Le détecteur de deepfakes de Zoom ne suffira pas à rétablir la confiance

Une étiquette d’avertissement peut vous signaler qu’un appel vidéo semble suspect. Elle ne peut pas vous dire qui se trouve réellement de l’autre côté. Cette distinction sépare une fonction de sécurité utile d’une dangereuse illusion de protection.

Zoom prévoit d’ajouter un détecteur de risques liés aux deepfakes en temps réel en décembre 2026. Le système examinera les signaux audio et vidéo pour repérer les indices montrant que l’image ou la voix d’un participant a été modifiée avant son entrée sur la plateforme, puis affichera une alerte ainsi qu’un indicateur de confiance. Comme le rapporte Infobae, Zoom vise notamment les entretiens d’embauche, les réunions d’entreprise et les échanges avec des clients ou des fournisseurs — précisément les contextes où une fausse identité peut devenir un problème financier ou opérationnel.

C’est un ajout pertinent. Ce n’est toutefois pas une carte d’identité numérique. Considérer le verdict du détecteur comme une preuve d’identité reviendrait simplement à remplacer un signal de confiance fragile — le visage familier — par un autre — le feu vert rassurant.

La détection est un système d’alerte, pas un système d’identité

Le meilleur argument en faveur de la fonctionnalité de Zoom est aussi le plus limité: elle peut créer une friction au bon moment. Une alerte peut inciter les participants à s’arrêter, à remettre en question une demande urgente ou à déplacer une décision sensible vers un canal plus sûr. C’est précieux, car les attaques par deepfake exploitent les habitudes sociales, et pas seulement les faiblesses techniques. L’autorité, l’urgence et la familiarité font l’essentiel du travail.

Mais détecter une manipulation et authentifier une personne sont deux tâches différentes. Un détecteur peut estimer si l’audio ou la vidéo semble synthétique. Il n’établit pas que la personne est bien le dirigeant, le client ou le fournisseur qu’elle prétend être. De même, un résultat normal ne prouve pas que la conversation, la demande ou l’instruction de paiement est légitime.

Cette distinction est d’autant plus importante que l’outil est présenté comme analysant des contenus susceptibles d’avoir été manipulés avant leur entrée dans Zoom. Il s’agit donc d’une couche de défense au niveau des médias. Elle n’authentifie pas automatiquement la source, l’appareil, le compte, le contexte professionnel ou la décision demandée.

Les indicateurs de confiance sont particulièrement délicats. Les utilisateurs interprètent naturellement un pourcentage ou un indicateur d’état comme un verdict, alors qu’il ne s’agit que d’une estimation produite par un modèle. À notre avis, l’interface devrait rendre l’incertitude impossible à ignorer. « Aucune manipulation détectée » est une formulation plus sûre que « authentique », car la première décrit ce que le système a examiné, tandis que la seconde laisse entendre bien plus qu’il n’en sait.

La véritable avancée consiste à revoir ce qu’un appel vidéo peut être autorisé à valider

L’annonce de Zoom s’inscrit dans un ensemble plus large de contrôles liés à l’IA en entreprise. Centralized AI Management devrait être disponible en décembre 2026 et offrir aux administrateurs une visibilité sur les agents et les automatisations, des politiques au niveau des comptes ainsi que la possibilité d’examiner l’activité. Zoom prévoit également des garde-fous personnalisés pouvant exiger une vérification humaine avant le partage de certains textes générés par l’IA, avec une disponibilité prévue au premier trimestre 2027.

C’est la direction la plus importante. La sécurité ne peut pas dépendre de la capacité à déterminer si des pixels semblent réels lorsque le processus environnant permet toujours à une seule conversation de valider une action irréversible. Un appel vidéo devrait fournir du contexte et permettre de collaborer; il ne devrait pas, à lui seul, constituer la preuve finale pour un virement important, une modification de coordonnées bancaires ou la divulgation d’informations sensibles.

Les organisations ont besoin de règles à plusieurs niveaux: une confirmation indépendante par l’intermédiaire d’un canal préalablement établi, l’approbation de plusieurs personnes et un processus capable de résister à l’urgence artificielle. Une question privée ou un défi convenu peuvent aider dans certains cas, mais ne devraient pas devenir l’unique protection. Tout ce qui est prévisible peut, à terme, être appris, enregistré ou exploité par ingénierie sociale.

Le principe est simple: authentifier la personne et autoriser l’action séparément. Un compte de confiance, un appareil connu, un identifiant cryptographique ou un rappel vérifié peuvent constituer des éléments de preuve. Aucun ne doit être confondu avec un visage à l’écran.

La vérification humaine n’a rien de désuet: c’est le contrôle qui manque

On pourrait être tenté d’imaginer que de meilleurs détecteurs finiront par résoudre le problème. L’évolution de la recherche suggère plutôt l’existence d’une pression inverse: à mesure que la génération s’améliore, la détection doit continuer à s’adapter. Une étude publiée en septembre 2026 et résumée par InsightFace a montré que les performances d’un détecteur multi-visages diminuaient lorsqu’il devait localiser les visages et les classer de bout en bout, plutôt que de recevoir à l’avance des emplacements précis. Cela rappelle que des résultats impressionnants en laboratoire ne se transposent pas automatiquement en décisions fiables en direct.

Les utilisateurs ont également besoin d’un scepticisme pratique. Le projet Detect Fakes du MIT Media Lab recommande de vérifier si l’éclairage, les mouvements du visage, les reflets sur les lunettes, la texture de la peau, le clignement des yeux et la synchronisation des lèvres restent cohérents. Ces indices peuvent aider, mais ils ne remplacent pas l’authentification — et un faux très soigné peut ne présenter aucune erreur visuelle évidente.

La meilleure vérification humaine est procédurale, pas théâtrale. Interrompez l’appel lorsqu’une demande est inhabituellement urgente. Contactez la personne par un canal déjà enregistré, et non via un numéro ou un lien fourni pendant la réunion. Demandez un deuxième approbateur. Différez l’action lorsque le coût d’une erreur est élevé. Ces mesures sont moins séduisantes qu’un indicateur de confiance produit par l’IA, mais elles s’attaquent directement au mécanisme de la fraude.

Zoom devrait présenter cela comme une incertitude, pas comme une assurance

Il faut reconnaître à Zoom le mérite d’intégrer le risque de deepfake à l’expérience de réunion, au lieu de laisser chaque participant examiner seul les cils et les reflets. Une alerte intégrée peut rendre le doute visible pour des personnes qui, autrement, supposeraient qu’un visage et une voix en direct sont nécessairement dignes de confiance.

L’entreprise et ses clients devraient néanmoins éviter de vendre la détection comme un retour à la certitude. Le détecteur repérera probablement certains contenus suspects, en manquera d’autres plus sophistiqués et déclenchera parfois de fausses alertes. C’est normal pour un modèle opérant dans des conditions changeantes. L’échec survient lorsque la politique considère son résultat comme définitif.

Notre verdict: activez la fonctionnalité dès son arrivée, mais définissez des procédures qui tiennent compte de ses limites. Utilisez l’avertissement pour faire une pause — pas pour passer à l’action. L’avenir des appels vidéo dignes de confiance appartiendra aux organisations qui associeront détection des médias, authentification, traçabilité, contrôles d’accès et approbation humaine. Des pixels plus convaincants peuvent contribuer à la confiance. Ils ne peuvent pas la porter à eux seuls.