Deepfakes : l'Europe étiquette, la Suisse attend 2027

Le futur a ses conditions. Article de fond, 27.10.2026.

Le téléphone sonne au bureau. C'est la voix du patron, pressée, un peu sèche, comme d'habitude en fin de mois : un virement à faire tout de suite, un fournisseur à payer, on en reparle demain. La voix est juste. Le ton aussi. Et pourtant ce n'est pas lui.

Ce scénario n'a rien d'un exercice de style. Dans son rapport du premier semestre 2026, l'Office fédéral de la cybersécurité (OFCS) décrit une fraude au président signalée durant le semestre, lors de laquelle « les criminels ont utilisé une imitation de la voix du supérieur hiérarchique pour pousser des employés à effectuer des virements illégaux ». La RTS a consacré le 14 octobre un sujet au clonage vocal. Elle rapporte qu'une entreprise schwyzoise a perdu plusieurs millions après des appels imitant la voix d'un partenaire commercial. L'Office résume la tendance dans son rapport : « Les attaquants tirent entre-temps systématiquement parti de l'intelligence artificielle (IA) pour présenter à leurs victimes des contenus personnalisés, sur mesure et particulièrement crédibles. »

Face à ce genre de contenus, l'Europe a fait un choix : les étiqueter. La Suisse, elle, n'a pas encore choisi. Entre les deux, il y a une question qu'on pose trop rarement. À quelles conditions une étiquette change-t-elle vraiment quelque chose pour la personne qui décroche ?

Ce que l'Union exige depuis le 2 août

Le règlement européen sur l'IA (AI Act) a été retouché cet été par un « omnibus » de simplification, publié sous la référence Règlement (UE) 2026/1744. Ce texte a repoussé les règles sur les systèmes dits à haut risque : au 2 décembre 2027 pour les systèmes autonomes, au 2 août 2028 pour ceux qui sont intégrés dans des produits. Le Conseil de l'UE l'avait annoncé dès l'accord provisoire du 7 mai. Les justifications sont écrites noir sur blanc dans le considérant 40 : normes pas prêtes, autorités nationales pas encore en place, risque de coûts de mise en œuvre trop élevés.

Une partie du texte, pourtant, n'a pas bougé. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. La Commission européenne le confirme dans sa foire aux questions : « Article 50 of the AI Act applies as from 2 August 2026. » Concrètement, cela fait trois choses.

D'abord, un chatbot doit dire qu'il en est un, dès le début de l'échange, sauf si c'est évident. Ensuite, les fournisseurs de systèmes génératifs doivent marquer ce que produisent leurs outils avec des marques « lisibles par machine » permettant de détecter un contenu fabriqué ou manipulé. Enfin, ceux qui utilisent ces systèmes à titre professionnel (les « déployeurs », dans le jargon) doivent signaler clairement un deepfake au public, au plus tard au premier contact. La Commission précise que ce déployeur ne peut pas se contenter du filigrane invisible posé par le fournisseur : l'étiquette doit être perceptible sans outil technique particulier (« without need for any specific technical tools », dit la FAQ en anglais).

Un seul délai de grâce subsiste. Les systèmes génératifs déjà sur le marché avant le 2 août ont jusqu'au 2 décembre 2026 pour se conformer à l'obligation de marquage technique. C'est dans cinq semaines. Pour aider le secteur, Bruxelles a publié un code de bonnes pratiques volontaire, avec une icône européenne facultative en trois variantes.

Il faut lire aussi ce que le texte ne couvre pas. Un particulier qui fabrique un deepfake pour ses réseaux sociaux sort du champ du règlement, tant qu'il n'en tire pas un revenu régulier. Et l'escroc qui clone la voix d'un patron ne cochera évidemment aucune case. L'étiquette européenne vise les acteurs honnêtes ou au moins identifiables : agences de pub, médias, plateformes, éditeurs de logiciels.

Ce qui s'applique déjà aux entreprises suisses

On aurait tort de croire que tout cela s'arrête à Bâle ou à Genève. Le portail PME de la Confédération le dit sans détour, dans un article du 23 septembre : les sociétés suisses qui mettent des systèmes ou des modèles d'IA à usage général sur le marché européen sont soumises à l'AI Act, et les fournisseurs ou déployeurs de pays tiers peuvent l'être aussi « si les résultats générés par un système d'IA sont utilisés dans l'UE ».

Cas fictif, à titre d'illustration : une agence de communication lausannoise produirait une campagne pour un client lyonnais, avec une fausse vidéo de témoignage générée par IA. La vidéo serait vue en France, et le règlement européen la concernerait. Autre cas fictif : une start-up de l'arc lémanique qui vendrait un générateur d'images à des clients allemands devrait penser au marquage avant le 2 décembre si son produit était déjà en vente cet été. Pour une bonne partie du tissu économique romand, tourné vers la France et l'Italie, la règle européenne est déjà la règle de fait.

Et chez nous ?

En Suisse, il n'existe pas de loi transversale sur l'IA. Le Conseil fédéral a choisi sa voie le 12 février 2025 : ratifier la Convention du Conseil de l'Europe sur l'IA, procéder à des modifications légales « aussi sectorielles que possible » et les compléter par des mesures non contraignantes. Le Département fédéral de justice et police devait livrer d'ici fin 2026 un projet mis en consultation, couvrant la transparence, la protection des données, la non-discrimination et la surveillance.

Le calendrier a glissé. Selon le suivi tenu par l'association swissAI, mis à jour le 6 octobre, la planification 2026 du Conseil fédéral prévoyait l'ouverture de la consultation au second semestre 2026 ; celle de 2027 la place désormais au premier semestre 2027 (date cible : 30 juin 2027), ce que confirme la planification annuelle publiée par la Chancellerie fédérale. Le portail PME parle d'un avant-projet élaboré « au printemps 2027 ». Les raisons du report « n'ont pas été rendues publiques », relève swissAI. Une consultation dure en règle générale au moins trois mois. Puis viendront le message au Parlement et les débats dans les deux Chambres. Une éventuelle obligation d'étiqueter ne s'appliquera donc pas avant plusieurs années, sans que personne puisse aujourd'hui dire quand.

Sur les deepfakes en particulier, le gouvernement a montré ses cartes en répondant au postulat 26.3658, déposé au Conseil des Etats, qui demandait un rapport sur la résilience de la société face aux contenus synthétiques. Sa réponse est instructive. La convention du Conseil de l'Europe « exige des mesures en matière de transparence, sans en prescrire de spécifiques » ; le rapport explicatif cite l'étiquetage des contenus générés par IA « à titre d'exemple ». Dans sa réponse à l'interpellation 26.3607, il précise toutefois que « des mesures spécifiques aux deepfakes sont donc en cours d'examen » dans les travaux de mise en œuvre. L'avant-projet de loi sur les plateformes de communication « ne prévoit pas de réglementation des deepfakes en tant que tels ». Le droit pénal existant, atteintes à l'honneur, usurpation d'identité, droit pénal sexuel, s'applique « en principe aussi aux deepfakes », et les procédures en cours diront s'il suffit. Conclusion du Conseil fédéral : le phénomène fait déjà l'objet de « réflexions approfondies », un rapport supplémentaire « ne semble dès lors pas opportun ». Il propose de rejeter le postulat. En parallèle, il a proposé d'accepter la motion 26.3458 Mahaim, qui vise les deepfakes à caractère sexuel.

Deux lectures qui se défendent

La retenue fédérale a ses arguments, et ils ne sont pas absurdes. Le conseiller aux Etats Matthias Michel (PLR/ZG) estimait en juillet, cité par la RTS, que l'Etat ne peut pas tout réglementer dans un domaine numérique qui évolue vite. L'Union elle-même vient de reconnaître, par son omnibus, qu'elle avait fixé des dates sans avoir les normes ni les autorités pour les tenir. Attendre de voir ce que donne l'article 50 avant de copier, c'est aussi une forme de prudence. Le droit pénal suisse permet déjà de poursuivre une diffamation par vidéo truquée ; une étiquette obligatoire n'aurait pas sauvé l'entreprise schwyzoise.

L'autre lecture est plus sévère. Le conseiller fédéral Albert Rösti a plaidé en juillet à Genève pour une régulation internationale « minimale » de l'IA. Il ne faut « pas trop » réguler, a-t-il dit, selon la RTS. Le conseiller national Samuel Bendahan (PS/VD) a jugé ces propos « scandaleux », estimant que le gouvernement minimise les effets de l'IA. Et l'argument a un fond pratique : pendant que la Suisse consulte, ses entreprises exportatrices appliquent déjà la règle de Bruxelles, sans avoir eu leur mot à dire sur son contenu. Le report crée aussi un drôle de décalage. Exemple fictif : une agence genevoise devrait étiqueter un faux témoignage diffusé à Annecy, mais aucune règle suisse ne l'y obligerait pour la même vidéo diffusée à Carouge.

Notre position est la suivante : les deux camps se trompent de débat s'ils réduisent la question à « réguler plus ou moins ». L'étiquette n'est pas un bouclier. C'est une infrastructure de confiance. Elle ne protège personne de l'appel frauduleux, mais elle crée une norme : dans l'information, la pub et les médias, un contenu synthétique non signalé devient une faute, et non plus une habitude. Sa valeur dépend de conditions très concrètes.

Les conditions pour que ça change le quotidien

La première condition, c'est que le marquage technique tienne. La Commission demande des solutions « efficaces, interopérables, robustes et fiables dans la mesure où cela est techniquement possible ». La fin de la phrase compte autant que le début. Un filigrane qui disparaît à la première capture d'écran ou au premier recadrage ne protège pas grand monde. Le 2 décembre dira si les grands fournisseurs ont des solutions qui résistent à l'usage réel, celui de WhatsApp et des stories.

La deuxième, c'est que l'étiquette soit lisible pour un humain pressé. Le choix européen d'imposer une mention visible, et pas seulement un code caché dans le fichier, va dans ce sens. Mais une icône que personne ne connaît ne vaut pas grand-chose. Elle doit devenir aussi familière que le logo « bio » sur un yaourt. Cela prend du temps et de la constance.

La troisième touche à la Suisse. Une règle n'a de sens que si quelqu'un la fait respecter. Dans l'UE, ce seront surtout les autorités nationales de surveillance du marché, le Bureau de l'IA n'ayant qu'un rôle limité. En Suisse, qui surveillera ? La question, selon swissAI, « reste encore en suspens ». Tant qu'elle l'est, une entreprise romande respectueuse se retrouve à appliquer une norme étrangère dans ses contrats, et une moins scrupuleuse peut l'ignorer sur le marché intérieur.

La quatrième ne dépend d'aucune loi. C'est le réflexe. Aucune étiquette ne viendra se coller sur la voix au bout du fil. Le seul conseil qui marche contre le clonage vocal, Sandy Lavorel, créateur du site FlairSafe, le formulait dans On en parle : « Même si on reconnaît la voix, on doit passer sur un autre canal, rappeler la personne pour l'authentifier. » Ralentir, raccrocher, rappeler sur le numéro connu. C'est banal. Cela ne coûte rien. Et c'est la seule défense déjà disponible pour tout le monde, de Delémont à Sion.

Ce que l'étiquette ne dira jamais

L'Europe a posé une règle simple : ce qui est faux doit le dire. La Suisse s'est donné jusqu'en 2027, au moins, pour décider si elle veut la même. Ce délai n'est pas un drame en soi. Il en deviendra un si on l'utilise pour ne rien préparer, ni autorité de surveillance, ni habitudes dans les rédactions, les agences et les communes.

Reste un paradoxe que ni Bruxelles ni Berne ne résoudront. Plus on étiquette les contenus synthétiques honnêtes, plus on risque de faire confiance par défaut à tout ce qui n'est pas étiqueté. Or le faux qui coûte cher, celui qui vide un compte d'entreprise à Schwytz, n'aura jamais d'étiquette. La vraie condition, au fond, c'est peut-être d'apprendre à douter d'une voix qu'on connaît par cœur.

Toutes consultées le 27.10.2026 entre 20h35 et 20h40 (heure suisse) ; copies archivées par la vérification. EUR-Lex a été lu par une copie en ligne et le communiqué du Conseil de l'UE par un index de recherche, sans ouvrir directement ces pages.

1. RTS, « Comment repérer et éviter les pièges des voix clonées par l'IA », publié le 14.10.2026 (cite le rapport semestriel de l'OFCS et Sandy Lavorel, On en parle du 08.10.2026). https://www.rts.ch/info/suisse/2026/article/clonage-de-voix-par-ia-comment-se-premunir-des-arnaques-29383644.html
2. RTS (avec l'ats), « La volonté de la Suisse d'une régulation "minimale" de l'IA divise au Parlement », publié le 10.07.2026. https://www.rts.ch/info/suisse/2026/article/regulation-de-l-ia-l-idee-d-un-cadre-minimal-divise-le-parlement-29299049.html
3. Commission européenne, FAQ « Transparency obligations under Article 50 of the AI Act ». https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act
4. Commission européenne, « Code de bonnes pratiques sur la transparence des contenus générés par l'IA » (FAQ et page politique). https://digital-strategy.ec.europa.eu/fr/faqs/code-practice-transparency-ai-generated-content et https://digital-strategy.ec.europa.eu/fr/policies/code-practice-ai-generated-content
5. Règlement (UE) 2026/1744 du 8 juillet 2026 (train de mesures omnibus numérique sur l'IA), JO L du 24.7.2026, considérant 40. https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32026R1744 (EN : https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32026R1744) ; fiche de procédure : https://eur-lex.europa.eu/legal-content/EN/HIS/?uri=CELEX%3A32026R1744
6. Conseil de l'UE, communiqué du 07.05.2026, « Artificial Intelligence: Council and Parliament agree to simplify and streamline rules ». https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/
7. Portail PME de la Confédération (SECO), « Un avant-projet visant à réglementer l'IA sera élaboré d'ici début 2027 », 23.09.2026. https://www.kmu.admin.ch/fr/un-avant-projet-visant-a-reglementer-lia-sera-elabore-dici-debut-2027
8. Conseil fédéral, communiqué du 12.02.2025, « Réglementation de l'IA : le Conseil fédéral veut ratifier la Convention du Conseil de l'Europe ». https://www.admin.ch/fr/nsb?id=104110
9. Office fédéral de la justice, page « Intelligence artificielle ». https://www.bj.admin.ch/fr/intelligence-artificielle
10. Parlement suisse, Po. 26.3658 « Hypertrucages (deepfakes). Renforcer la résilience de la société face aux contenus synthétiques », texte et avis du Conseil fédéral. https://ws-old.parlament.ch/affairs/20263658
11. swissAI (association), « Consultation sur la réglementation de l'IA : suivi de l'état d'avancement et du calendrier », Chris Beyeler, 07.10.2026 (état au 06.10.2026). Source associative (rang 4). https://fr.swissai.ch/blog/vernehmlassung-ki-regulierung
12. Chancellerie fédérale, planification annuelle 2026 et 2027 du Conseil fédéral (extraits par département, en allemand). 2026 : https://www.bk.admin.ch/dam/de/sd-web/fPs7NOZzYlio/Auszug%202026%20-%20%C3%9Cbersicht%20pro%20Departement.pdf ; 2027 : https://www.bk.admin.ch/dam/de/sd-web/xVc0fLJpE7QQ/Auszug%202027%20-%20%C3%9Cbersicht%20pro%20Departement.pdf
13. Office fédéral de la cybersécurité (OFCS), Rapport semestriel 2026/I, publié le 24.08.2026. https://www.bacs.admin.ch/dam/fr/sd-web/Wiv5nsS1J6-l/BACS-HJB-2026-1_FR.pdf
14. Parlement suisse, Ip. 26.3607 Rumy, « Traitement des hypertrucages dans le projet de loi sur l'IA », avis du Conseil fédéral du 26.08.2026. https://ws-old.parlament.ch/affairs/20263607
15. Parlement suisse, Mo. 26.3458 Mahaim, « Hypertrucages sexualisés de Grok. Il est temps d'agir ! », proposition d'acceptation du Conseil fédéral du 20.05.2026. https://ws-old.parlament.ch/affairs/20263458