Le scénario n’a plus rien de théorique : une fausse vidéo de votre dirigeant annonçant une délocalisation, une voix clonée qui ordonne un virement, le visage d’une collaboratrice détourné dans un contenu dégradant, une fausse interview qui ruine trois ans de travail de marque. Face à cela, la plupart des organisations françaises croient le droit démuni, et découvrent les textes au pire moment, celui de la crise. Or c’est l’inverse : depuis la loi SREN du 21 mai 2024, la France dispose de l’un des arsenaux anti-deepfake les plus complets au monde, avec un délit spécifique d’hypertrucage dans le code pénal, un délit autonome pour les contenus sexuels, et tout un étagement de recours civils, réglementaires et de plateforme qui le complète. Le problème n’est pas la loi : c’est qu’elle est récente, dispersée entre quatre codes et deux règlements européens, et que presque personne ne l’a assemblée en mode d’emploi. C’est l’objet de ce guide, avec la précision d’usage qui s’impose doublement ici : ce décodage stratégique, à jour des textes au 9 juillet 2026, ne constitue pas un conseil juridique, et toute situation réelle mérite un avocat, vite.
Étage 1, le pénal : depuis 2024, le deepfake est un délit qui porte un nom
Le socle est l’article 226-8 du code pénal, profondément réécrit par l’article 15 de la loi SREN. Historiquement, ce texte réprimait le « montage » réalisé avec les paroles ou l’image d’une personne sans son consentement ; il vise désormais explicitement, et c’est la révolution silencieuse de 2024, « un contenu visuel ou sonore généré par un traitement algorithmique et reproduisant l’image ou les paroles d’une personne, sans son consentement ». Traduction : le deepfake d’intelligence artificielle, visuel ou vocal, est nommé par le code pénal. Deux conditions structurent le délit : l’absence de consentement de la personne représentée, et le caractère trompeur du contenu, c’est-à-dire qu’il n’apparaisse pas « à l’évidence » qu’il s’agit d’un montage et qu’il n’en soit pas fait expressément mention. La parodie assumée et le contenu clairement étiqueté comme artificiel restent donc hors du champ : ce que la loi punit, c’est la tromperie sur l’authenticité, pas la technologie. Les peines : un an d’emprisonnement et 15 000 euros d’amende, portés à deux ans et 45 000 euros lorsque la diffusion passe par un service de communication au public en ligne, autrement dit les réseaux sociaux, cas de très loin le plus fréquent. Détail que les praticiens soulignent : le texte vise le fait de « porter à la connaissance du public ou d’un tiers », formulation élargie par la loi SREN, ce qui signifie qu’un simple partage à un tiers peut suffire à constituer l’infraction, sans diffusion massive.
Pour les contenus les plus destructeurs, le législateur a créé un délit autonome : l’article 226-8-1 réprime le montage ou le deepfake à caractère sexuel réalisé avec les paroles ou l’image d’une personne sans son consentement, puni de deux ans d’emprisonnement et 60 000 euros d’amende, portés à trois ans et 75 000 euros en cas de diffusion en ligne, avec des circonstances aggravantes selon le contexte. Le chiffre avancé lors des débats parlementaires dit l’urgence qu’il y avait à légiférer : la quasi-totalité des deepfakes pornographiques visent des femmes. Signalons enfin, par honnêteté de décodage, les limites que la doctrine juridique pointe déjà : le critère de l’« évidence » du trucage reste subjectif, la création seule, sans partage, n’est pas visée par ces textes, l’identification des auteurs demeure le nerf de la guerre, et la jurisprudence est encore jeune, le texte n’ayant que deux ans. C’est un arsenal réel, pas une baguette magique.
Étage 2, le civil et les données : l’image et la voix sont à vous
En parallèle du pénal, deux fondements civils font le travail au quotidien. Le droit à l’image, et son extension jurisprudentielle au droit à la voix, construits sur l’article 9 du code civil : toute personne peut interdire l’utilisation de son image ou de sa voix, ce qui permet d’agir en référé pour obtenir le retrait rapide d’un contenu et des dommages-intérêts, sans attendre l’issue d’une procédure pénale. Et le RGPD, dont on oublie qu’il s’applique frontalement : l’image et la voix sont des données personnelles, leur traitement par un générateur de deepfake sans consentement est dépourvu de base légale, ce qui ouvre le droit à l’effacement et la voie d’une plainte auprès de la CNIL. Pour les organisations, deux fondements complémentaires méritent le réflexe : l’usurpation d’identité de l’article 226-4-1 du code pénal quand le deepfake sert à se faire passer pour un dirigeant, et le terrain de l’escroquerie quand il outille une fraude au virement, le scénario que nous documentions dans notre analyse de la surface d’attaque des dirigeants. Enfin, si le deepfake réutilise une oeuvre protégée, la contrefaçon peut s’ajouter à l’addition. Le paysage est donc celui d’un cumul de qualifications : le bon réflexe n’est pas de chercher LE texte, c’est de faire qualifier le dossier par un professionnel qui les empilera.
Étage 3, les plateformes et les guichets : où appuyer, dans quel ordre
Le droit ne vaut que par ses guichets, et ils existent. Le signalement aux plateformes d’abord, dont les obligations de retrait des contenus illicites se sont renforcées avec le cadre européen des services numériques : un contenu relevant des articles 226-8 ou 226-8-1 est un contenu illicite, et le signalement doit le dire précisément, texte à l’appui, plutôt que de cocher une case générique. Le signalement public ensuite : PHAROS, la plateforme officielle de signalement des contenus illicites en ligne, et THESEE lorsque le deepfake outille une escroquerie. La plainte pénale, enfin, qui peut être déposée en parallèle du reste, et que rien n’oblige à attendre. Un mot sur la traçabilité, car elle progresse en silence : les grands générateurs intègrent des marqueurs invisibles et des métadonnées d’origine dans une partie de leurs contenus, les plateformes conservent journaux et adresses sur réquisition, et l’obligation européenne de marquage lisible par machine des contenus synthétiques, que nous avons détaillée dans notre guide de l’article 50, va systématiser cette empreinte. L’anonymat de l’auteur d’un deepfake est de moins en moins une fatalité technique ; il reste une course contre la montre procédurale.
Étage 4, la transparence : le 2 août change la donne par le haut
Dernier étage, et il donne à ce kit son actualité : à compter du 2 août 2026, l’article 50 du règlement européen sur l’IA rend applicable et sanctionnable l’obligation de divulguer les deepfakes, définis comme les contenus générés ou manipulés représentant de manière réaliste des personnes, des objets, des lieux ou des événements. Nous en avons publié le guide complet ; retenons ici sa conséquence pour les victimes : le droit français punissait déjà la tromperie, le droit européen impose désormais l’étiquetage, et la combinaison des deux resserre l’étau par les deux bouts, celui qui diffuse un deepfake trompeur viole le code pénal, celui qui omet de l’étiqueter viole le règlement. Pour les organisations qui UTILISENT légitimement des contenus génératifs, avatars, voix de synthèse, la leçon est symétrique : l’étiquetage n’est pas seulement une obligation, c’est ce qui distingue juridiquement votre usage assumé du deepfake malveillant qui vous visera un jour.
Ce que vous devez faire, et dans quel ordre
Action 1 : écrivez la procédure avant l’incident, elle tient sur une page
Le kit ne vaut que préparé. Une page suffit : les fondements à citer (226-8, 226-8-1, article 9, RGPD), les guichets et leurs liens (signalement plateforme, PHAROS, THESEE, CNIL), le contact de l’avocat qui connaît déjà l’organisation, et la règle d’or des preuves : TOUT préserver avant tout retrait, captures horodatées, URL, constat d’huissier si l’enjeu le justifie, car un contenu retiré sans preuve est un dossier mort. Cette page, rédigée un mardi calme, vaut des journées entières gagnées le jour où elle sert.
Action 2 : appliquez la discipline des 72 heures, dans le bon ordre
La fenêtre que nous documentons depuis nos premiers cas d’école vaut doublement ici : préserver les preuves (heure 0), signaler et demander le retrait en qualifiant juridiquement (heures 1 à 24), déposer plainte et saisir les fondements civils si nécessaire (jours 1 à 3), et communiquer, en interne d’abord, en externe si le contenu a circulé, sans jamais republier le faux, même pour le démentir : on décrit, on ne montre pas. L’erreur classique inverse l’ordre, communiquer d’abord, préserver ensuite, et elle coûte le dossier.
Action 3 : réduisez la surface et construisez le capital qui rend le faux coûteux
La meilleure défense reste patrimoniale : une organisation dont les canaux officiels sont clairement identifiés, dont la parole du dirigeant est régulière, datée et sourcée, et dont les contenus authentiques dominent les recherches et les réponses d’IA, offre très peu d’espace au faux, chaque deepfake s’y heurtant à un corpus vérifiable qui préexiste. C’est le capital d’entité que toute notre doctrine construit, et son corollaire opérationnel : cadrer dès maintenant vos propres usages génératifs (charte, étiquetage conforme au 2 août), car l’organisation qui maîtrise ses contenus synthétiques est aussi la plus rapide à détecter ceux qu’on fabrique contre elle.
ELMARQ accompagne les directions générales et les directions de la communication sur la préparation aux crises informationnelles, la procédure des 72 heures et la construction du capital d’entité, en stratégie et en exécution, en lien avec vos conseils juridiques. Trente minutes de diagnostic suffisent à établir si votre organisation est prête à réagir à un deepfake dans les délais qui comptent.
Il faut conclure sur le renversement que ce kit propose. Le récit dominant veut que la technologie ait pris le droit de vitesse, et que les victimes de deepfakes soient démunies. C’était vrai ; ce ne l’est plus, ou plus autant : la France s’est dotée en 2024 d’un des rares délits d’hypertrucage au monde, l’Europe impose l’étiquetage à compter du 2 août, et l’étagement des recours existe, du référé au signalement. Ce qui reste vrai, en revanche, c’est que ce droit ne protège que ceux qui l’ont lu avant d’en avoir besoin : dans une crise de 72 heures, le temps de découvrir les textes est précisément le temps qui manque. La pré-campagne présidentielle qui s’ouvre produira son lot de faux, et chaque incident rappellera la même leçon : face aux deepfakes, la différence ne se joue plus entre ceux que le droit protège et les autres. Elle se joue entre ceux qui ont préparé la page, et ceux qui la chercheront en pleine tempête.
