Quand l'intelligence artificielle permet d'usurper une identité

Le Gouvernement prend au sérieux les enjeux de l'intelligence artificielle générative et entend en soutenir le développement par des laboratoires et entreprises françaises ainsi qu'une adoption utile et maîtrisée par les citoyens, entreprises, collectivités et administrations publiques. La question posée soulève deux points : l'encadrement des productions de l'intelligence artificielle générative et l'usurpation d'identité. S'agissant du premier point, au niveau européen, le règlement européen 2024/1689 sur l'intelligence artificielle crée des obligations de transparence qui s'imposent depuis le 2 août dernier (à l'exception des systèmes d'IA déjà mis sur le marché pour l'article 50, paragraphe 2). En particulier, les fournisseurs de systèmes d'IA qui génèrent des contenus par IA, notamment du texte, doivent les marquer d'une façon imperceptible pour l'utilisateur, mais détectable par la machine (article 50, paragraphe 2). Si la personne à l'origine du livre dont il est question a utilisé un tel outil d'IA générative, le détecteur approprié relèvera le marquage, ce qui dévoilera immédiatement son origine. Le non-respect de cette obligation pourra être sanctionné par la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) et l'Autorité de régulation de la communication audiovisuelle et numérique (ARCOM), qui sont les deux autorités désignées compétentes (sous réserve de l'adoption des dispositions législatives en cours d'examen au Parlement). Conformément à l'article 99 du règlement, le non-respect de cette obligation peut être sanctionné « [...] d'une amende administrative pouvant aller jusqu'à 15 000 000 EUR ou, si l'auteur de l'infraction est une entreprise, jusqu'à 3 % de son chiffre d'affaires annuel mondial total réalisé au cours de l'exercice précédent, le montant le plus élevé étant retenu [...] ». Par ailleurs, les organismes de recherche français poursuivent des travaux qui visent à renforcer la fiabilité des logiciels qui détectent les contenus générés par IA, même s'il est tiré d'un système d'IA qui n'a pas respecté son obligation de marquage. Ce sont par exemple les travaux du Groupe de Travail « Détection de Contenus Générés » du groupement de recherche « Sécurité informatique » du CNRS, ou les travaux de l'équipe de recherche ARTISAU d'Inria Rennes/Irisa. Le PEReN a également collaboré avec la CNIL à une étude sur les bonnes pratiques d'inspection visuelle permettant à un humain de détecter une usurpation d'identité par IA générative, notamment lors d'échanges vidéo. Les expériences menées, validées sur le plan statistique ont démontré que certains réflexes améliorent significativement le taux de détection. Les conclusions de ces travaux seront prochainement publiées sous forme d'articles de blog par le PEReN et la CNIL. Le droit applicable sanctionne toute pratique commerciale trompeuse, qu'elle implique ou non une IA générative. Dès lors, la promotion d'un bien ou d'un service produit à l'aide d'une IA générative sans qu'il ne soit fait mention de ces interventions dans le cadre de la commercialisation de ce produit peut relever de la réglementation sur les pratiques commerciales déloyales, et particulièrement les pratiques commerciales trompeuses par action, notamment sur l'identité du professionnel (art. L121-2 2° f) du code de la consommation), le procédé de la vente (art. L121-2 2° e) ) ou les caractéristiques essentielles du produit (art. L121-2 2° b) ), voire les pratiques commerciales trompeuses par omission d'une information substantielle pour la décision d'achat du consommateur (article L. 121-3 du code de la consommation). Les sanctions pénales des pratiques commerciales trompeuses peuvent être accrues lorsqu'elles sont commises en ligne (article L. 132-2) : « Le montant de l'amende peut être porté, de manière proportionnée aux avantages tirés du délit, à 10 % du chiffre d'affaires moyen annuel, calculé sur les trois derniers chiffres d'affaires annuels connus à la date des faits, ou à 50 % des dépenses engagées pour la réalisation de la publicité ou de la pratique constituant ce délit. […] Lorsque l'infraction a été commise par l'utilisation d'un service de communication au public en ligne ou par le biais d'un support numérique ou électronique, les peines sont portées à cinq ans d'emprisonnement et à 750 000 euros d'amende. » S'agissant du second point, l'intelligence artificielle générative ne semble pas être ici la cause de l'usurpation d'identité, mais plutôt un instrument. Qu'une identité soit usurpée à la plume, au photomontage ou par un modèle d'IA générative, la qualification pénale reste identique. Dès lors, le droit existant s'applique pleinement, notamment l'article 226-4-1 du Code pénal qui réprime l'usurpation d'identité d'une année d'emprisonnement et 15 000 euros d'amende. Qu'il s'agisse de protéger l'image, la voix ou les données personnelles, les récentes évolutions règlementaires offrent des leviers solides pour sanctionner ces dérives et bâtir, progressivement, des technologies de confiance.