Deepfake et KYC : la faille de l’entrée en relation

Publié le 3 septembre 2026

L’entrée en relation à distance repose sur une hypothèse simple : le visage qui apparaît devant la caméra appartient à une personne réelle, présente à cet instant. Toute la chaîne de vérification en découle, du contrôle du document d’identité à la détection de vivacité.

Cette hypothèse a cessé d’être solide. Un visage synthétique animé en temps réel, injecté directement dans le flux vidéo sans passer par une caméra physique, présente exactement les signaux qu’un système attend d’une personne vivante. Le problème n’est plus la qualité de l’image : c’est que le contrôle porte sur le contenu du flux, et non sur son origine.

Ce qui a changé techniquement

L’injection, pas la présentation

La fraude classique était une attaque par présentation : montrer une photo, un masque ou un écran à la caméra. Les systèmes de vivacité savent la traiter, en cherchant la profondeur, les micro-mouvements, les reflets, la texture de la peau.

L’attaque par injection contourne ce raisonnement. Le flux est fabriqué en amont et présenté au système comme s’il venait d’une caméra, via un pilote virtuel ou une caméra logicielle. Il n’y a plus de scène physique à analyser, donc plus d’artefact de présentation à trouver. Le signal est parfait parce qu’il est entièrement synthétique.

Le temps réel a supprimé la dernière barrière

La substitution de visage en direct, avec une latence compatible avec une conversation, était encore un exercice de laboratoire il y a peu. Elle s’exécute désormais sur du matériel grand public. Les protocoles qui reposaient sur une interaction, tourner la tête, prononcer une phrase, suivre une consigne, ne discriminent plus par eux-mêmes.

Le cadre français : le référentiel PVID

La France a répondu à cette question par un dispositif qui lui est propre et que les articles internationaux ignorent presque toujours. L’ANSSI a publié un référentiel d’exigences pour les prestataires de vérification d’identité à distance, dits PVID, qui encadre la manière dont l’identité peut être contrôlée sans présence physique.

Pour un établissement soumis aux obligations de lutte contre le blanchiment et le financement du terrorisme, recourir à un prestataire qualifié a un double effet. Il renforce la sécurité de l’entrée en relation, et il constitue un dossier opposable en cas de contrôle par l’ACPR, l’AMF ou Tracfin.

Le référentiel traite la question du contrôle. Il ne traite pas, à lui seul, une seconde question qui se pose plus tard : que reste-t-il pour démontrer, dans deux ans, ce qui s’est effectivement passé pendant cette session ?

La question qui arrive après la fraude

Quand un compte a été ouvert par un fraudeur et utilisé pour des opérations litigieuses, trois demandes convergent vers l’établissement, et aucune ne porte sur la détection.

Le régulateur demande la démonstration que les diligences ont été accomplies, avec leur trace.

La personne dont l’identité a été usurpée conteste toute la relation et demande ce qui a été vérifié.

La juridiction saisie examine des pièces produites par l’établissement et s’interroge sur leur valeur.

Dans les trois cas, ce qui compte est la qualité probatoire du dossier constitué au moment de l’entrée en relation. Des journaux applicatifs internes, modifiables par l’exploitant, ne répondent qu’imparfaitement : ils émanent de la partie qui les produit.

Ce que le droit français attend d’une telle pièce

L’article 1366 du code civil subordonne la force probante de l’écrit électronique à l’identification de la personne dont il émane et à sa conservation dans des conditions de nature à en garantir l’intégrité.

Le décret n° 2016-1673 du 5 décembre 2016 précise ce que cette garantie suppose : une empreinte électronique rendant détectable toute modification ultérieure, condition présumée remplie par l’usage d’un horodatage qualifié, d’un cachet électronique qualifié ou d’une signature électronique qualifiée, au sens du règlement eIDAS (UE) n° 910/2014.

Un enregistrement de session scellé selon ces principes cesse d’être une affirmation de l’établissement pour devenir une pièce vérifiable par un tiers. C’est la différence entre « nos journaux indiquent que » et « voici le dossier, recalculez l’empreinte vous-même ».

Deux chantiers distincts, à ne pas confondre

Réduire le taux de fraude. C’est le domaine de la détection d’injection, de l’analyse du canal d’acquisition, de la qualification PVID et des dispositifs d’identité électronique. Ce chantier progresse, et il continuera de progresser en réaction aux attaques.

Rendre démontrable ce qui s’est passé. C’est un chantier probatoire, indépendant du précédent, et souvent négligé parce qu’il ne se mesure pas en taux de détection. Il consiste à sceller la session, ses éléments et son horodatage au moment où elle se déroule, de façon qu’aucune contestation ultérieure ne puisse porter sur l’intégrité du dossier.

Le premier chantier échouera parfois, par construction. Le second détermine ce qu’il en coûtera quand cela arrivera. C’est l’objet des parcours LCB-FT certifiés et de la vérification documentaire à l’entrée en relation, et la certification de réunion en ligne couvre les sessions conduites en visioconférence.

Questions fréquentes