En février 2024, à Hong Kong, un employé du groupe d'ingénierie britannique Arup a viré 25 millions de dollars à des escrocs après une visioconférence où il a vu son directeur financier et plusieurs collègues. Tous étaient des deepfakes. Aucun humain réel n'était à l'écran, sauf lui. Cette histoire n'est plus une exception — c'est le nouveau bruit de fond de la cellule de crise. Voici ce qui change vraiment, et les sept réflexes à intégrer dès maintenant.
1. Le déclic : 25 millions de dollars en visioconférence
Quand l'affaire Arup a fuité en presse en février 2024, deux phrases ont retenu mon attention dans le rapport d'enquête de la police de Hong Kong. La première : « Le collaborateur a reconnu son CFO et plusieurs collègues ». La seconde : « La fraude n'a été identifiée qu'au retour au siège, à Londres, plusieurs jours après le virement ». Ce qui frappe n'est pas la sophistication technique du deepfake — déjà accessible à tout adolescent motivé en 2024. C'est l'effondrement d'un repère que nous tenions tous pour acquis depuis trente ans : voir et entendre une personne en visio = c'est elle.
Cinq mois plus tard, en mai 2024, c'est Mark Read, le PDG de WPP — le plus grand groupe de communication au monde — qui révèle publiquement avoir été ciblé par une tentative similaire. Voix clonée sur WhatsApp, fausse réunion Teams, deepfake vidéo, demande d'ouverture d'une nouvelle filiale et d'un compte bancaire. La tentative a échoué grâce à un collaborateur expérimenté qui a senti que « quelque chose clochait ». Mais l'événement a été pris suffisamment au sérieux pour que Read l'évoque dans un mémo interne diffusé à tout le groupe.
En quelques mois, la fraude au président dopée à l'IA est passée du fait divers exotique au scénario que je dois désormais intégrer dans chaque exercice de crise que je conduis pour des dirigeants ou des élus. Et le rythme s'accélère : l'ANSSI, dans son Panorama de la cybermenace 2024, signale une hausse marquée des attaques par ingénierie sociale dopées à l'IA sur les organisations françaises et appelle explicitement à intégrer ce vecteur dans les exercices de cellule.
À retenir
Le repère sensoriel « je vois, j'entends, je reconnais » n'est plus une preuve d'identité. Il est devenu, en cellule de crise, une présomption qui doit être confirmée par un autre canal. Cette inversion — le réel devient présomption, pas preuve — est le vrai séisme que l'IA générative impose à la gestion de crise.
2. Ce qui change réellement dans la cellule
Quand j'anime une cellule de crise, j'observe trois ruptures que l'IA générative a introduites en moins de 24 mois. Aucune n'est mineure.
La vitesse de propagation est multipliée par dix
En 2018, une rumeur grand public mettait 6 à 12 heures à devenir un sujet de sphère médiatique. Sur les cas que j'ai analysés post-crise depuis 2023, ce délai est tombé à un ordre de grandeur de 30 à 90 minutes entre la première publication d'un contenu généré ou amplifié par IA et sa reprise médiatique nationale. Cette compression du temps fait éclater le calendrier classique de la cellule « activation à H+30, premier point à H+60, premier communiqué à H+120 ». Aujourd'hui, à H+120, vous n'êtes pas en train d'écrire votre premier communiqué : vous êtes en train de démentir le troisième fake.
La question « qui parle vraiment ? » devient permanente
Avant l'IA générative, la cellule traitait deux flux d'information : le flux terrain (sapeurs-pompiers, agents, opérateurs) et le flux presse / réseaux. Les deux flux pouvaient être incomplets ou tronqués, mais leur source était identifiable. En 2026, un troisième flux s'est ajouté : le flux synthétique — voix, vidéos, faux comptes, faux articles, faux SMS — qui imite à la perfection les deux premiers et que la cellule doit désormais filtrer avant traitement. Ce filtre coûte du temps, des ressources et de l'attention. Surtout, il introduit une fatigue cognitive que je n'avais jamais vue auparavant en cellule : douter de tout, y compris des sources internes.
Le langage commun se fragilise
La cellule de crise repose sur un langage commun — vocabulaire opérationnel, codes radio, formats de message, niveaux d'alerte. L'IA générative permet désormais de produire des messages en parfait français interne, en parfaite langue de bois préfectorale, en parfait jargon hospitalier. Le langage de l'organisation devient lui-même un vecteur d'attaque. Un faux SITREP qui imite à la virgule près le style de votre directeur de la sécurité civile ? C'est désormais générable en moins de 2 minutes. C'est exactement le mécanisme que je décris dans notre analyse des biais cognitifs en cellule de crise : l'effet de halo du « cela ressemble à du nôtre » court-circuite l'esprit critique.
| Dimension | Cellule « avant IA » (2018) | Cellule en 2026 |
|---|---|---|
| Temps avant viralisation | 6 à 12 heures | 30 à 90 minutes |
| Sources à filtrer | Terrain + presse | Terrain + presse + flux synthétique |
| Authentification orateur | Reconnaissance vocale humaine | Code-mot + callback + quatre yeux |
| Coût d'un faux communiqué | 1 journée d'un faussaire compétent | 3 minutes et 0,20 € d'API |
| Charge cognitive cellule | Décider sous incertitude | Décider sous incertitude et sous suspicion |
3. Trois nouvelles menaces qui n'existaient pas il y a 24 mois
Le deepfake voix-vidéo du dirigeant
Trois minutes d'enregistrement public suffisent. Une interview radio, un podcast, une allocution YouTube — et un attaquant peut en moins de 60 secondes générer un clone vocal exploitable, à coupler avec une vidéo générée à partir de photos de votre LinkedIn. Les outils grand public (ElevenLabs, Resemble.AI, HeyGen, Synthesia détourné) ont franchi en 2024 le seuil de la plausibilité prolongée : ils tiennent une conversation entière sans faille audible. La cible privilégiée n'est plus le PDG du CAC 40 — trop entouré, trop sécurisé — mais le maire de la ville moyenne, le DG d'ETI, le directeur d'hôpital, le dirigeant d'association. Profil exposé publiquement, entourage moins blindé, virements possibles à 6 chiffres : équation gagnante pour l'attaquant.
Le BEC dopé à l'IA
Le Business Email Compromise ou fraude au président existe depuis vingt ans. Mais en 2024-2026, l'IA générative en a transformé la qualité industrielle. Plus de fautes de français, plus de tournures bizarres, plus d'incohérences temporelles ni d'horaires impossibles. Un mail BEC en 2026, c'est : votre style à vous (parce que l'attaquant a entraîné le LLM sur 200 de vos mails publics), votre jargon métier (parce qu'il a scrappé votre site et vos communiqués), votre actualité interne (parce qu'il a lu votre dernière interview). Ajoutez une voix clonée pour un appel de confirmation, et la barrière du « je rappelle pour vérifier » tombe — c'est exactement ce qu'a vécu Arup.
La désinformation orchestrée par bot farms
Troisième menace, la moins visible mais la plus structurelle : les fermes de bots dopées à l'IA générative qui produisent en quelques heures plusieurs centaines de comptes synthétiques, chacun avec son historique, ses photos, ses opinions, son style propre. Capacité industrielle, déploiement coordonné. C'est ce que documente l'agence française VIGINUM dans ses rapports successifs sur l'opération Doppelganger / RRN (active depuis 2022, réactivée en 2024) : faux sites imitant des médias français, faux comptes coordonnés, amplification synchronisée de récits ciblés. Le mécanisme est désormais à la portée de campagnes privées de moindre échelle. Pour une cellule, ce n'est plus un sujet d'image, c'est un sujet de communication de crise qui se règle dans la première heure ou ne se règle plus.
« Dans 74 % des incidents de sécurité analysés en 2024, c'est l'humain qui est ciblé, pas la machine. L'IA générative ne crée pas une nouvelle menace : elle industrialise et personnalise une menace ancienne — la manipulation. »
— Verizon, Data Breach Investigations Report 2024, p. 47.
4. Trois usages défensifs : l'IA comme alliée de la cellule
Le récit serait incomplet si l'on s'arrêtait au catalogue des menaces. L'IA générative est aussi, et de plus en plus, un outil de cellule. Trois usages se généralisent dans les cellules que j'accompagne, à condition d'être bornés par des règles strictes.
Veille temps réel et détection des signaux faibles
Les outils de social listening dopés à l'IA (Talkwalker, Visibrain, Logically, Newsguard) repèrent en quelques minutes des pics anormaux de mentions, des coordinations inauthentiques, des sentiments en bascule. Pour une cellule, cela transforme la phase de détection des signaux faibles : là où il fallait un humain veillant 24/24 sur 12 sources pour repérer un pic, un système alerté tient maintenant la veille — et l'humain qualifie. Règle d'usage : l'IA détecte, l'humain qualifie. Jamais l'inverse.
Synthèse automatique du SITREP
Le rituel SITREP — Situation Report, point de situation à intervalle régulier — est l'une des charges les plus lourdes de la cellule. Compiler 8 contributions hétérogènes en 20 minutes pour un point à H+60, c'est éprouvant. Les LLM (Claude, ChatGPT, Mistral, déployés en interne sur Azure ou AWS Bedrock pour préserver la confidentialité) produisent en quelques minutes une trame de SITREP à partir des messages bruts. Gain observé sur les exercices que je conduis : un temps de rédaction sensiblement réduit, qui rend au secrétariat de cellule du temps pour relecture, recoupement et délibération — c'est-à-dire le travail à plus forte valeur. Règle d'usage : la trame produite par IA est relue mot à mot par le secrétaire de cellule avant diffusion. Les hallucinations existent, surtout sur les chiffres et les noms propres.
Simulation de scénarios pour l'exercice de crise
L'IA générative permet désormais de produire en quelques heures un scénario d'exercice riche, cohérent, avec injects synthétiques — y compris des deepfakes d'entraînement pour préparer la cellule à l'effet de surprise. Sur les exercices que je conduis depuis 2025, l'inject « voici un faux communiqué qui circule » avec un visuel généré spécifiquement pour la formation transforme l'apprentissage. Les participants sortent de l'exercice avec un réflexe que le PowerPoint ne donne jamais : j'ai vu un fake de mes propres yeux, je sais que je peux être trompé.
5. Le porte-parole à l'épreuve du deepfake
Le rôle de porte-parole — souvent le directeur de la communication, parfois le dirigeant lui-même — est celui qui change le plus. En 2026, le porte-parole n'est plus seulement celui qui parle : c'est celui qui doit pouvoir prouver qu'il parle. Trois pratiques émergent.
D'abord, la pré-empreinte vocale et vidéo : avant la crise, on enregistre dans des conditions contrôlées un échantillon de référence du porte-parole (5 à 10 minutes), signé cryptographiquement et conservé hors-ligne. En cas de doute sur un contenu en circulation, l'analyse forensique compare. Plusieurs grandes entreprises françaises l'ont mis en place en 2025 pour leur dirigeant exécutif.
Ensuite, le watermarking C2PA à l'enregistrement. Le standard Coalition for Content Provenance and Authenticity, porté par Adobe, Microsoft, Sony, BBC, France Télévisions et l'AFP, permet de signer cryptographiquement à la source toute interview, vidéo ou photo officielle. Les outils restent partiels (peu de plateformes préservent la signature au partage), mais le signal s'installe. La AFP a annoncé en 2024 le déploiement progressif de C2PA sur l'ensemble de ses photos d'agence.
Enfin, le rituel de proof-of-life en cas de prise de parole tendue. Le porte-parole intègre dans son intervention un élément de contexte non-anticipable par un attaquant : un détail météo du jour, un événement de l'heure précédente, un nom de personne présente confirmé en ouverture. C'est suffisant pour qu'une analyse a posteriori distingue l'authentique du deepfake généré quelques heures plus tôt.
Garde-fou
Aucun de ces trois dispositifs n'est efficace si la cellule n'a pas, en parallèle, défini avec le porte-parole un code-mot opérationnel connu de lui seul et du cercle restreint de la cellule. Le code-mot est la dernière ligne de défense quand tout le reste a été compromis.
6. Le cadre juridique 2026 : ce que le DSA et l'AI Act imposent
Quatre textes structurent désormais l'environnement juridique de la cellule de crise face à l'IA et à la désinformation. Les ignorer, c'est s'exposer à une crise dans la crise.
- Le règlement européen 2024/1689 (AI Act), entré en vigueur le 1ᵉʳ août 2024 et applicable progressivement jusqu'au 2 août 2027. Article 50 obligatoire dès août 2026 : tout contenu généré par IA diffusé publiquement doit être étiqueté comme tel — y compris les visuels, voix, vidéos utilisés en gestion de crise. Sanction maximale : 35 M€ ou 7 % du chiffre d'affaires mondial.
- Le Digital Services Act (DSA), règlement UE 2022/2065 applicable depuis le 17 février 2024. Impose aux très grandes plateformes (TikTok, X, Meta, YouTube) la modération diligente des contenus illicites et la coopération avec les coordinateurs nationaux (en France, l'ARCOM). Pour une cellule, c'est le canal officiel de signalement d'urgence des deepfakes en circulation.
- La loi n° 2024-449 du 21 mai 2024 (loi SREN). Création du délit de « hypertrucage non consenti » — articles 226-8 et 226-8-1 du Code pénal — puni de 3 ans d'emprisonnement et 75 000 € d'amende, porté à 5 ans et 150 000 € si le contenu est à caractère sexuel. Ce texte est désormais l'arme privilégiée pour faire retirer un deepfake visant un dirigeant ou un élu.
- Le RGPD (règlement UE 2016/679) : rappel que le clonage de voix d'une personne identifiable, sans son consentement explicite, constitue un traitement illicite de donnée biométrique. Notification obligatoire à la CNIL dans les 72 heures en cas d'incident.
7. Sept réflexes à intégrer dans votre plan de crise
Voici les sept réflexes que je propose désormais d'intégrer dans tout plan de crise — qu'il s'agisse d'une entreprise, d'une collectivité ou d'une association. Aucun n'est coûteux. Tous sont à mettre en place avant la crise, jamais pendant.
- Réflexe 1 — Code-mot opérationnel. Convenez d'un mot de passe partagé hors-ligne entre le dirigeant et le cercle restreint de la cellule, renouvelé chaque trimestre. Jamais transmis par mail, jamais par messagerie d'entreprise, jamais par SMS. Imprimé sur papier, conservé en lieu sûr.
- Réflexe 2 — Callback obligatoire. Toute demande inhabituelle reçue (virement, ouverture de compte, communication d'information sensible) déclenche un rappel sortant systématique sur un numéro connu du contact, jamais sur le numéro affiché par l'appel ou le mail entrant.
- Réflexe 3 — Principe des quatre yeux + 24h. Tout ordre à fort enjeu reçu en contexte d'urgence proclamée déclenche un délai de 24 heures non négociable et une validation par un second responsable. L'urgence est elle-même un signal d'alarme, pas un argument.
- Réflexe 4 — Pré-empreinte du porte-parole. Enregistrement contrôlé de 5 à 10 minutes du dirigeant et du porte-parole, signé cryptographiquement, conservé hors-ligne. Sert de référence en cas de litige sur un contenu en circulation.
- Réflexe 5 — Veille IA armée. Au moins un outil de social listening payant + un outil presse + un outil spécialisé désinformation, paramétrés sur les noms de l'organisation, du dirigeant et des marques. Référent veille désigné dans la cellule, jamais le seul community manager.
- Réflexe 6 — Référent juridique IA. Une personne dans la cellule connaît AI Act, DSA, SREN, RGPD et sait actionner ARCOM, CNIL, ANSSI, PHAROS dans la première heure d'un incident.
- Réflexe 7 — Exercice annuel « deepfake ». Au moins un exercice de crise par an doit comporter un inject deepfake — voix, vidéo, faux communiqué. C'est la seule manière de transformer ces sept réflexes en mémoire musculaire collective.
8. Ce que je ne délègue jamais à l'IA en cellule
L'optimisme technologique a ses limites, et la cellule de crise est l'endroit où ces limites se voient le plus. En cinq ans d'usage croissant des LLM dans les cellules que j'accompagne, j'ai identifié quatre lignes rouges que je ne franchis pas, et que je recommande de ne jamais franchir.
- Jamais d'IA pour qualifier la gravité d'un événement. La qualification de crise — qui décide qu'on bascule en mode dégradé, qu'on active la cellule, qu'on alerte le préfet — est une décision politique et humaine. Un LLM peut compiler des données, jamais arbitrer une responsabilité.
- Jamais d'IA pour les communiqués qui touchent aux victimes ou aux familles. La justesse du ton, la pudeur, l'humilité ne se générent pas. Un mot mal placé dans un communiqué post-décès est une crise dans la crise. À écrire à la main, à relire collectivement.
- Jamais d'IA sans relecture humaine sur les chiffres et les noms propres. C'est statistiquement le terrain où les LLM hallucinent le plus. Un chiffre faux dans un SITREP envoyé à la préfecture peut désarmer toute la confiance accumulée.
- Jamais d'IA en boucle fermée pour la décision. « L'IA recommande X, on fait X » n'est pas une décision, c'est un transfert de responsabilité. La cellule reste l'instance qui assume — humaine, désignée, identifiable. C'est aussi ce que rappelle l'AI Act dans son article 14 : human oversight exigible sur tous les systèmes d'IA à haut risque.
Au fond, l'IA générative ne change pas la nature profonde de la cellule de crise — qui reste un dispositif humain, politique, fragile, déterminé par la confiance et le langage commun. Elle en change le rythme, les outils, les menaces, les rituels. Elle exige de chacun d'entre nous, dirigeants, élus, consultants, un peu plus d'esprit critique, un peu plus de méthode, un peu plus de temps consacré à l'entraînement collectif. Et un retour, paradoxal en apparence, aux fondamentaux les plus anciens de la sécurité : le code-mot partagé hors-ligne, le rappel sortant sur ligne fixe, le principe des quatre yeux. Ce que les militaires, les diplomates et les banquiers font depuis cent ans. Ce que la cellule de crise, parfois grisée par ses outils, avait fini par négliger.
Sources
- 5 février 2024 — South China Morning Post, Hong Kong worker pays out HK$200 million after deepfake video conference call with « CFO », consulter.
- 10 mai 2024 — The Guardian, WPP boss targeted by deepfake scam using voice clone, consulter.
- 12 juillet 2024 — Règlement (UE) 2024/1689 du Parlement européen et du Conseil établissant des règles harmonisées concernant l'intelligence artificielle (AI Act), Journal officiel de l'Union européenne, consulter.
- 21 mai 2024 — Loi n° 2024-449 visant à sécuriser et à réguler l'espace numérique (SREN), JORF, consulter.
- avril 2024 — ANSSI, Panorama de la cybermenace 2024, consulter.
- juin 2023, rapports successifs — VIGINUM (SGDSN), Rapport sur l'opération Doppelganger / RRN — campagnes numériques d'ingérence étrangère, consulter.
- mai 2024 — Verizon, Data Breach Investigations Report 2024, consulter.
- 2024 — Coalition for Content Provenance and Authenticity (C2PA), Content Credentials Specification 1.4, consulter.
Glossaire : 10 termes pour comprendre
Le vocabulaire qui s'impose désormais en cellule de crise. À partager avec votre comité de direction et votre cellule.
Deepfake
Contenu audio, vidéo ou image synthétique généré ou modifié par IA pour faire dire ou faire faire à une personne réelle ce qu'elle n'a jamais dit ou fait.
Voice cloning
Génération d'une voix synthétique imitant celle d'une personne précise à partir de quelques minutes d'enregistrement public.
BEC
Business Email Compromise — fraude au président : usurpation d'un dirigeant pour obtenir un virement urgent. L'IA dope la qualité du français et la personnalisation des messages.
C2PA
Coalition for Content Provenance and Authenticity. Standard ouvert d'authentification cryptographique de l'origine d'un fichier média (Adobe, Microsoft, BBC, AFP).
AI Act
Règlement européen 2024/1689 sur l'intelligence artificielle, entré en vigueur le 1ᵉʳ août 2024, applicable progressivement jusqu'au 2 août 2027.
DSA
Digital Services Act, règlement UE 2022/2065 applicable depuis le 17 février 2024. Impose aux plateformes des obligations de modération et de transparence.
Hallucination LLM
Production par un grand modèle de langage d'un fait inventé présenté avec assurance. Risque structurel de toute génération non vérifiée.
Prompt injection
Attaque consistant à dissimuler dans un contenu (mail, document, page web) des instructions destinées à manipuler un assistant IA qui le traite ensuite.
Social listening
Veille temps réel sur réseaux sociaux et presse en ligne pour détecter mentions, sentiment et signaux faibles autour d'une organisation.
Infodémie
Diffusion massive et rapide d'informations vraies, fausses et déformées qui sature l'attention publique et brouille la décision en cellule.
Questions fréquentes
Comment authentifier une demande urgente du dirigeant en visio à l'ère du deepfake ?
Trois rituels combinés. 1. Code-mot opérationnel partagé hors-ligne entre le dirigeant et le cercle restreint, renouvelé chaque trimestre, jamais transmis par mail ni messagerie d'entreprise. 2. Rappel sortant systématique sur le numéro fixe ou mobile connu du contact, jamais sur le numéro affiché par l'appel entrant. 3. Pour les ordres de virement ou décisions à fort enjeu, principe des quatre yeux et délai de 24 heures non négociable, même en contexte d'urgence proclamée. Une demande urgente qui refuse ces trois rituels est, par définition, suspecte.
L'AI Act impose-t-il des obligations à mon plan de crise ?
Pas directement, mais indirectement par deux canaux. D'abord, l'article 50 impose à toute organisation qui diffuse un contenu généré par IA de l'étiqueter comme tel — y compris en gestion de crise (communiqués, visuels, simulations). Ensuite, si vous utilisez un système d'IA classé à haut risque (tri de candidatures, scoring crédit, notation citoyenne), votre plan doit prévoir la procédure de notification d'incident à l'autorité nationale dans les 15 jours. Concrètement, votre PCA et votre cellule de crise doivent intégrer la rubrique « incident IA » et désigner un référent.
Combien de temps faut-il à un attaquant pour cloner ma voix ?
Trois minutes d'enregistrement public suffisent aux outils de voice cloning grand public (ElevenLabs, Resemble.AI, Descript Overdub) pour produire un clone exploitable en moins de 60 secondes. Si vous êtes dirigeant ou élu, votre voix est déjà accessible : interviews radio, podcasts, allocutions YouTube, conférences. Le passage à l'échelle est trivial. La défense ne peut donc plus reposer sur la reconnaissance vocale humaine — elle repose sur les rituels d'authentification (code-mot, callback, quatre yeux).
Faut-il déclarer un deepfake visant son organisation à l'ANSSI ou à la CNIL ?
Cela dépend du préjudice. Si le deepfake a permis une fraude au président réussie, c'est une cyberattaque caractérisée à signaler à l'ANSSI via cybermalveillance.gouv.fr et à déposer en plainte. Si le deepfake a entraîné une fuite ou un détournement de données personnelles, notification CNIL sous 72 heures (RGPD article 33). Si le deepfake est diffusé publiquement et porte atteinte à l'image, signalement PHAROS et action en référé sur le fondement de la loi du 29 juillet 1881 et de la loi SREN du 21 mai 2024 qui pénalise désormais explicitement les hypertrucages non-consentis.
Peut-on confier la rédaction d'un communiqué de crise à ChatGPT ou Claude ?
Oui pour la première version, jamais pour la version diffusée. Les LLM sont excellents pour générer une trame structurée à partir de notes hâtives, traduire instantanément, ou tester plusieurs angles. Mais ils hallucinent des faits, lissent les nuances juridiques, et peuvent introduire des engagements non assumables. Règle Twist : un communiqué passé par IA repasse obligatoirement par trois yeux humains — porte-parole, juriste, dirigeant — avant diffusion. Et jamais d'IA pour les communiqués qui touchent à la responsabilité pénale, aux victimes ou aux familles.
Quels outils de social listening pour détecter une vague de désinformation ?
Trois familles. 1. Outils généralistes payants (Talkwalker, Meltwater, Brandwatch, Visibrain) qui couvrent X, Facebook, TikTok, presse en ligne avec alertes paramétrables et détection de pics anormaux. 2. Outils open source pour analyses ciblées (CrowdTangle pour Meta jusqu'à sa fermeture, Trendsmap, GDELT pour la presse mondiale). 3. Outils spécialisés désinformation (Newsguard, Logically, AI Forensics) capables de scorer la fiabilité des sources et de détecter des coordinated inauthentic behavior. Pour une cellule de crise, viser un trio : un outil principal + un outil presse + un outil spécialisé désinformation.
Le watermarking C2PA est-il fiable contre les deepfakes ?
Le standard C2PA (Coalition for Content Provenance and Authenticity), porté par Adobe, Microsoft, Sony, BBC, est solide en théorie : signature cryptographique attestant l'origine et le parcours d'édition d'un fichier. Mais il a deux limites pratiques en 2026. D'abord, l'adoption reste partielle : peu de caméras grand public et peu de plateformes grand public le préservent au partage (recompression, capture d'écran, ré-upload cassent la signature). Ensuite, l'absence de watermark ne prouve pas qu'un contenu est faux. Le watermarking est donc un signal d'authenticité utile, pas un test de vérité.
Faut-il créer une cellule « IA & désinformation » dédiée ?
Non, sauf très grand groupe ou collectivité-territoire fortement exposée. Pour 95 % des organisations, le bon réflexe est d'intégrer trois nouveaux rôles dans la cellule de crise existante : un référent veille IA (qui surveille en continu social listening et signaux faibles), un référent authentification (qui valide les pièces et les voix entrantes), un référent juridique IA (qui connaît AI Act, DSA, SREN, RGPD). Ces trois rôles peuvent être tenus par des personnes déjà en place — communication, sûreté, juridique — moyennant formation ciblée.
Pour aller plus loin
Les biais cognitifs en cellule de crise
Pourquoi notre cerveau tombe dans le piège du « cela ressemble à du nôtre » — et comment l'entraîner.
PilierCommunication de crise
Cadres, figures, rituels et pièges de la prise de parole quand l'attention publique se sature.
ServiceMettre en place une cellule de crise
Activation, war room, rituels, traçabilité : l'accompagnement Twist en deux étapes.
SectorielleCrise cyber
Ransomware, BEC, supply chain, fuite de données : l'écosystème complet de la crise cyber 2026.
SectorielleCrise de réputation
Bad buzz, deepfakes, controverses : comment la marque se défend quand l'attention bascule.
Service signatureExercice de crise — y compris deepfake
L'exercice annuel qui transforme les sept réflexes en mémoire musculaire collective.
Tester vos sept réflexes face à un deepfake
Le seul exercice qui transforme la lecture en mémoire musculaire collective : une demi-journée d'exercice de crise sur table avec inject deepfake, animée par Twist, calibrée sur votre organisation. 30 minutes pour cadrer, gratuit et sans engagement.
Échanger avec un consultant