Resume executif
Le 30 juin 2026, l’Union interparlementaire (UIP), l’organisation mondiale des parlements nationaux basee a Geneve, a lance un appel formel aux legislateurs du monde entier. Son message: agir sans attendre contre les deepfakes sexuels generes par intelligence artificielle. Un deepfake est une image, une video ou un son fabrique par une IA pour faire dire ou faire faire a une personne quelque chose qui n’a jamais eu lieu. Les deepfakes sexuels sont ceux qui simulent une personne dans des scenes intimes ou pornographiques, sans son consentement.
Pour un dirigeant, ce n’est pas un debat de societe lointain. C’est un signal reglementaire. Il annonce une vague d’obligations nouvelles sur les usages abusifs de l’IA. Il concerne la conformite, la gestion de crise et la responsabilite des conseils d’administration. Ma conviction est simple: les organisations qui traitent ce risque comme une question de gouvernance, et non comme un simple probleme de moderation technique, prendront une longueur d’avance. Les autres decouvriront le cout d’un retard, en argent et en reputation.
Constat
Le 30 juin 2026, l’UIP a publie un appel demandant aux parlements d’agir contre les deepfakes sexuels generes par l’IA. L’organisation rassemble les parlements de plus de 180 pays. Quand elle prend position, elle ne cree pas de loi. Mais elle fixe une direction. Elle indique aux legislateurs nationaux le sujet sur lequel ils devront legiferer.
Et alors ? Concretement, cela veut dire qu’une norme se prepare. Un appel de l’UIP precede souvent une serie de lois nationales, adoptees pays par pays, dans les mois et les annees qui suivent. Pour une entreprise qui opere dans plusieurs pays, cela annonce un patchwork de regles a venir, avec des definitions et des sanctions qui varieront d’un Etat a l’autre.
Le contexte technique donne de l’ampleur a ce constat. La production de contenus par IA n’a jamais ete aussi rapide ni aussi accessible. Le code lui-meme se genere plus vite que jamais, et l’enjeu se deplace desormais vers la verification de ce qui est produit. Autrement dit, fabriquer un faux est devenu trivial. Prouver qu’il s’agit d’un faux, et le retirer a temps, reste difficile.
La barriere a l’entree a cede. La valeur se deplace vers la connaissance et la maitrise du contexte. Ce constat, souvent lu comme une bonne nouvelle economique, a un revers: ce qui est facile a produire est aussi facile a detourner. La meme technologie qui accelere une equipe marketing permet a un individu malveillant de fabriquer, en quelques minutes, une image compromettante d’un cadre, d’un client ou d’un elu.
Analyse
Cet appel de l’UIP doit se lire a deux niveaux. Un pour les gouvernements. Un pour les entreprises. Les deux sont lies.
Pour les gouvernements et les institutions, l’appel s’inscrit dans un mouvement de fond. Depuis plusieurs annees, la regulation de l’IA passe d’une logique de principes generaux a une logique d’usages precis. L’Europe l’a fait avec son reglement sur l’intelligence artificielle (AI Act), qui classe les usages selon leur niveau de risque. Les deepfakes sexuels non consentis appartiennent clairement a la categorie des usages abusifs, ceux qui causent un dommage direct a une personne. En choisissant ce sujet, l’UIP pousse les parlements a legiferer non plus sur l’IA en general, mais sur un abus nomme, documente, aux victimes identifiables. C’est un tournant. On passe du cadre abstrait a l’interdiction concrete.
Il y a un precedent utile. La lutte contre les images d’abus sur mineurs a montre comment une norme morale forte finit par imposer des obligations techniques aux plateformes: detection, signalement, retrait rapide, cooperation avec les autorites. Les deepfakes sexuels suivent la meme trajectoire. Ce qui etait un vide juridique devient une zone d’obligations. Les gouvernements du Sud global, souvent depourvus de cadres nationaux, regarderont ces modeles pour legiferer a leur tour. Geneve, ou siege l’UIP, joue ici son role habituel: un lieu ou se fabrique la convergence des normes.
Pour les entreprises, la lecture est differente mais tout aussi directe. Trois risques se combinent. Le premier est un risque de conformite. Bientot, ne pas disposer de procedures de signalement et de retrait pourra constituer une faute. Le deuxieme est un risque reputationnel et de crise. Une entreprise peut se retrouver victime, si un dirigeant est cible par un faux contenu. Elle peut aussi se retrouver vecteur, si ses outils, ses plateformes ou ses infrastructures servent a diffuser ces contenus. Le troisieme est un risque de responsabilite des dirigeants. Un conseil d’administration qui ignore un risque connu s’expose, en cas de dommage, a une mise en cause.
Ce dernier point merite une attention particuliere. La gouvernance des entreprises evolue vite. Les assemblees generales de 2026 marquent deja une nouvelle approche de la creation de valeur, ou les sujets de gouvernance numerique montent au niveau du conseil. Le traitement des abus lies a l’IA fait desormais partie de ce que les actionnaires et les regulateurs attendent d’un conseil serieux. On ne peut plus dire que c’est un sujet technique reserve aux equipes informatiques.
Un dernier element me parait sous-estime. La facilite de fabrication d’un faux credible change la nature du risque informationnel. Il devient possible de fabriquer de fausses conclusions a partir de vraies informations. Un deepfake sexuel n’est pas seulement une atteinte a une personne. C’est aussi une arme de destabilisation. Il peut viser une candidate a une election, une dirigeante en pleine negociation, une porte-parole avant une annonce sensible. Le dommage individuel se double d’un dommage strategique.
Implications politiques
Pour l’action publique, l’appel de l’UIP appelle des choix concrets. Les parlements devront definir l’infraction. Qu’est-ce qu’un deepfake sexuel non consenti au sens de la loi ? Qui est responsable: le fabricant, le diffuseur, la plateforme, le fournisseur de l’outil d’IA ? Quelles sanctions, quels delais de retrait, quels droits pour les victimes ? Ces questions ne sont pas techniques. Elles sont politiques. Elles engagent l’equilibre entre protection des personnes et liberte d’expression.
Et alors ? Pour les regulateurs, l’enjeu est la coherence. Un patchwork de lois nationales incoherentes profitera aux acteurs malveillants, qui operent sans frontieres. Les gouvernements ont interet a s’aligner sur des standards communs, portes par les enceintes multilaterales comme l’UIP, l’ONU ou l’OCDE. C’est la que Geneve garde une valeur strategique: coordonner plutot que fragmenter.
Pour les organisations, les implications sont immediates, avant meme l’adoption des lois. La direction de la conformite doit anticiper des obligations de detection et de signalement. Les politiques internes d’usage de l’IA doivent interdire explicitement la fabrication de contenus abusifs, avec des sanctions claires. Les equipes de moderation, quand elles existent, doivent disposer de procedures de retrait rapide et de canaux vers les autorites. Et la gestion de crise doit integrer un scenario nouveau: que faire dans les premieres heures si un dirigeant, un salarie ou un client est cible.
Il y a aussi une implication economique. Le marche de la verification et de l’authentification des contenus va croitre. Les grands acteurs du cloud investissent massivement dans l’accompagnement de leurs clients, comme le montre l’engagement d’AWS d’investir un milliard de dollars pour integrer des ingenieurs IA chez ses clients. Cette dynamique va nourrir une offre de services de detection, de tracabilite et de preuve d’authenticite. Les entreprises devront choisir entre subir le risque et l’outiller.
Recommandations
Voici les actions que je recommande d’engager, par ordre de priorite.
- Inscrire le sujet a l’ordre du jour du conseil d’administration. Traiter les deepfakes sexuels et les abus de l’IA comme un risque de gouvernance, au meme titre que la cybersecurite. Nommer un responsable clairement identifie. Ne pas laisser ce sujet dans les seules mains techniques.
- Cartographier l’exposition. Determiner si votre organisation peut etre victime (dirigeants, marques, personnes exposees), vecteur (plateformes, outils, infrastructures) ou les deux. Cette cartographie oriente toutes les mesures suivantes.
- Mettre a jour la charte d’usage de l’IA. Interdire explicitement la fabrication et la diffusion de contenus sexuels non consentis. Prevoir des sanctions internes. Former les equipes qui manipulent des outils generatifs.
- Preparer un protocole de crise dedie. Definir a l’avance qui fait quoi dans les premieres heures si un contenu abusif visant votre organisation apparait. Prevoir les canaux de signalement aux plateformes et aux autorites. La vitesse de retrait est decisive.
- Investir dans la verification et la tracabilite. Evaluer les outils d’authentification de contenus et de detection de faux. La bataille se joue desormais sur la verification, pas sur la production.
- Suivre l’evolution legislative dans vos pays d’operation. L’appel de l’UIP annonce des lois nationales. Anticipez les definitions et les obligations plutot que de les subir. Un ecart de conformite entre pays est un risque a piloter.
- Pour les acteurs publics, viser la convergence. Legiferer en s’inspirant des standards communs plutot que de creer une regle isolee. Coordonner definitions, sanctions et delais de retrait avec les partenaires internationaux.
Le fond de l’affaire est simple. Ce que l’IA rend facile a fabriquer, elle le rend difficile a defaire. L’appel de l’UIP du 30 juin 2026 n’est pas un signal moral parmi d’autres. C’est le debut d’un cycle reglementaire. Les organisations lucides s’y prepareront maintenant, quand cela releve encore de l’anticipation, et non demain, quand cela relevera de la gestion de crise.