ETSI publie une norme anti-deepfake : ce que la spécification TS 104 275 change pour l’IA en Europe

Un deepfake convaincant peut aujourd’hui circuler plus vite qu’un démenti. Une fausse vidéo, une voix clonée ou une image truquée peut tromper un client, nuire à une personne ou servir une arnaque, alors même que le logiciel utilisé était parfaitement légal. C’est précisément ce décalage que vise la nouvelle spécification publiée par l’Institut européen des normes de télécommunications, l’ETSI. Publiée le 29 octobre 2026 sous la référence TS 104 275, elle propose pour la première fois un cadre vérifiable pour réduire le risque que des systèmes d’intelligence artificielle générative produisent des deepfakes nuisibles.

Ce que contient la spécification TS 104 275

La spécification a été élaborée par le comité technique de l’ETSI chargé de la sécurisation de l’intelligence artificielle, connu sous le nom de TC SAI. Son titre complet parle d’appliquer à l’IA générative les exigences de base en cybersécurité définies pour les modèles et les systèmes d’IA, dans le but de prévenir les préjudices liés aux deepfakes. Autrement dit, elle ne se contente pas de dire qu’il faut faire attention. Elle décrit des mesures concrètes, organisées sur tout le cycle de vie d’un système, depuis sa conception jusqu’à sa maintenance, en passant par son développement et son déploiement.

Selon l’ETSI, les mesures portent notamment sur l’identification des risques de mésusage avant la mise sur le marché, la revue humaine, le filtrage des contenus, l’étiquetage des contenus générés par IA et les avertissements destinés aux utilisateurs. Le texte prévoit aussi une veille sur les menaces, l’analyse des incidents et la conservation d’une documentation permettant de montrer ce qui a été fait.

Pourquoi détecter après coup ne suffit plus

Jusqu’à présent, une grande partie de la lutte contre les deepfakes reposait sur la détection après la création du contenu. Un outil analyse une vidéo suspecte, cherche des incohérences et rend un verdict. Cette approche reste utile, mais elle arrive tard. Une fois qu’un contenu trompeur a été partagé des milliers de fois, le mal est souvent fait, même si une correction suit ensuite. L’ETSI défend donc une approche préventive : traiter la prévention des deepfakes comme un enjeu de sécurité et de gouvernance, à prendre en compte dès la conception du système.

Le rapporteur et secrétaire du comité TC SAI, Alex Cadzow, a résumé l’enjeu en rappelant que des contenus trompeurs, illégaux ou préjudiciables peuvent être créés à partir de logiciels légaux et disponibles dans le commerce. La question n’est donc pas seulement de savoir si un outil est illicite en soi. Elle est de savoir si celui qui le conçoit et celui qui l’exploite ont mis en place des protections raisonnables pour limiter les détournements. Cette nuance change le regard porté sur la responsabilité : elle passe d’une réaction après incident à une démarche continue de réduction des risques.

Des critères de test pour sortir des simples engagements

L’un des points les plus commentés de la spécification tient à ses scénarios de test et à ses critères de réussite ou d’échec. L’ETSI affirme que ces critères permettent de vérifier si une réduction des risques a réellement eu lieu, plutôt que de s’appuyer uniquement sur des engagements en faveur d’une IA responsable. Concrètement, une organisation peut tester son système face à des cas définis, observer si les garde-fous fonctionnent, puis corriger ce qui échoue.

Cette logique de test s’appuie sur la norme de base EN 304 223 de l’ETSI, qui fixe des exigences de cybersécurité pour les modèles et les systèmes d’IA. La nouvelle spécification organise aussi les exigences autour de cinq étapes : la conception sécurisée, le développement, le déploiement, la maintenance et la fin de vie.

Ce que cela change pour les entreprises en France

La spécification TS 104 275 est une spécification technique volontaire : à ce stade, aucune loi ne l’impose directement en tant que telle. Il serait donc faux de la présenter comme une obligation immédiate pour toutes les entreprises françaises. En revanche, elle s’inscrit dans le cadre du règlement européen sur l’intelligence artificielle, l’AI Act, qui impose des obligations de transparence pour les contenus synthétiques et des exigences de robustesse pour certains systèmes. Pour une entreprise qui commercialise un système d’IA générative en Europe, se référer à cette spécification peut devenir un moyen concret de démontrer sa démarche de conformité face à une autorité de contrôle, à un client ou à un partenaire.

Pour une petite équipe, le message pratique est assez clair : documenter les risques, les choix de filtrage et d’étiquetage, les cas testés et les incidents traités, plutôt que de compter sur une déclaration générale de prudence. Pour une grande organisation, la spécification offre un langage commun entre les équipes produit, sécurité et juridique, et permet de poser des questions précises à un fournisseur sur les tests passés et les protections à améliorer.

Les limites à garder en tête

Aucune norme ne supprime le risque de deepfake. Un système bien conçu peut toujours être détourné, et les outils de détection comme les techniques de contournement évoluent en permanence. Une organisation qui adopte la norme une fois, puis ne la revisite plus, perdra vite le bénéfice de sa démarche.

Il faut aussi distinguer la prévention technique de la vigilance humaine. Un étiquetage clair aide, mais il ne remplace pas l’esprit critique face à un message urgent ou une vidéo spectaculaire partagée hors contexte. La norme vise les développeurs et les opérateurs de systèmes d’IA, pas le grand public. Son effet pour les lecteurs sera indirect : des outils mieux encadrés et des contenus mieux signalés.

Frequently Asked Questions

La norme ETSI TS 104 275 est-elle obligatoire en France ?

Non, pas directement. Il s’agit d’une spécification technique volontaire publiée par l’ETSI. Elle peut en revanche aider une organisation à démontrer sa conformité avec les objectifs du règlement européen sur l’IA, notamment en matière de transparence et de robustesse des systèmes génératifs.

En quoi cette norme diffère-t-elle d’un simple outil de détection de deepfakes ?

Un outil de détection intervient après la création d’un contenu suspect. La spécification TS 104 275 vise à agir plus tôt : identifier les risques dès la conception, mettre en place des filtres, un étiquetage et une revue humaine, puis tester ces protections avec des critères de réussite ou d’échec.

Que doivent retenir les entreprises qui utilisent l’IA générative ?

Elles doivent documenter leurs risques, leurs garde-fous et leurs tests, plutôt que de se contenter d’un engagement général. Pour les lecteurs, le réflexe reste le même : vérifier la source, se méfier des messages urgents et ne pas relayer une vidéo spectaculaire sans preuve.