Trois familles de marquage coexistent : métadonnées signées, filigrane invisible et mention visible. Chacune casse à un endroit précis, et l’absence de marque ne prouve jamais rien.
Le marquage des contenus générés repose sur trois dispositifs distincts. Les métadonnées C2PA attachent au fichier un historique signé cryptographiquement, qui dit d’où il vient et par quels outils il est passé. Le filigrane invisible inscrit un signal dans les pixels ou dans le son, détectable par un outil dédié. La mention visible s’adresse à l’œil. Les trois prouvent une origine, jamais une vérité, et aucun ne survit à toutes les manipulations. Surtout, l’absence de marque ne signifie rien : la plupart des plateformes effacent les métadonnées à la publication.
Une image vous parvient, elle vous semble étrange, et vous cherchez le bouton qui dira si elle est vraie. Ce bouton n’existe pas, et il n’existera pas. Ce qui se construit depuis quelques années répond à une question différente, plus modeste et beaucoup plus solide : d’où vient ce fichier, et par quelles mains est-il passé.
Le changement de question n’est pas un détail. Deviner si un contenu est généré revient à courir après des modèles qui s’améliorent tous les six mois. Attacher au fichier une histoire signée revient à créer une trace vérifiable, qui ne dépend d’aucune performance de détection.
Trois dispositifs cohabitent aujourd’hui, souvent confondus dans un même mot de « filigrane ». Ils ne marquent pas la même chose, ne résistent pas aux mêmes manipulations, et ne prouvent pas la même chose.
La norme C2PA, portée par une coalition d’éditeurs de logiciels, de fabricants d’appareils photo et de médias, attache au fichier un document appelé manifeste. Ce manifeste énumère des assertions : quel appareil ou quel logiciel a produit le contenu, à quelle date, quelles modifications ont suivi, et si un outil génératif est intervenu. Le tout est signé cryptographiquement, et la signature couvre aussi une empreinte des pixels eux-mêmes.
Cette empreinte est le point important. Si quelqu’un modifie un seul pixel sans passer par un logiciel compatible, l’empreinte ne correspond plus et le manifeste est signalé comme rompu. Si la modification passe par un logiciel compatible, elle s’ajoute à l’historique comme une nouvelle entrée signée. Dans les deux cas, la manipulation devient visible.
Le nom grand public de ce mécanisme est « informations de contenu ». Quelques boîtiers professionnels le gèrent depuis 2023 à la prise de vue, plusieurs logiciels de retouche l’écrivent à l’export, et les grands fournisseurs de systèmes d’IA générative l’apposent désormais sur leurs sorties.
Le manifeste ne se contente pas d’un « fait par une IA » binaire. Il s’appuie sur un vocabulaire normalisé, issu des standards de métadonnées de la presse, qui distingue plusieurs origines : prise de vue par un capteur, création entièrement algorithmique, composition mêlant des éléments réels et générés, ou simple retouche assistée. Cette granularité compte : une photographie de presse dont le ciel a été légèrement éclairci n’est pas un visuel inventé, et les deux ne doivent pas porter la même étiquette.
Un manifeste n’a aucune valeur intrinsèque : n’importe qui peut en écrire un et affirmer que l’image sort d’un appareil photo. Ce qui compte, c’est l’identité du signataire et la chaîne de certificats qui la rattache à une autorité reconnue. Le mécanisme est celui décrit dans notre article sur HTTPS et les certificats, transposé du serveur web au fichier.
Il en découle une conséquence que les démonstrations passent souvent sous silence. Lire « signé » ne suffit pas : il faut lire par qui. Un manifeste valide signé par un acteur que personne ne connaît vous apprend seulement que ce fichier vient de cet acteur inconnu. La vérification utile consiste à regarder le nom du signataire, puis à se demander s’il a quelque chose à perdre en mentant.
| Métadonnées signées (C2PA) | Filigrane invisible | Mention visible | Empreinte perceptuelle | |
|---|---|---|---|---|
| Où l’information est inscrite | Dans un bloc annexe du fichier | Dans les pixels ou le signal sonore | Dans l’image, à l’œil | Dans une base de données distante |
| Survit à une recompression | Souvent non | Oui | Oui | Oui |
| Survit à une capture d’écran | Non | Parfois | Oui | Souvent |
| Se retire volontairement | Trivialement | Avec un peu de travail | Par recadrage | Difficilement |
| Ce que la présence prouve | L’origine et l’historique | Le modèle qui a produit le contenu | Rien, elle s’imite | La correspondance avec un contenu connu |
Aucune ligne de ce tableau ne comporte que des « oui ». C’est structurel : une information robuste aux transformations doit être inscrite dans le contenu lui-même, donc au prix d’une altération, et une information riche et vérifiable doit être écrite à côté, donc de façon fragile. Les dispositifs sérieux combinent les deux.
Sur une image, le filigrane consiste à imposer une déviation minuscule et structurée à un très grand nombre de pixels, ou au bruit initial du processus de diffusion. La déviation est calculée à partir d’une clé secrète : invisible à l’œil, elle est détectable par qui possède cette clé, même après un redimensionnement, une recompression ou un léger recadrage.
Elle ne survit pas à tout. Une capture d’écran suivie d’un recadrage sévère détruit une bonne partie du signal. Surtout, faire repasser l’image par un autre modèle génératif la reconstruit à l’identique visuellement, sans le filigrane. Ces attaques par régénération sont documentées et ne demandent aucune compétence particulière.
Un système de marquage n’est utile que s’il est asymétrique dans le bon sens. Or celui-ci l’est dans le mauvais. Trouver un manifeste ou un filigrane est informatif. Ne rien trouver ne l’est pas du tout, puisque la même absence recouvre trois situations sans rapport : un contenu authentique publié par un service qui efface les métadonnées, un contenu généré par un fournisseur qui ne marque pas, et un contenu manipulé dont la marque a été retirée volontairement.
Le risque social est donc l’inverse de celui qu’on redoute. Le danger n’est pas qu’un faux passe entre les mailles, c’est qu’un contenu vrai mais non marqué soit traité comme suspect, et qu’un réflexe s’installe : « pas de badge, pas de confiance ». Une photographie prise par un témoin avec un téléphone ordinaire, transmise par messagerie puis republiée, n’aura jamais de badge. C’est pourtant souvent la pièce la plus précieuse.
Une faille plus retorse existe dans l’autre sens. Photographiez un écran affichant une image inventée avec un appareil capable de signer ses prises de vue, et vous obtenez un fichier authentiquement certifié « capturé par un capteur, tel jour, tel boîtier ». Le manifeste ne ment pas : la capture a bien eu lieu. Il ne dit simplement rien de ce qui se trouvait devant l’objectif. Aucune signature cryptographique ne pourra jamais combler cet écart entre la sincérité du fichier et la réalité de la scène.
Le raisonnement à tenir est celui d’un faisceau d’indices, pas d’un verdict. Il rejoint la méthode générale exposée dans la vérification d’une réponse d’IA : une source qui s’identifie et engage sa responsabilité vaut mieux qu’un signal technique isolé.
L’article 50 du règlement sur l’IA distingue deux acteurs, et cette distinction règle la plupart des malentendus. Le fournisseur du système génératif doit faire en sorte que les sorties soient marquées dans un format lisible par machine et détectables comme artificiellement générées ou manipulées, avec des solutions efficaces, interopérables et robustes dans la limite de ce qui est techniquement faisable. Cette réserve technique est explicite dans le texte, et elle reconnaît en creux les limites décrites plus haut.
Le déployeur, c’est-à-dire celui qui utilise le système et diffuse le résultat, porte une obligation différente : révéler qu’un contenu est un hypertrucage lorsqu’il représente des personnes, des objets ou des événements réels. Une atténuation existe pour les œuvres manifestement artistiques, satiriques ou fictionnelles, où la mention doit rester proportionnée. Une obligation voisine vise les textes publiés pour informer le public sur des sujets d’intérêt général, sauf lorsqu’une relecture éditoriale humaine engage la responsabilité d’une personne.
Ces obligations de transparence s’appliquent à partir du 2 août 2026, selon le calendrier d’application du règlement. Leur méconnaissance expose à une amende pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. La surveillance en France est répartie entre plusieurs autorités, sujet traité dans notre article sur le contrôle de l’IA.
La quatrième famille du tableau, l’empreinte perceptuelle, fonctionne encore différemment et mérite d’être connue, car elle est déjà employée à grande échelle. On calcule une signature numérique tolérante aux petites modifications, puis on la compare à une base de contenus déjà identifiés. C’est ainsi que les plateformes repèrent les republications d’un contenu déjà retiré, y compris recadré ou recompressé. La méthode ne dit rien sur un contenu nouveau : elle ne reconnaît que ce qu’on lui a déjà appris à reconnaître.
Ces gestes valent aussi pour le son, où la marge d’erreur humaine est bien plus grande : une voix synthétique est reconnue par très peu de gens à l’écoute, comme le montre le cas du clonage vocal. Sur un fichier audio ou vidéo, les métadonnées de provenance sont encore plus rares que sur une image.
Le marquage a un pendant : la fuite d’informations. Une photographie prise avec un téléphone contient couramment les coordonnées GPS du lieu de prise de vue, la date à la seconde, le numéro de série de l’objectif sur certains appareils, et parfois le nom du propriétaire configuré dans le logiciel. Publier le fichier brut revient à publier tout cela. Les différences entre conteneurs, et ce que chacun conserve, sont détaillées dans notre comparaison des formats de fichiers.
Le bon réflexe n’est pas d’effacer systématiquement : c’est de distinguer les situations. Pour une preuve, une réclamation ou un signalement, gardez l’original intact et transmettez-le tel quel, car les métadonnées font partie de la valeur probante. Pour une publication ouverte, exportez une version nettoyée. Un signalement de contenu illicite suit d’ailleurs sa propre procédure, décrite dans notre article dédié.
Ne demandez pas si le fichier porte une marque. Demandez qui l’a signée, ce que cette personne ou cette entreprise déclare précisément, et ce qu’elle risque en cas de fausse déclaration. Un manifeste dit « ce fichier est sorti de tel logiciel à telle date », il ne dit jamais « la scène représentée s’est produite ». Une photographie authentique d’une mise en scène reste une mise en scène, et elle passera tous les contrôles de provenance.
Appliquez enfin la règle inverse pour les contenus non marqués : traitez l’absence comme une absence d’information, et retournez à la provenance humaine, l’auteur, le média, la date de première publication. C’est ce que travaille notre quiz sur les arnaques, scénario par scénario. Le vocabulaire technique employé ici est repris terme par terme dans le glossaire.
Trois voies. Les visionneuses de fichiers de votre ordinateur affichent déjà les métadonnées classiques, date, appareil, réglages, parfois coordonnées GPS. Certaines plateformes affichent un pictogramme d’informations de contenu quand le fichier en porte. Enfin, les sites de vérification de la coalition C2PA acceptent qu’on dépose un fichier et affichent le manifeste complet, avec la chaîne des modifications et l’identité du signataire. Si aucune de ces trois voies ne donne de résultat, cela signifie que le fichier ne porte pas d’information, pas qu’il est truqué.
Parce que la plupart des services les suppriment volontairement à l’envoi. C’est d’abord une mesure de protection de la vie privée : une photographie prise avec un téléphone contient souvent la position GPS exacte, la date à la seconde et l’identifiant du modèle. C’est aussi une économie de stockage et de bande passante. L’effet secondaire est que la chaîne de provenance se casse à la première republication. Plusieurs grandes plateformes ont commencé à conserver et à afficher ces informations, d’autres continuent de tout effacer.
Oui, et c’est démontré. Les attaques dites de régénération consistent à faire repasser l’image par un modèle génératif, qui la reconstruit sans le signal d’origine tout en conservant l’apparence. Un recadrage sévère, une capture d’écran suivie d’un réencodage, ou l’ajout d’un bruit ciblé suffisent aussi dans bien des cas. Le filigrane sert donc à tracer un contenu diffusé de bonne foi, pas à arrêter un faussaire décidé. C’est une différence de finalité qu’on confond souvent.
L’obligation de marquage technique pèse sur le fournisseur du système, pas sur vous. En revanche, le règlement européen impose à celui qui diffuse un hypertrucage représentant des personnes ou des événements réels d’indiquer clairement que le contenu est artificiel. Un visuel purement décoratif, sans personne identifiable ni événement réel, n’est pas concerné. Les usages plus larges, notamment en entreprise, relèvent d’une charte d’usage interne.
Oui, et c’est l’effet pervers le plus fréquent. Un recadrage dans un logiciel qui ne gère pas la norme, une conversion de format, un envoi par messagerie ou une capture d’écran suffisent à faire disparaître le manifeste. Un photographe de presse peut ainsi voir sa photographie authentique circuler nue, à côté d’une image générée qui, elle, aura conservé ses informations. Juger la fiabilité d’un contenu à la présence de la marque revient donc à récompenser le fichier le moins manipulé, pas le plus vrai.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Modèles de langage, IA générative, deepfakes et règlement européen sur l’IA, expliqués sans hype ni panique.