Règle numéro un : un seul signe prouve rarement « c'est de l'IA »[1][2]
La question paraît binaire, mais le fichier ne l'est souvent pas. Une image peut être entièrement synthétique, partiellement générée, modifiée localement par inpainting, retouchée avec un outil génératif ou simplement recompressée par une messagerie. Ces scénarios laissent des traces différentes.
NIST traite la détection du contenu synthétique comme une famille de techniques parmi d'autres, à côté de la provenance, du watermarking et des métadonnées. La précision varie avec la compression, la qualité, le style, le contenu et la proximité entre le générateur testé et ceux vus pendant l'entraînement.
Une analyse sérieuse ne demande donc pas un verdict à un seul service. Elle rassemble des signaux indépendants et vérifie s'ils racontent une histoire technique cohérente.
Le score d'un détecteur est un signal. Plusieurs signaux indépendants transforment ce score en élément réellement utile.
1. Commencer par le fichier original, pas par une capture d'écran
Si possible, analysez le fichier provenant directement de l'auteur, de l'appareil ou du système source. Une capture d'écran modifie dimensions et compression et supprime généralement une grande partie des métadonnées. Les plateformes sociales font souvent de même en créant leurs propres dérivés.
L'original permet d'examiner le format, le profil couleur, EXIF/XMP, la structure JPEG ou PNG, les caractéristiques d'encodage et d'éventuelles informations de provenance.
Dans un dossier contesté, conservez aussi un SHA-256. Le hash ne prouve pas l'authenticité, mais il permet de démontrer que le fichier examiné plus tard est exactement celui qui a été préservé.
2. Vérifier la provenance et les Content Credentials (C2PA)[1][3]
C2PA définit des informations cryptographiquement liées à l'origine et à l'historique d'un contenu numérique. Les Content Credentials peuvent indiquer comment un fichier a été créé, quelles opérations ont été effectuées et si une source algorithmique générative a été impliquée.
L'absence de C2PA ne prouve ni authenticité ni falsification. Le standard est volontaire, tous les outils ne l'emploient pas et certaines plateformes transforment ou suppriment les métadonnées.
En revanche, un manifest présent, valide et déclarant trained algorithmic media ou un générateur précis constitue un signal de provenance particulièrement fort pour ce fichier.
3. Les métadonnées sont utiles, mais faciles à surestimer[1]
EXIF peut contenir modèle d'appareil, exposition, focale, date et logiciel. Un identifiant de générateur, un champ logiciel inhabituel ou une incohérence entre l'appareil déclaré et la structure réelle du fichier peuvent être importants.
Mais les métadonnées peuvent être supprimées, réécrites ou copiées. Un EXIF vide après passage dans une messagerie ou un réseau social est banal et ne constitue pas en soi une preuve d'IA.
4. Forensic des pixels et de la compression : chercher les incohérences[1]
On peut étudier la distribution du bruit, les différences locales de compression, la grille JPEG 8×8, l'entropie, les textures répétées et l'Error Level Analysis. Ces techniques peuvent faire ressortir des zones qui se comportent différemment du reste du fichier.
Une anomalie peut aussi provenir d'une retouche légitime, d'enregistrements successifs ou d'un compositing classique. À l'inverse, une image entièrement générée peut être très uniforme en interne.
L'analyse locale est surtout utile lorsqu'elle est croisée avec provenance, métadonnées et détecteurs, et lorsqu'elle touche une zone importante pour le dossier — par exemple un dommage produit allégué.
5. Détecteurs IA : en utiliser plusieurs et observer l'accord[1][2]
Les services utilisent des jeux d'entraînement, des architectures et des calibrations différentes. La même image peut donc obtenir des scores sensiblement différents. NIST évalue séparément les image discriminators parce que les nouveaux générateurs et les cas cross-generator restent difficiles.
L'accord entre plusieurs couches indépendantes est souvent plus instructif qu'un score extrême isolé. Si quatre méthodes indiquent un faible risque et une seule 92/100, il faut comprendre cette divergence au lieu de déclarer automatiquement le fichier faux.
6. L'inspection visuelle reste utile — comme triage[4]
Le FBI cite mains, yeux, dents, bijoux, ombres, mouvements ou synchronisation inhabituels comme indices possibles. Ils restent utiles pour un premier tri rapide.
Mais leur absence ne confirme pas l'authenticité. Les générateurs ont progressé et des photos réelles traitées par HDR, débruitage ou forte compression peuvent elles-mêmes paraître artificielles.
Workflow pratique pour vérifier une image
Quand un remboursement, une décision métier ou un litige dépend du résultat, une procédure reproductible vaut mieux qu'une intuition visuelle.
- Préserver le fichier le plus original possible et ne pas le réenregistrer avant analyse.
- Calculer SHA-256 et noter format, dimensions et taille.
- Contrôler C2PA/Content Credentials, EXIF, XMP et traces logicielles.
- Examiner structure du fichier et anomalies locales de pixels ou de compression.
- Utiliser plusieurs détecteurs AI/deepfake indépendants.
- Comparer les résultats avec la source, la date, les autres images et le contexte du dossier.
- Exprimer la conclusion comme un niveau de risque et un ensemble d'indices, pas comme une affirmation infaillible sur l'intention de l'auteur.
Une bonne forensic ne cherche pas à prouver l'IA à tout prix. Elle sépare les signaux solides de ce que le fichier ne permet tout simplement pas d'établir.
Que signifient 20/100, 60/100 ou 90/100 ?
Un score n'est utile que si sa composition est visible. 20/100 obtenu avec six couches concordantes est différent de 20/100 produit par un seul classificateur. Un score élevé issu d'une provenance directe n'a pas non plus le même poids qu'un chiffre élevé provenant d'un détecteur isolé.
Un bon rapport montre score agrégé, résultats source, disponibilité des couches, métadonnées, limites techniques et principaux indices. Il peut soutenir une décision sans établir à lui seul auteur, intention ou responsabilité juridique.