Introduction.
La montée en puissance des deepfakes, ou hypertrucages, marque une nouvelle ère dans les rapports entre image, vérité et responsabilité. Définis par le rapport de l’Assemblée nationale n° 2207 comme « la création de fausses images ou vidéos, souvent à partir de la fusion d’images existantes, et visant à tromper celui qui les regarde en les faisant passer pour vraies », les deepfakes symbolisent l’une des manifestations les plus spectaculaires de l’intelligence artificielle.
Utilisés initialement pour le divertissement et la publicité, ils sont rapidement devenus des instruments de nuisance : atteintes à la réputation, fraudes, chantages, manipulations politiques ou électorales. L’exemple désormais classique du deepfake de Brad Pitt, utilisé pour une escroquerie à plus de 800 000 €, ou celui d’un enregistrement truqué ayant influencé l’élection slovaque de 2023 [1], montre que l’hypertrucage n’est plus seulement une curiosité technique, mais un phénomène à potentiel déstabilisateur global.
Face à cette menace, les États multiplient les réponses. La Chine impose depuis 2022 le filigranage obligatoire des contenus générés par IA, tandis que la Californie et le Texas ont légiféré pour interdire la diffusion de deepfakes trompeurs en période électorale [2]. Au niveau européen, le Règlement (UE) 2024/1689 sur l’intelligence artificielle (RIA) classe les deepfakes parmi les « IA à risque limité » et impose des obligations de transparence (art. 50).
En France, avant 2024, le droit pénal apparaissait désarmé : les qualifications existantes (montage, usurpation d’identité, atteinte à la vie privée) ne couvraient pas les contenus entièrement synthétiques. La loi n°2024-449 du 21 mai 2024 visant à à sécuriser et à réguler l’espace numérique, dite loi LSREN, est venue combler cette lacune en modifiant l’article 226-8 du Code pénal et en créant un article 226-8-1 dédié aux hypertrucages à caractère sexuel.
Mais cette réforme, bien que novatrice, résout-elle effectivement la question de l’incrimination pénale des deepfakes ? La réponse est nuancée. Si elle marque un progrès certain, elle laisse subsister des zones d’ombre d’interprétation et des lacunes techniques qui en limitent la portée.
L’analyse conduira à montrer, d’abord, l’inadaptation initiale du droit pénal français face à l’hypertrucage (I), avant d’examiner l’encadrement post-LSREN, entre spécificité et incertitudes (II).
I. L’inadaptation initiale du droit pénal français face à l’hypertrucage.
Avant 2024, la répression des deepfakes reposait sur des textes conçus pour une époque où l’image et la voix demeuraient attachées à une matérialité tangible. Or, la spécificité du contenu généré par IA – synthétique, sans support original et d’un réalisme extrême – rendait inopérants ces fondements.
A. L’échec des qualifications classiques.
1. Le délit de montage (art. 226-8 C. pén.).
L’article 226-8 du Code pénal, avant sa réforme, réprimait la diffusion d’un « montage » réalisé à partir de l’image ou des paroles d’une personne, sans son consentement, s’il n’apparaissait pas à l’évidence qu’il s’agissait d’un montage. Cette infraction, issue de la loi du 17 juillet 1970, visait à protéger l’intégrité de la représentation individuelle face à la manipulation photographique.
La jurisprudence a toujours interprété strictement la notion de montage. Dans un arrêt du 30 mars 2016 [3], la Cour de cassation a exigé qu’existe une image d’origine transformée par juxtaposition ou altération. En l’absence de support réel, le délit n’était pas constitué.
Le deepfake, généré ex nihilo par algorithme, échappait donc à la qualification : il ne s’agit ni d’une retouche d’image existante, ni d’une falsification d’un support matériel, mais d’une création artificielle autonome [4]. Le texte apparaissait ainsi daté, incapable d’intégrer les nouvelles logiques d’auto-apprentissage des modèles génératifs.
2. L’usurpation d’identité (art. 226-4-1 C. pén.).
Introduite par la loi du 14 mars 2011, cette infraction punit « le fait d’usurper l’identité d’un tiers en vue de troubler sa tranquillité ou de porter atteinte à son honneur ».
Si un deepfake imitant la voix ou le visage d’autrui pouvait sembler relever de cette disposition, deux obstacles majeurs s’opposaient à son application :
- l’exigence d’un but spécifique de nuisance ;
- la difficulté de prouver cette intention dans un contexte souvent humoristique ou expérimental.
Les décisions des juridictions de première instance [5] rappellent la nécessité d’un élément moral démontré. Or, dans la majorité des cas, l’auteur d’un deepfake se contente de diffuser un contenu viral sans volonté de porter atteinte.
Comme le souligne C. Lombard [6], la frontière entre la parodie technologique et l’usurpation pénalement répréhensible reste floue : le deepfake déconstruit la notion d’identité personnelle sur laquelle repose la typicité de l’infraction.
3. Autres incriminations inadaptées.
Les articles 226-1 et 226-2 C. pén. (atteintes à l’intimité de la vie privée) supposent une captation d’image ou de parole « prise » sans autorisation ; or, un contenu synthétique n’est pas capté, mais généré. De même, la diffamation (art. 29 Loi du 29 juillet 1881) exige l’imputation d’un fait précis, non la simple création d’un faux visuel.
Ainsi, faute de base textuelle adaptée, le droit pénal demeurait impuissant à saisir la manipulation algorithmique de l’image : les deepfakes se situaient dans une « zone grise » entre fausse information, atteinte à la vie privée et fraude technologique.
B. La faiblesse face aux atteintes à caractère sexuel.
L’impuissance du droit se manifestait avec encore plus d’acuité dans la sphère des atteintes sexuelles.
L’article 226-2-1 C. pén., créé par la loi du 7 octobre 2016, incrimine le revenge porn : la diffusion d’un enregistrement à caractère sexuel réalisé avec le consentement de la victime, mais publié sans autorisation. Cette infraction repose sur la réalité de l’image : elle suppose un enregistrement « réel ». Or, dans le cas d’un deepfake pornographique, l’image est entièrement fabriquée. Le visage d’une personne est plaqué sur le corps d’une autre ; il n’existe aucun enregistrement initial. La qualification échouait donc : la victime ne pouvait invoquer ni le revenge porn, ni l’atteinte à la vie privée (faute de captation).
Cette faille fut soulignée dès 2019 (A. Palanco, RD publ., 2019, 637) et à nouveau par la CNCDH dans son avis de janvier 2025 : « Les images à caractère sexuel synthétiques, bien qu’irréelles, produisent des effets réels sur la dignité et la réputation ; elles doivent être réprimées au même titre que les enregistrements véritables ».
Avant 2024, la protection des victimes de deepfake sexuel relevait donc d’un vide pénal manifeste. La LSREN est venue y remédier.
II. L’encadrement post-LSREN : entre spécificité et zones d’ombre pénale.
La loi n° 2024-449 du 21 mai 2024 a profondément rénové l’approche française de la répression des hypertrucages. En introduisant une double incrimination – générale (art. 226-8) et spéciale (art. 226-8-1) –, elle consacre juridiquement la notion de contenu généré par traitement algorithmique.
Mais si cette évolution marque un tournant, elle n’est pas exempte d’ambiguïtés : la LSREN conjugue des avancées notables (A) à des incertitudes techniques et interprétatives (B).
A. La spécificité du nouveau dispositif (Loi du 21 mai 2024).
1. Une incrimination autonome de l’hypertrucage.
L’article 15 LSREN modifie l’article 226-8 C. pénal : est désormais puni « le fait de porter à la connaissance du public ou d’un tiers, par quelque voie que ce soit, un contenu visuel ou sonore généré par un traitement algorithmique et représentant l’image ou les paroles d’une personne sans son consentement, s’il n’apparaît pas à l’évidence qu’il s’agit d’un contenu généré ou s’il n’en est pas expressément fait mention ».
Deux conditions de typicité structurent donc l’infraction :
- absence de consentement de la personne représentée ;
- défaut d’identification claire du caractère artificiel du contenu.
Le texte assimile ainsi les deepfakes aux montages trompeurs. Les peines sont portées à deux ans d’emprisonnement et 45 000 € d’amende lorsqu’ils sont diffusés via un service de communication au public en ligne.
L’article 226-8-1 C. pénal crée, en parallèle, un délit spécifique pour les deepfakes à caractère sexuel, punis jusqu’à trois ans d’emprisonnement et 75 000 € d’amende en cas de diffusion en ligne.
Cette différenciation répond à la gravité particulière de la pornographie synthétique non consentie, dont l’impact sur la dignité et la santé psychique est souvent irréversible.
2. Complémentarité avec le cadre européen.
La LSREN transpose partiellement les exigences du Règlement (UE) 2024/1689 sur l’IA (RIA), qui impose aux fournisseurs de systèmes d’IA génératifs des obligations de transparence (art. 50 § 4 et 5) : tout contenu généré ou manipulé doit être signalé comme tel, de manière claire et reconnaissable.
Le non-respect de cette exigence expose à des sanctions administratives pouvant atteindre 15 millions € ou 3% du chiffre d’affaires mondial (art. 71 RIA). Ainsi, le droit pénal français s’articule avec le droit de l’Union : la sanction pénale réprime la diffusion trompeuse, tandis que la sanction administrative vise le manquement au devoir d’information.
L’ensemble crée un dispositif mixte, combinant prévention (via la transparence) et répression (via la pénalisation de la diffusion frauduleuse).
3. Le rôle renforcé de l’ARCOM.
La LSREN confère à l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM) un rôle pivot dans la lutte contre la désinformation numérique.
Désignée « coordinateur des services numériques » pour l’application du Digital Services Act (DSA, Règl. UE 2022/2065), elle dispose désormais de pouvoirs élargis :
-* injonctions de retrait en 72 heures ;
-* sanctions jusqu’à 4% du CA mondial (art. 14 LSREN) ;
-* publication de bilans périodiques sur la modération des plateformes (art. 58 loi 1986 modifiée).
Comme le relève P. Mouron (AJDA, 2025, p. 642), « l’ARCOM devient le bras armé de la régulation préventive des deepfakes ». Elle peut également coordonner ses actions avec la CNIL, l’Arcep, l’ANSSI et l’Autorité de la concurrence au sein du « réseau national de coordination de la régulation des services numériques » (art. 51 LSREN).
La LSREN articule la responsabilité des auteurs, hébergeurs et plateformes.
Conformément à la LCEN (art. 6 et 8-1), les hébergeurs doivent mettre en place un dispositif accessible de signalement des contenus illicites, y compris ceux « issus de traitements algorithmiques ». En cas de manquement, ils encourent jusqu’à 300 000 € d’amende ou 4% du CA mondial, voire le blocage du site (art. 10-1 LCEN).
Ce régime, validé par le Conseil constitutionnel [7], institue une véritable police administrative numérique, complémentaire de la répression pénale.
B. Les défis d’interprétation du juge pénal.
1. La délimitation incertaine entre satire et manipulation.
L’exclusion des contenus manifestement artistiques, créatifs ou satiriques » soulève des difficultés. La jurisprudence européenne protège la satire (CEDH, Vereinigung Bildender Künstler c. Autriche, 25 janv. 2007) comme composante de la liberté d’expression (art. 10 CEDH). Le juge pénal devra apprécier le caractère « manifestement » fictif du contenu sans restreindre indûment la création.
Or, dans l’univers numérique, la distinction entre parodie et falsification est ténue : un deepfake humoristique peut être perçu comme véridique par certains publics. Cette appréciation subjective crée un risque d’arbitraire et d’insécurité juridique, source potentielle de contentieux constitutionnels (DDHC, art. 11).
2. La difficulté probatoire du « caractère non évident ».
L’article 226-8 suppose que le caractère truqué ne soit pas évident. Mais comment apprécier cette évidence ? Par un test visuel, un jugement d’expert, une norme technique ? Les tribunaux devront s’appuyer sur des expertises numériques pour établir la vraisemblance du contenu.
Comment les tribunaux établiront-ils qu’un hypertrucage n’apparaît pas à l’évidence comme généré par IA ? Cela nécessitera des expertises lourdes pour prouver la dissimulation ou l’irréprochabilité technique de l’IA générative. La preuve pénale doit être établie par l’accusation, et le juge devra s’appuyer sur des éléments techniques pour évaluer le seuil de « l’évidence » (caractère indiscernable du vrai pour une personne lambda), ce qui est un défi de taille au regard des progrès constants de la technologie. Il en résulte une possible ineffectivité pratique de la sanction.
3. La question du cumul d’infractions.
Les deepfakes peuvent constituer un moyen d’autres délits :
- escroquerie (art. 313-1 C. pén.) lorsqu’ils servent à tromper une victime ;
- chantage (art. 312-10) lorsqu’ils menacent de diffusion ;
- diffamation (L1881, art. 29) lorsqu’ils attribuent des propos inexacts.
L’article 226-8 C. pén. réprime l’atteinte à la représentation de la personne. Cependant, si le deepfake est utilisé pour extorquer de l’argent, l’infraction de chantage (Art. 312-10 C. pén.) ou d’escroquerie (Art. 313-1 C. pén.) est souvent plus gravement sanctionnée. Le juge devra déterminer s’il y a cumul d’infractions (poursuivre pour les deux) ou si la qualification unique privilégiée est l’infraction la plus grave (par exemple, le chantage absorberait l’atteinte à l’image, car il est le but final et réprimé plus sévèrement). En cas de deepfake porn, la sanction du chantage est d’ailleurs aggravée lorsque le fait est commis en ligne au moyen d’images ou de vidéos à caractère sexuel. La doctrine penche pour un cumul possible lorsque les éléments matériels et moraux diffèrent [8].
4. La production non diffusée : une zone grise persistante.
Le texte ne réprime que la diffusion ou la « mise à la connaissance » du public. La création d’un deepfake non diffusé, même à caractère sexuel, échappe à l’incrimination. Cette limite a été dénoncée par la CNCDH [9] : « la production d’un contenu artificiel portant atteinte à la dignité devrait, à elle seule, constituer une infraction ».
Conclusion.
La Loi SREN marque une étape décisive pour criminaliser la création de deepfakes, en adaptant l’article 226-8 du Code pénal pour cibler spécifiquement les hypertrucages. Elle vient combler les lacunes laissées par l’inadaptation des qualifications classiques. Cependant, son efficacité dépendra de l’interprétation rapide et fine des critères souples et techniques qu’elle introduit comme pour l’exemple de la production non diffusée, restant une zone grise persistante puisque le texte ne réprime que la diffusion ou la « mise à la connaissance » du public. La création d’un deepfake non diffusé, même à caractère sexuel, échappe à l’incrimination. Cette limite a été dénoncée par la CNCDH (Avis 2025, p. 6) : « la production d’un contenu artificiel portant atteinte à la dignité devrait, à elle seule, constituer une infraction ».
L’approche française reste principalement répressive, complétée par un socle préventif institutionnel (ARCOM) et européen (AI Act). Face à des crimes transnationaux qui menacent le processus démocratique (comme l’ingérence russe présumée dans l’élection slovaque ), la seule législation nationale ne saurait suffire. La véritable nécessité réside dans une coopération internationale renforcée pour traiter ces crimes transnationaux.
L’utilisation de l’intelligence artificielle est présente pour la rédaction de cet article.
