{"id":58211,"date":"2026-09-03T00:12:45","date_gmt":"2026-09-02T22:12:45","guid":{"rendered":"https:\/\/truescreen.io\/?post_type=analyses&p=58211"},"modified":"2026-09-03T00:12:45","modified_gmt":"2026-09-02T22:12:45","slug":"deepfake-kyc-entree-en-relation","status":"publish","type":"analyses","link":"https:\/\/truescreen.io\/fr\/analyses\/deepfake-kyc-entree-en-relation\/","title":{"rendered":"Deepfake et KYC : s\u00e9curiser et prouver l’entr\u00e9e en relation"},"content":{"rendered":"
\n
\n

Deepfake et KYC : la faille de l’entr\u00e9e en relation<\/h1>\n<\/div>\n<\/div>\n
\n
\n

Publi\u00e9 le 3 septembre 2026<\/p>\n

L’entr\u00e9e en relation \u00e0 distance repose sur une hypoth\u00e8se simple : le visage qui appara\u00eet devant la cam\u00e9ra appartient \u00e0 une personne r\u00e9elle, pr\u00e9sente \u00e0 cet instant. Toute la cha\u00eene de v\u00e9rification en d\u00e9coule, du contr\u00f4le du document d’identit\u00e9 \u00e0 la d\u00e9tection de vivacit\u00e9.<\/p>\n

Cette hypoth\u00e8se a cess\u00e9 d’\u00eatre solide. Un visage synth\u00e9tique anim\u00e9 en temps r\u00e9el, inject\u00e9 directement dans le flux vid\u00e9o sans passer par une cam\u00e9ra physique, pr\u00e9sente exactement les signaux qu’un syst\u00e8me attend d’une personne vivante. Le probl\u00e8me n’est plus la qualit\u00e9 de l’image : c’est que le contr\u00f4le porte sur le contenu du flux, et non sur son origine.<\/p>\n

Ce qui a chang\u00e9 techniquement<\/h2>\n

L’injection, pas la pr\u00e9sentation<\/h3>\n

La fraude classique \u00e9tait une attaque par pr\u00e9sentation : montrer une photo, un masque ou un \u00e9cran \u00e0 la cam\u00e9ra. Les syst\u00e8mes de vivacit\u00e9 savent la traiter, en cherchant la profondeur, les micro-mouvements, les reflets, la texture de la peau.<\/p>\n

L’attaque par injection contourne ce raisonnement. Le flux est fabriqu\u00e9 en amont et pr\u00e9sent\u00e9 au syst\u00e8me comme s’il venait d’une cam\u00e9ra, via un pilote virtuel ou une cam\u00e9ra logicielle. Il n’y a plus de sc\u00e8ne physique \u00e0 analyser, donc plus d’artefact de pr\u00e9sentation \u00e0 trouver. Le signal est parfait parce qu’il est enti\u00e8rement synth\u00e9tique.<\/p>\n

Le temps r\u00e9el a supprim\u00e9 la derni\u00e8re barri\u00e8re<\/h3>\n

La substitution de visage en direct, avec une latence compatible avec une conversation, \u00e9tait encore un exercice de laboratoire il y a peu. Elle s’ex\u00e9cute d\u00e9sormais sur du mat\u00e9riel grand public. Les protocoles qui reposaient sur une interaction, tourner la t\u00eate, prononcer une phrase, suivre une consigne, ne discriminent plus par eux-m\u00eames.<\/p>\n

Le cadre fran\u00e7ais : le r\u00e9f\u00e9rentiel PVID<\/h2>\n

La France a r\u00e9pondu \u00e0 cette question par un dispositif qui lui est propre et que les articles internationaux ignorent presque toujours. L’ANSSI a publi\u00e9 un r\u00e9f\u00e9rentiel d’exigences pour les prestataires de v\u00e9rification d’identit\u00e9 \u00e0 distance<\/a>, dits PVID, qui encadre la mani\u00e8re dont l’identit\u00e9 peut \u00eatre contr\u00f4l\u00e9e sans pr\u00e9sence physique.<\/p>\n

Pour un \u00e9tablissement soumis aux obligations de lutte contre le blanchiment et le financement du terrorisme, recourir \u00e0 un prestataire qualifi\u00e9 a un double effet. Il renforce la s\u00e9curit\u00e9 de l’entr\u00e9e en relation, et il constitue un dossier opposable en cas de contr\u00f4le par l’ACPR, l’AMF ou Tracfin.<\/p>\n

Le r\u00e9f\u00e9rentiel traite la question du contr\u00f4le. Il ne traite pas, \u00e0 lui seul, une seconde question qui se pose plus tard : que reste-t-il pour d\u00e9montrer, dans deux ans, ce qui s’est effectivement pass\u00e9 pendant cette session ?<\/p>\n

La question qui arrive apr\u00e8s la fraude<\/h2>\n

Quand un compte a \u00e9t\u00e9 ouvert par un fraudeur et utilis\u00e9 pour des op\u00e9rations litigieuses, trois demandes convergent vers l’\u00e9tablissement, et aucune ne porte sur la d\u00e9tection.<\/p>\n

Le r\u00e9gulateur<\/strong> demande la d\u00e9monstration que les diligences ont \u00e9t\u00e9 accomplies, avec leur trace.<\/p>\n

La personne dont l’identit\u00e9 a \u00e9t\u00e9 usurp\u00e9e<\/strong> conteste toute la relation et demande ce qui a \u00e9t\u00e9 v\u00e9rifi\u00e9.<\/p>\n

La juridiction saisie<\/strong> examine des pi\u00e8ces produites par l’\u00e9tablissement et s’interroge sur leur valeur.<\/p>\n

Dans les trois cas, ce qui compte est la qualit\u00e9 probatoire du dossier constitu\u00e9 au moment de l’entr\u00e9e en relation. Des journaux applicatifs internes, modifiables par l’exploitant, ne r\u00e9pondent qu’imparfaitement : ils \u00e9manent de la partie qui les produit.<\/p>\n

Ce que le droit fran\u00e7ais attend d’une telle pi\u00e8ce<\/h2>\n

L’article 1366 du code civil<\/a> subordonne la force probante de l’\u00e9crit \u00e9lectronique \u00e0 l’identification de la personne dont il \u00e9mane et \u00e0 sa conservation dans des conditions de nature \u00e0 en garantir l’int\u00e9grit\u00e9.<\/p>\n

Le d\u00e9cret n\u00b0 2016-1673 du 5 d\u00e9cembre 2016<\/a> pr\u00e9cise ce que cette garantie suppose : une empreinte \u00e9lectronique rendant d\u00e9tectable toute modification ult\u00e9rieure, condition pr\u00e9sum\u00e9e remplie par l’usage d’un horodatage qualifi\u00e9, d’un cachet \u00e9lectronique qualifi\u00e9 ou d’une signature \u00e9lectronique qualifi\u00e9e, au sens du r\u00e8glement eIDAS (UE) n\u00b0 910\/2014<\/a>.<\/p>\n

Un enregistrement de session scell\u00e9 selon ces principes cesse d’\u00eatre une affirmation de l’\u00e9tablissement pour devenir une pi\u00e8ce v\u00e9rifiable par un tiers. C’est la diff\u00e9rence entre \u00ab nos journaux indiquent que \u00bb et \u00ab voici le dossier, recalculez l’empreinte vous-m\u00eame \u00bb.<\/p>\n

Deux chantiers distincts, \u00e0 ne pas confondre<\/h2>\n

R\u00e9duire le taux de fraude.<\/strong> C’est le domaine de la d\u00e9tection d’injection, de l’analyse du canal d’acquisition, de la qualification PVID et des dispositifs d’identit\u00e9 \u00e9lectronique. Ce chantier progresse, et il continuera de progresser en r\u00e9action aux attaques.<\/p>\n

Rendre d\u00e9montrable ce qui s’est pass\u00e9.<\/strong> C’est un chantier probatoire, ind\u00e9pendant du pr\u00e9c\u00e9dent, et souvent n\u00e9glig\u00e9 parce qu’il ne se mesure pas en taux de d\u00e9tection. Il consiste \u00e0 sceller la session, ses \u00e9l\u00e9ments et son horodatage au moment o\u00f9 elle se d\u00e9roule, de fa\u00e7on qu’aucune contestation ult\u00e9rieure ne puisse porter sur l’int\u00e9grit\u00e9 du dossier.<\/p>\n

Le premier chantier \u00e9chouera parfois, par construction. Le second d\u00e9termine ce qu’il en co\u00fbtera quand cela arrivera. C’est l’objet des parcours LCB-FT certifi\u00e9s<\/a> et de la v\u00e9rification documentaire \u00e0 l’entr\u00e9e en relation<\/a>, et la certification de r\u00e9union en ligne<\/a> couvre les sessions conduites en visioconf\u00e9rence.<\/p>\n

Questions fr\u00e9quentes<\/h2>\n
\n
\nUn deepfake peut-il tromper une v\u00e9rification d’identit\u00e9 \u00e0 distance ?<\/span>
\n+<\/span><\/summary>\n
Les attaques par injection contournent le raisonnement des contr\u00f4les de vivacit\u00e9 : le flux est fabriqu\u00e9 en amont et pr\u00e9sent\u00e9 au syst\u00e8me comme s’il provenait d’une cam\u00e9ra, si bien qu’aucun artefact de pr\u00e9sentation n’est observable. La d\u00e9fense se d\u00e9place vers l’analyse du canal d’acquisition, et non plus vers celle de l’image.<\/div>\n<\/details>\n
\nQu’est-ce que la qualification PVID ?<\/span>
\n+<\/span><\/summary>\n
C’est le cadre publi\u00e9 par l’ANSSI pour les prestataires de v\u00e9rification d’identit\u00e9 \u00e0 distance. Il encadre la mani\u00e8re dont l’identit\u00e9 peut \u00eatre contr\u00f4l\u00e9e sans pr\u00e9sence physique, dans le contexte des obligations de lutte contre le blanchiment. Le recours \u00e0 un prestataire qualifi\u00e9 constitue un dossier opposable en cas de contr\u00f4le par l’ACPR, l’AMF ou Tracfin.<\/div>\n<\/details>\n
\nLes journaux applicatifs suffisent-ils \u00e0 prouver les diligences accomplies ?<\/span>
\n+<\/span><\/summary>\n
Ils \u00e9manent de la partie qui les produit et restent modifiables par l’exploitant du syst\u00e8me, ce qui affaiblit leur port\u00e9e dans un d\u00e9bat contradictoire. Une session scell\u00e9e par une empreinte cryptographique et un horodatage qualifi\u00e9 devient v\u00e9rifiable par un tiers, ind\u00e9pendamment de la parole de l’\u00e9tablissement.<\/div>\n<\/details>\n
\nQue faut-il conserver d’une entr\u00e9e en relation \u00e0 distance ?<\/span>
\n+<\/span><\/summary>\n
Les \u00e9l\u00e9ments recueillis, le d\u00e9roulement de la session et son instant, sous une forme dont l’int\u00e9grit\u00e9 est d\u00e9montrable dans la dur\u00e9e. L’article 1366 du code civil demande une conservation dans des conditions de nature \u00e0 garantir l’int\u00e9grit\u00e9, et le d\u00e9cret du 5 d\u00e9cembre 2016 pr\u00e9sume cette condition remplie par un horodatage qualifi\u00e9 ou un cachet \u00e9lectronique qualifi\u00e9.<\/div>\n<\/details>\n
\nLa certification remplace-t-elle la d\u00e9tection de fraude ?<\/span>
\n+<\/span><\/summary>\n
Non, les deux r\u00e9pondent \u00e0 des questions diff\u00e9rentes. La d\u00e9tection cherche \u00e0 emp\u00eacher la fraude au moment o\u00f9 elle est tent\u00e9e. La certification rend d\u00e9montrable, plus tard, ce qui s’est r\u00e9ellement pass\u00e9 pendant la session. Un dispositif de d\u00e9tection \u00e9chouera parfois ; c’est la qualit\u00e9 du dossier probatoire qui d\u00e9termine les cons\u00e9quences de cet \u00e9chec.<\/div>\n<\/details>\n<\/section>\n<\/div>\n<\/div>\n
\n
\n
\n
\n

Rendez vos entr\u00e9es en relation d\u00e9montrables<\/h2>\n

Avec TrueScreen, les sessions, documents et \u00e9changes de l’entr\u00e9e en relation sont scell\u00e9s au moment o\u00f9 ils ont lieu, avec une empreinte cryptographique, un horodatage qualifi\u00e9 et une cha\u00eene de conservation v\u00e9rifiable par un tiers.<\/p>\n

Commencer<\/a>
\nDemander une d\u00e9mo<\/a>\n<\/div>\n

\"TrueScreen\"<\/div>\n<\/div>\n<\/div>\n<\/div>","protected":false},"featured_media":56912,"template":"","class_list":["post-58211","analyses","type-analyses","status-publish","has-post-thumbnail","hentry"],"acf":[],"_links":{"self":[{"href":"https:\/\/truescreen.io\/fr\/wp-json\/wp\/v2\/analyses\/58211","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/truescreen.io\/fr\/wp-json\/wp\/v2\/analyses"}],"about":[{"href":"https:\/\/truescreen.io\/fr\/wp-json\/wp\/v2\/types\/analyses"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/truescreen.io\/fr\/wp-json\/wp\/v2\/media\/56912"}],"wp:attachment":[{"href":"https:\/\/truescreen.io\/fr\/wp-json\/wp\/v2\/media?parent=58211"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}