 juillet 2025, la Haute Cour de New Delhi s’est fondée sur les principes fondamentaux de la vie privée, de la dignité et de la diffamation pour ordonner à X Corp, Meta et Google de retirer des contenus diffamatoires et pornographiques générés par deepfake visant une universitaire et militante écologiste.
La décision de la Cour indienne est un parfait exemple de ce qu’il faut faire pour endiguer un deepfake puisque la cour a très vite ordonné le retrait des contenus à titre conservatoire mais elle a aussi enjoint aux plateformes de coopérer à l’identification des auteurs, de bloquer la diffusion des contenus et de supprimer l’indexation afin de protéger l’identité de la victime.
Cette décision peut être considérée comme pionnière en ce qu’elle impose à tous les acteurs du numérique concernés – l’État indien, les réseaux sociaux, le moteur de recherche, les fournisseurs d’accès – de retirer les contenus et de coopérer activement à l’identification des auteurs.
La Corée du Sud est particulièrement concernée par le fléau des deepfakes à caractère sexuel…
En effet, la Corée du Sud peine à endiguer le fléau de deepfakes pornographiques, révélatrice d’un déséquilibre profond entre les sexes. Ce fléau constitue une nouvelle forme de sexisme et de harcèlement quotidien dont sont victimes les femmes et les fillettes, dès l’école, plus connue sous le nom de « revenge porn ». Il s’agit essentiellement d’images, prises sans leur consentement, trouvées sur les réseaux sociaux, qui sont ensuite modifiées par l’IA pour en faire de fausses images et vidéos pornographique.
Le gouvernement a réagi en créant une organisation dédiée à la lutte contre les deepfakes pornographiques, visant à protéger les élèves du primaire au lycée, et a adopté une loi spécifique punissant non seulement les auteurs (monteurs), mais aussi les spectateurs de deepfakes sexuels. Les peines peuvent aller jusqu’à 7 ans de prison et 35 000 euros d’amende, surtout si les victimes sont mineures.
Et ce ne sont pas des sanctions théoriques car, dans les faits, les tribunaux se montrent sévères. Au-delà de la répression judiciaire, une réponse des pouvoirs publics est attendue, notamment en termes d’éducation, dans ce pays où la technologie amplifie les rapports de pouvoirs inégalitaires entre les sexes.
Mêmes les Américains, profondément attachés à la liberté d’expression, ont fait voter une loi, le « Take it down Act », qui criminalise la création et la diffusion de deepfakes à caractère sexuel.
Aux États-Unis, réglementer l’usage du deepfake est compliqué car cette pratique se heurte en effet à la liberté d’expression, le « free speech », une liberté fondamentale protégée par le premier amendement de la Constitution. Néanmoins, il y a eu un large consensus des deux partis républicains et démocrates pour faire voter la loi « Take it down ». Cette loi fédérale (donc applicable à tous les États membres) vise à lutter contre les images intimes partagées sans le consentement des victimes.
Le projet de loi a été adopté par les deux chambres à la quasi-unanimité en avril 2025, et promulgué par le président Trump le 19 mai 2025. Il prévoit à l’encontre des auteurs personnes physiques des sanctions pénales allant jusqu’à deux ans de prison (et trois ans si la victime est mineure) et 250 000 dollars d’amende. De plus, la loi oblige les plateformes à coopérer et à retirer, dans un délai de 48 heures, les contenus signalés comme deepfakes sexuels ou images intimes non consenties, sous peine d’amendes.
« La multiplication des textes en présence, qu’ils soient français ou européens, est un vrai problème qui, couplé souvent à une rédaction ambiguë, renforce l’insécurité juridique et vient finalement amoindrir l’effet recherché du législateur : celui de protéger sa population ».
Qu’en est-il chez nos voisins européens ?
En Espagne, le projet de loi en cours d’adoption (déposé en mars dernier) fait suite à plusieurs affaires de diffusion de fausses images dénudées d’adolescentes, générées par des applications d’IA. Ces cas ont suscité une vive émotion et des plaintes ont été déposées. Le législateur espagnol a donc voulu renforcer son arsenal législatif face au phénomène.
Le Danemark a choisi de protéger les victimes sous un angle inédit. Le législateur considère, dans le projet de loi en cours de discussion, que nos attributs biométriques – voix, visage – peuvent être protégés par le droit d’auteur, qui protège traditionnellement les œuvres de l’esprit. En Angleterre, le législateur est aussi en train de faire évoluer sa législation pour sanctionner de peines allant jusqu’à deux ans de prison les deepfakes à caractère sexuel, qui sont le phénomène qui évolue le plus vite.
Quelles sont les obligations des plateformes en vertu de l’IA Act européen ?
Le règlement européen sur l’intelligence artificielle (ou IA Act) établit des obligations de transparence distinctes selon la nature des contenus générés. Il impose une obligation de transparence aux fournisseurs et utilisateurs de certains systèmes d’IA, et notamment ceux qui créent du contenu « synthétique audio, image, vidéo ou texte » comme les deepfakes. Les fournisseurs et créateurs de deepfakes doivent ainsi indiquer que leurs résultats sont générés artificiellement.
Le texte européen distingue les contenus textuels des contenus audio, image et vidéo. Pour les contenus audio, visuels ou vidéo, l’utilisateur doit indiquer clairement leur caractère artificiel, avec une exception prévue pour les créations à finalité artistique ou satirique. En ce qui concerne les contenus textuels, l’obligation de signalement ne s’applique que lorsqu’ils visent à informer le public sur des questions d’intérêt public (par exemple, l’information).
En revanche, le texte ne prévoit aucune obligation de signalement si le contenu généré par l’IA a été soumis à un contrôle éditorial humain et qu’une personne assume explicitement la responsabilité de sa publication. Cette différenciation traduit la volonté du législateur européen de trouver un juste équilibre entre la lutte contre les risques de manipulation et de désinformation que provoquent ce type de deepfakes et la protection de la liberté d’expression, la liberté d’entreprendre et la création artistique. Si ces dispositions n’entrent en vigueur qu’en août 2026, les entreprises ont tout intérêt à s’y confirmer dès à présent dans le cadre de leurs bonnes pratiques de l’IA.
N’a-t-on pas aujourd’hui trop de textes de loi applicables à ces infractions qui touchent aussi bien à l’image des personnes, à leur vie privée voire intime, à leur réputation, etc. Sur quel terrain juridique agir et devant quelle juridiction ?
Bonne question ! La multiplication des textes en présence, qu’ils soient français ou européens, est un vrai problème qui, couplé souvent à une rédaction ambiguë, renforce l’insécurité juridique et vient finalement amoindrir l’effet recherché du législateur : celui de protéger sa population. De plus, les règles procédurales sont peu adaptées aux plateformes de droit étranger établies en dehors de la France.
L’enjeu majeur pour l’avocat est de parvenir à utiliser les textes et à les articuler efficacement. Dans ce type de dossier, l’avocat doit dès le départ qualifier les faits et mettre en place une véritable stratégie amiable et contentieuse. Il faut aussi prendre en considération le principe de non-cumul des infractions qui interdit de sanctionner plusieurs fois une même personne pour les mêmes faits. En matière de deepfake, plusieurs infractions sont susceptibles d’être retenues, par exemple, la diffamation, l’atteinte à la vie privée, la violation des données personnelles, l’atteinte à la dignité humaine, le délit autonome de deepfake, etc.
Que doit faire la victime face à ce type d’agression ?
Face à un deepfake en ligne, le premier réflexe est de faire des captures d’écran des images truquées, le cas échéant, de faire dresser un constat par un commissaire de justice (huissier), et de signaler le deepfake à la plateforme qui, dans le cadre de son obligation de modération, doit le retirer rapidement. Il faut en même temps le signaler à l’Ofac (Office anticybercriminalité) via un site dédié.
Une plainte pénale peut être envisagée, notamment si les auteurs ne sont pas identifiés. Le recours au juge des référés (voie civile) est toujours possible, même en cas de dépôt de plainte, pour demander une mesure urgente notamment à la plateforme qui ne retire pas malgré la notification. S’agissant d’une nouvelle infraction, l’avocat doit donc redoubler de vigilance et bien maîtriser les textes en présence et les règles de procédure.