« Est-ce réel ? » semble être une seule question. Il y en a au moins quatre :
- Qui ou quoi a créé le fichier ?
- Le fichier a-t-il changé depuis ce point ?
- Quels outils et éditions sont déclarés dans son historique ?
- Ce qui est représenté, événement ou affirmation, est-il réellement vrai ?
La technologie de provenance peut aider pour les trois premières. Elle ne tranche pas la quatrième.
Cette distinction compte pour les PME qui choisissent comment étiqueter des contenus marketing assistés par l’IA, préserver des éléments probants ou réagir à des médias suspects. Content Credentials, filigranes, métadonnées et outils de détection sont liés, mais jouent des rôles distincts.
Un Content Credential valide apporte des éléments probants sur un fichier signé et son historique déclaré. Ce n’est pas une vérification des faits. L’absence de Content Credentials ne constitue pas non plus un verdict : un traitement ordinaire peut retirer les données de provenance d’un média authentique.
Les quatre couches
Métadonnées ordinaires
Les fichiers peuvent contenir des informations sur l’appareil photo, l’horodatage, le lieu, l’auteur ou le logiciel de modification. Ce contexte est utile, mais il est souvent facile à altérer ou à supprimer. Les services de messagerie, les plateformes de contenu et les processus d’exportation peuvent l’effacer.
Les métadonnées seules ne doivent pas être traitées comme une preuve inviolable.
Filigranes
Un filigrane ajoute un signal détectable au contenu. Il peut être :
- visible, comme un logo ou une étiquette « généré par l’IA » ;
- invisible, intégré aux pixels ou à l’audio ;
- basé sur des métadonnées, porté dans un champ de fichier ;
- spécifique à un modèle, conçu pour signaler un contenu produit par un générateur particulier.
Les filigranes peuvent contribuer à la transparence ou à la traçabilité d’un processus. Leur robustesse varie. Le recadrage, la compression, le transcodage, les modifications, les captures d’écran, l’enregistrement d’une lecture ou le retrait délibéré peuvent détériorer le signal. Un détecteur peut aussi produire des faux positifs ou des faux négatifs.
Demandez au fournisseur à quelles transformations son filigrane résiste et dans quelle mesure l’affirmation peut être vérifiée de manière indépendante. La mention « filigrané » ne constitue pas une mesure de contrôle en l’absence d’un modèle de menace.
Content Credentials et C2PA
C2PA — la Coalition for Content Provenance and Authenticity — publie une norme technique ouverte pour les Content Credentials. Un Content Credential est un manifeste lié cryptographiquement qui contient des déclarations signées sur un élément média : son origine, ses outils, ses composants ou les opérations de modification.
L’index actuel des spécifications C2PA répertoriait la version 2.4 lors d’une nouvelle vérification le 28 juillet 2026. La note explicative technique de C2PA décrit la provenance comme un ensemble de faits sur l’historique d’un élément et les Content Credentials comme la structure liée cryptographiquement qui les consigne.
En pratique, un outil de validation peut répondre à des questions telles que :
- Le manifeste est-il structurellement valide ?
- La signature est-elle de confiance selon le modèle de confiance du validateur ?
- Le Content Credential est-il encore lié à ce fichier ?
- Quelles opérations de création ou de modification le signataire a-t-il déclarées ?
- Des composants antérieurs sont-ils reliés à l’historique ?
C’est nettement plus solide qu’un champ de texte non signé. Cela reste toutefois une déclaration du signataire, et non la garantie que la scène représentée est véridique ou n’a pas été mise en scène, ni que sa légende est exacte.
Détection
La détection estime si le contenu a des caractéristiques associées à la génération ou à la manipulation. Elle peut aider à trier des médias suspects, surtout combinée au contexte et à une expertise technique.
Elle ne peut pas établir une authenticité universelle. Les modèles, les méthodes de modification, les formats et les attaques évoluent. Ne fondez jamais une décision de paiement ou une décision disciplinaire, ni l’établissement public de la vérité, sur le seul score d’un détecteur.
Qu’est-ce qui survit aux transformations courantes ?
La réponse exacte dépend du format, de la mise en œuvre, de la plateforme et de l’utilisation de Content Credentials intégrés ou récupérables. Testez votre propre chaîne de publication.
| Transformation | Résultat probable | Que faire |
|---|---|---|
| Édition dans un outil compatible avec les Content Credentials | L’historique peut être complété | Vérifiez le fichier exporté et examinez les opérations déclarées |
| Export via un outil non compatible | Le Content Credential intégré peut disparaître | Conservez l’original signé ; testez les réglages d’export |
| Réencodage par une plateforme sociale | Les métadonnées ou le manifeste peuvent être retirés | Renvoyez si possible à un original faisant autorité |
| Capture d’écran ou enregistrement d’écran | Crée un nouveau fichier sans le lien d’origine | Traitez-le comme un dérivé ; conservez la source |
| Recadrage ou compression lourde | Peut casser la liaison dure (hard binding) ou la détection de filigrane | Signez de nouveau l’élément dérivé si votre flux le permet |
| Copie d’une légende ou d’une affirmation dans un autre fichier | Aucune continuité cryptographique | Vérifiez-la auprès de la source de publication |
C2PA définit aussi des méthodes de liaison souple (soft binding) destinées à faciliter la récupération de la provenance des éléments dérivés, mais leur disponibilité et leur prise en charge varient. Ne promettez pas que chaque capture d’écran pourra être retracée automatiquement.
Lancez un test d’acceptation simple avant d’adopter un outil :
- créez et signez une image ;
- éditez-la dans votre application standard ;
- exportez chaque format que vous publiez ;
- téléversez-la puis téléchargez-la via chaque plateforme ;
- envoyez-la via votre flux de messagerie ;
- prenez une capture d’écran ;
- validez chaque résultat et notez ce qui est resté.
Le résultat est plus utile qu’un logo de compatibilité fourni par un prestataire.
Ce que la provenance prouve — et ce qu’elle ne prouve pas
Un Content Credential valide peut étayer cette affirmation :
« Cet élément précis est lié à un manifeste signé par une identité à laquelle cet outil de validation fait confiance, et le manifeste déclare cet historique de création et de modification. »
Il ne soutient pas automatiquement :
- « la caméra a montré un événement non mis en scène » ;
- « la personne a consenti » ;
- « la légende est exacte » ;
- « chaque édition a été parfaitement divulguée » ;
- « le signataire est honnête » ;
- « l’élément est licite à publier » ;
- « un autre fichier sans Content Credential est faux. »
Un éditeur de confiance peut signer une image trompeuse. Une photographie authentique peut perdre son Content Credential. La provenance ajoute un contexte dont la source est attribuable ; les personnes et les institutions doivent encore évaluer l’affirmation.
Une politique de publication pour une PME
Utilisez ceci comme politique de départ et adaptez-la à votre risque.
1. Préservez un original faisant autorité
Conservez la source de la meilleure qualité, son Content Credential s’il existe, l’autorisation de diffusion, les droits d’usage, les preuves de consentement requises et la version finale publiée. Limitez les droits d’écriture et appliquez une durée de conservation documentée.
Ne vous fiez pas à la copie sur plateforme sociale comme archive.
2. Signalez toute génération ou manipulation substantielle
Étiquetez le contenu lorsque l’IA a généré ou modifié de manière substantielle la représentation réaliste d’une personne, d’une voix, d’un événement ou d’un témoignage, ou une affirmation présentée comme une information. Placez une mention lisible par une personne à proximité du contenu, même s’il existe aussi un marquage lisible par machine.
Dans l’UE, les règles de transparence de l’article 50 s’appliquent à partir du 2 août 2026. L’aperçu actuel de la transparence de la Commission européenne explique les obligations de marquage et de divulgation, tandis que les détails juridiquement pertinents et exceptions restent dans le règlement et les orientations officielles. Obtenez un conseil juridique pour votre usage particulier ; cet article est un guide opérationnel, pas un avis juridique.
3. Utilisez la provenance là où le flux le permet
Préférez les outils de capture et de modification compatibles avec les Content Credentials pour :
- déclarations officielles ;
- preuves produit et sécurité ;
- médias mettant en scène des dirigeants ou des porte-parole ;
- contenus documentaires ;
- médias de campagne pour lesquels la mention de l’IA est importante ;
- éléments susceptibles d’être usurpés ou contestés.
Ne retardez pas une mention nécessaire au seul motif que votre outil ne peut pas émettre de Content Credential.
4. Vérifiez avant de republier
Pour les médias de tiers :
- examinez tout Content Credential et son statut de validation ;
- identifiez le signataire ;
- trouvez la source faisant autorité la plus ancienne ;
- comparez la date et le contexte affirmés ;
- contactez le sujet ou l’éditeur via des coordonnées connues pour un usage à fort enjeu ;
- enregistrez la décision éditoriale.
Un indicateur vert associé à un Content Credential n’est qu’un élément parmi d’autres, et non une autorisation de faire l’impasse sur la vérification.
5. Énoncez ce que votre étiquette signifie
Définissez les termes publiquement :
- « assisté par l’IA » peut désigner l’idéation ou de simples retouches ;
- « généré par l’IA » peut signifier que la plupart des pixels, de la parole ou du texte ont été synthétisés ;
- « manipulé de manière substantielle » peut signifier que le sens apparent ou l’identité a changé ;
- « Content Credentials disponibles » doit renvoyer au Content Credential ou à la méthode de vérification.
La cohérence vaut plus qu’une étiquette impressionnante que personne ne comprend.
6. Préparez-vous à l’usurpation
Publiez des canaux de contact officiels. Dites aux clients comment les changements de coordonnées de paiement, demandes urgentes ou instructions de la direction sont vérifiés. Maintenez un processus rapide de correction et de retrait pour les médias frauduleux utilisant votre identité.
Pour les contrôles de paiement, utilisez contrôles de fraude par clonage vocal pour PME. Pour les arnaques domestiques, utilisez la procédure de rappel indépendant.
Un enregistrement de diffusion d’une page
Pour les médias à haute confiance, enregistrez :
Élément :
Responsable métier :
Source / capture :
Droits et consentement :
Génération par IA ou modifications substantielles :
Mention lisible par une personne :
Content Credential créé et validé :
Destinations publiées :
Original faisant autorité :
Date de conservation :
Responsable correction / retrait :
Cet enregistrement est précieux même si vos outils actuels ne prennent pas en charge C2PA. La provenance commence par un processus de publication rigoureux.
Ce que la provenance ne peut pas trancher
Il n’existe pas de badge universel garantissant qu’un contenu est « réel ». Les normes et la prise en charge par les plateformes évoluent encore. Les Content Credentials peuvent être retirés, les listes de confiance peuvent différer, les signataires peuvent faire de fausses déclarations et un média authentique peut arriver sans provenance.
Utilisez Content Credentials pour rendre l’origine de vos propres médias plus traçable et pour obtenir davantage de contexte sur ceux que vous recevez. Employez des mentions claires pour informer les personnes. Soumettez les affirmations à fort enjeu à une vérification indépendante.
La provenance peut raconter une histoire plus solide sur l’origine. Elle ne peut pas transformer l’origine en vérité.
