IA : le « watermarking », une nouvelle infrastructure de traçabilité et de transparence ?

Dis­tin­guer du conte­nu humain de celui géné­ré par IA devient de plus en plus com­pli­qué à mesure que les modèles d’IA géné­ra­tive pro­gressent. C’est toute la ques­tion de la trans­pa­rence des four­nis­seurs de modèles comme Ope­nAI, Anthro­pic ou encore Mis­tral qui est aujourd’​hui en jeu. Depuis le 2 août 2026, la Com­mis­sion euro­péenne impose à ces der­niers d’in​té​grer à leurs modèles un water­mark ou fili­grane invi­sible pour mar­quer les conte­nus du sceau de l’IA. L’article 50(2) de l’AI Act  fixant ce nou­veau cadre est salué par les experts du domaine comme étant un très bon début, bien qu’il se heurte à d’im​por​tantes contraintes tech­niques notam­ment liées à la cybersécurité.

Le digi­tal water­mark ou tatouage numé­rique consiste à insé­rer un ensemble de don­nées visibles ou invi­sibles dans un fichier ou signal (audio, vidéo, image, texte, etc.). Le concept exis­tait bien avant que l’in​tel​li​gence arti­fi­cielle géné­ra­tive inonde le Web. « Le début du tatouage, c’é­tait les années 2000, avec comme objec­tif prin­ci­pal la pro­tec­tion des droits d’au­teur », explique Patrick Bas, cher­cheur CNRS en sté­ga­no­gra­phie à Lille. S’il conti­nue d’être appli­qué pour authen­ti­fier du conte­nu artis­tique, le water­mark trouve un nou­vel usage avec le déploie­ment mas­sif de l’IA : il s’a​git désor­mais de détec­ter le faux, notam­ment pour lut­ter contre la dés­in­for­ma­tion en ligne.

À chaque média ses tech­niques. « Pour des images, on va modi­fier légè­re­ment la valeur des pixels, pour le texte on va rem­pla­cer un mot par un autre, et pour le son on va chan­ger l’am­pli­tude du signal sonore par exemple », énu­mère le cher­cheur. Qu’il soit ins­crit à la géné­ra­tion du conte­nu ou bien a pos­te­rio­ri, le water­mark doit dégra­der le moins pos­sible la qua­li­té du ren­du. Pour accom­pa­gner l’ar​ticle 50(2), un code de bonnes pra­tiques de l’IA à usage géné­ral impose jus­te­ment au mar­quage d’être « imper­cep­tible » et « dif­fi­cile à sépa­rer du conte­nu en lui-même ». Près de cent acteurs de l’IA, dont les mas­to­dontes Ope­nAI et Anthro­pic, ont signé la pre­mière sec­tion dédiée au water­mar­king.

La plu­part des tech­niques de tatouage employées pour les conte­nus IA ont émer­gé il y a seule­ment quelques années. « Avant, pour faire duwater­mar­king, on fai­sait des maths. Aujourd’​hui, on entraîne des modèles d’in​tel​li​gence arti­fi­cielle pour inté­grer une marque dans un conte­nu en mini­mi­sant les défor­ma­tions », résume Patrick Bas. Par­mi les solu­tions les plus répan­dues sur le mar­ché, on retrouve les fili­granes Syn­thID de Google. Déve­lop­pés d’a​bord pour les images en 2023, puis pour le texte, l’au​dio et la vidéo, ils sont désor­mais pré­sents dans tous ses modèles dont le très popu­laire Gemi­ni. C’est aus­si la solu­tion qu’a adop­tée son concur­rent Ope­nAI pour les images et les sons géné­rés par ChatGPT.

Pour que le water­mark soit utile, encore faut-il pou­voir le détec­ter, même s’il est humai­ne­ment imper­cep­tible. Les entre­prises qui déve­loppent des modèles d’IA doivent donc dis­po­ser d’une solu­tion pour rendre ce der­nier sta­tis­ti­que­ment repé­rable. La Com­mis­sion impose qu’un outil de détec­tion soit acces­sible au grand public, hor­mis pour le texte, car les détec­teurs actuels sont jugés trop peu fiables. Signa­taire du code de bonnes pra­tiques, Google a ouvert au monde entier un détec­teur Syn­thID pour images, sons et vidéos le 7 octobre der­nier. Une ver­sion de l’ou​til étant aupa­ra­vant res­treinte à des pro­fes­sion­nels de la presse.

« Déve­lop­per ces solu­tions coûte cher. S’il s’a​git d’une simple mise en confor­mi­té, les four­nis­seurs vont faire ça le plus bas de gamme pos­sible », met en garde Ted­dy Furon, cher­cheur en tatouage numé­rique à l’In​ria Rennes et cofon­da­teur de Label4.ai, start-up de mar­quage et de détec­tion d’IA. La Com­mis­sion tente pour­tant de créer des stan­dards de qua­li­té pour les solu­tions déve­lop­pées. Elle a ain­si défi­ni quatre cri­tères : l’ef​fi​ca​ci​té, la fia­bi­li­té, la robus­tesse et l’in​te​ro​pé​ra​bi​li​té. Les résul­tats des détec­teurs doivent être com­pris (effi­cace), ils doivent limi­ter les faux posi­tifs et les faux néga­tifs (fiable), les water­marks sont cen­sés résis­ter à des trans­for­ma­tions comme la com­pres­sion pour le son et l’i​mage, très cou­rants sur les réseaux sociaux où sont mas­si­ve­ment par­ta­gés les conte­nus IA (robuste), et les détec­teurs doivent fonc­tion­ner pour plu­sieurs sys­tèmes de tatouages dif­fé­rents (inter­opé­rable).

« Ça, ce sont les quatre cri­tères dans la limite de ce qu’il est pos­sible de faire. Juri­di­que­ment, ça se tra­duit par une obli­ga­tion de résul­tats qui est entiè­re­ment modu­lée par l’é­tat de l’art », explique Me Bet­ty Jeu­lin, avo­cate en droit des nou­velles tech­no­lo­gies et de la pro­prié­té intel­lec­tuelle à Paris. Celle qui accom­pagne plu­sieurs four­nis­seurs de modèles IA pour les aider à se mettre en règle l’ad​met : « Aujourd’­hui, per­sonne n’ar­rive à pro­duire une solu­tion qui rem­plisse par­fai­te­ment ces quatre cri­tères. »

L’in­te­ro­pé­ra­bi­li­té est notam­ment un des points de l’ar​ticle 50(2) qui inter­rogent le plus. Il est évident que les uti­li­sa­teurs auront d’au​tant plus de faci­li­té à iden­ti­fier du conte­nu IA s’ils n’ont pas besoin de cher­cher quel sys­tème l’a mar­qué. Dans l’i​déal, une seule inter­face per­met­trait de détec­ter n’im​porte quel tatouage. Mais le mar­ché des détec­teurs est aujourd’​hui très frag­men­té. C’est pour­quoi la Com­mis­sion attend des « pro­grès signi­fi­ca­tifs » dans ce domaine de la part des signa­taires, cen­sés tra­vailler de concert. Le code de bonnes pra­tiques indique qu’ils devront avoir four­ni au moins la « brique de base » qui per­met­tra de se connec­ter à dif­fé­rents sys­tèmes ou bien ren­ver­ra les uti­li­sa­teurs vers le bon détec­teur d’i​ci le 2 février 2027.

Rendre un détec­teur public est néces­saire pour créer une infra­struc­ture de confiance, mais cela ne va pas sans poser des ques­tions de sécu­ri­té. « Requê­ter ces outils un nombre impor­tant de fois pour ten­ter d’en​le​ver un water­mark peut consti­tuer une attaque redou­table, qu’on appelle “attaques par oracle” ». En par­tant d’i​mages tatouées par exemple, un atta­quant peut modi­fier légè­re­ment les pixels jus​qu’à ce que le détec­teur ne recon­naisse plus le tatouage afin de car­to­gra­phier sa zone de détec­tion. « Sur des images, il suf­fit de quelques cen­taines d’ap­pels à un détec­teur en boîte noire pour enle­ver le tatouage avec une rela­tive bonne qua­li­té », estime Ted­dy Furon.

Jus­te­ment, des outils ayant pour but de reti­rer les water­marks com­mencent à voir le jour sur le Web. S’ils s’a​vèrent suf­fi­sam­ment pré­cis et que leur usage se géné­ra­lise, ils contri­bue­ront à semer le doute là où la trans­pa­rence est au contraire atten­due. De leur côté, les four­nis­seurs ont inté­rêt à limi­ter leur sur­face d’at​taque en restrei­gnant le nombre de requêtes par uti­li­sa­teur, voire pro­po­ser au grand public des détec­teurs dégra­dés. Il s’a​git là d’un com­pro­mis entre sécu­ri­té et fia­bi­li­té par­mi de nom­breux choix de ce type qui incombent aux entre­prises. Or, on ne sait pas com­ment seront appré­ciés ces dif­fé­rents arbi­trages par la Com­mis­sion, qui admet ne pas avoir encore mis en place de méthodes d’é​va​lua​tion.

S’il est loin d’être infaillible, le water­mar­king reste aujourd’​hui l’une des seules solu­tions pour amé­lio­rer la tra­ça­bi­li­té de l’IA. « Le texte tel qu’il est écrit est déjà une très grande avan­cée », estime Ted­dy Furon. « Il y a un risque que les tech­niques ne soient pas à la hau­teur de ce qu’at​tend la Com­mis­sion. Mais si on arrive à gérer 90 % des conte­nus, peut-être que déjà, ça va chan­ger la façon dont les gens se com­portent sur les pla­te­formes », espère de son côté Patrick Bas.

En termes de calen­drier, les four­nis­seurs ont jus​qu’au 2 décembre pro­chain pour mettre en règle leurs modèles sor­tis avant le 2 août der­nier. En com­plé­ment du mar­quage invi­sible, ils doivent ajou­ter aux fichiers qu’ils génèrent des méta­don­nées au stan­dard C2PA afin d’en retrou­ver la pro­ve­nance. Une façon de réduire le risque de trom­pe­rie, même si les infor­ma­tions qu’elles contiennent peuvent faci­le­ment être supprimées.

Charlotte Delfosse