Watermark IA : quelles technologies ont été déployées, quels résultats, quelles conséquences

L'AI Act impose le marquage des contenus IA. Voici ce que SynthID et C2PA ont réellement déployé, ce que montrent les études, et les conséquences.

Depuis le 2 août 2026, marquer un contenu généré par IA n'est plus une bonne pratique optionnelle dans l'Union européenne : c'est une obligation légale assortie de sanctions pouvant atteindre 3 % du chiffre d'affaires mondial. Les grands fournisseurs — Google, OpenAI, Adobe, Meta, Microsoft — ont effectivement déployé des technologies de marquage à grande échelle. Mais les études indépendantes publiées en parallèle convergent vers une conclusion inconfortable pour les équipes conformité : aucune de ces technologies, seule, ne résiste durablement à un acteur déterminé à la contourner.

Cet article fait le point sur ce qui a été réellement mis en place, ce que montrent les résultats des tests indépendants, et ce que cela implique concrètement — pour les fournisseurs soumis à l'obligation, et pour tous ceux qui doivent juger de la fiabilité d'un contenu.

Pour le cadre légal complet, voir notre page dédiée aux obligations de transparence de l'article 50 et notre analyse de ce qui a changé le 2 août 2026. Cet article se concentre sur un angle différent : la technologie elle-même, ses résultats mesurés, et ses conséquences pratiques.

Trois choses différentes qu'on appelle « watermark »

La confusion la plus fréquente vient du fait que le mot « watermark » désigne en réalité trois mécanismes distincts, aux propriétés très différentes.

1. L'étiquette visible — un bandeau, une icône ou une légende affichant « Généré par IA ». Simple à comprendre pour un humain, mais elle n'est pas lisible par une machine et disparaît dès qu'une capture d'écran ou un recadrage l'exclut du cadre.
2. Le marquage invisible intégré au signal — un motif imperceptible tissé dans les pixels d'une image, les échantillons d'un fichier audio, ou la distribution statistique des tokens d'un texte généré. C'est le principe de SynthID (Google DeepMind). Il survit relativement bien à la compression et au changement de format, car il fait partie du contenu lui-même plutôt que d'être une donnée jointe.
3. Les métadonnées de provenance signées — un manifeste cryptographique attaché au fichier, documentant qui a créé le contenu, avec quel outil, et quelles modifications ont suivi. C'est l'approche du standard C2PA (Coalition for Content Provenance and Authenticity), commercialisé sous le nom Content Credentials.

L'article 50(2) de l'AI Act exige un « marquage lisible par machine », sans imposer de technologie précise — ce qui explique pourquoi le marché s'est orienté vers une combinaison des catégories 2 et 3 plutôt que vers une seule.

Ce qui a été réellement déployé en 2026

Le déploiement s'est nettement accéléré au cours de l'année écoulée, porté à la fois par l'échéance réglementaire européenne et par la pression concurrentielle entre grands fournisseurs.

Ce tableau illustre un point important : les principaux fournisseurs ne se contentent plus d'une seule technique. Le Code de bonnes pratiques sur la transparence des contenus générés par IA, dont la Commission a confirmé le caractère adéquat pour démontrer la conformité à l'article 50, recommande explicitement une approche multicouche — métadonnées C2PA et marquage invisible au niveau du pixel, capable de survivre à la compression, au recadrage et à la conversion de format. Le texte du Code reconnaît lui-même qu'aucune technique isolée ne répond simultanément aux quatre critères légaux d'efficacité, d'interopérabilité, de robustesse et de fiabilité — d'où la logique de superposition plutôt que de choix unique.

Ce que montrent les résultats

C'est là que le tableau se complique. Plusieurs séries d'études indépendantes, publiées en 2024 et 2025, ont testé la résistance réelle de ces mécanismes face à des tentatives délibérées de contournement — et les résultats nuancent fortement le discours des fournisseurs.

Les métadonnées C2PA sont structurellement fragiles. Elles ne sont pas ancrées dans le contenu visuel ou sonore lui-même : il suffit de les retirer pour faire disparaître toute trace de provenance. Or la plupart des grandes plateformes sociales suppriment par défaut les métadonnées des fichiers lors de l'upload — pour des raisons de poids de fichier et de confidentialité, pas pour contourner la réglementation. Concrètement, la chaîne de provenance se rompt au moment précis où le contenu atteint le plus grand nombre de personnes : au moment du partage.

Les watermarks invisibles résistent mieux, mais pas indéfiniment. Le principe de SynthID — intégrer le marquage dans le signal lui-même — le rend nettement plus robuste face à la compression, au changement de format ou à un recadrage simple que ne l'est un fichier de métadonnées. Mais des équipes de recherche ont démontré, à plusieurs reprises depuis 2024, qu'un watermark de ce type peut être dégradé sous le seuil de détection par des perturbations ciblées, ou en repassant simplement le contenu dans un autre modèle génératif pour le « régénérer » sans la marque d'origine.

Une étude de l'Université de Waterloo (Cybersecurity and Privacy Institute) résume bien la portée du problème : ses chercheurs ont montré que pratiquement n'importe quel watermark d'image IA peut être supprimé, sans que l'attaquant ait besoin de connaître la conception du watermark, ni même de savoir si l'image en porte un. La même équipe souligne qu'un acteur malveillant peut évader aussi bien la détection de deepfake que l'application de droits d'auteur simplement en faisant repasser le contenu par un modèle de diffusion.

Les fournisseurs eux-mêmes le reconnaissent. Un rapport de Microsoft sur l'intégrité des médias et l'authentification, publié en février 2026, admet explicitement qu'il n'est pas possible d'empêcher toute attaque, ni d'empêcher certaines plateformes de retirer les signaux de provenance lors du traitement des fichiers.

Une course technologique s'est installée en parallèle. À mesure que les grands fournisseurs élargissaient la couverture de leurs marquages en 2026, des outils publics — dépôts open source et services commerciaux — ont ajouté, en quelques semaines seulement, la prise en charge du retrait de ces mêmes marques. Ce délai extrêmement court entre déploiement d'un marquage et disponibilité d'un outil de contournement est révélateur : le watermarking n'est pas un mécanisme statique de protection, mais un terrain d'affrontement technique en évolution continue.

Les conséquences concrètes

Trois catégories d'acteurs sont directement affectées, et pas de la même manière.

Pour les acteurs malveillants, le marquage ne change presque rien. Un mécanisme volontaire — ou techniquement contournable — n'arrête pas quelqu'un déterminé à produire un deepfake pour de la désinformation électorale, une usurpation d'identité ou une fraude. Les travaux sur l'intégrité des élections soulignent depuis plusieurs cycles que les groupes qui produisent des deepfakes malveillants n'ont, par définition, aucune raison d'utiliser un outil qui les marque — et développeront ou emprunteront les moyens de retirer un marquage s'il venait à leur être imposé techniquement. C'est précisément l'argument qui justifie une obligation légale plutôt qu'une simple bonne pratique volontaire : elle déplace le risque juridique vers le fournisseur qui omet de marquer, même si elle ne stoppe pas techniquement un utilisateur malintentionné en aval.

Pour les entreprises de bonne foi, la conformité devient un exercice à la fois coûteux et sans garantie totale. L'article 50 impose une obligation de résultat — un marquage « efficace, fiable, robuste et interopérable » — alors même que le Code de bonnes pratiques reconnaît qu'aucune technologie actuelle ne coche toutes ces cases isolément. Concrètement, les fournisseurs soumis à l'obligation doivent superposer plusieurs couches techniques (C2PA + watermark invisible, a minima), documenter leur méthode, et s'exposer malgré tout à un risque de sanction en cas de contournement massif de leur marquage — un risque qu'ils ne maîtrisent pas entièrement puisqu'il dépend aussi du comportement des plateformes de diffusion en aval. Signer le Code de bonnes pratiques reste, à ce stade, la voie la plus documentée pour démontrer une conformité de bonne foi, sans constituer une immunité.

Pour les plateformes, les médias et les vérificateurs de faits, le marquage crée un risque de faux sentiment de sécurité. L'absence de marque ne prouve pas l'authenticité d'un contenu — elle peut simplement signifier que le marquage a été retiré, ou que le contenu provient d'un outil non conforme. Inversement, la présence d'un badge de provenance peut être prise pour une garantie de fiabilité alors que le mécanisme sous-jacent reste, par construction, contournable. Le vrai levier de fiabilité reste la vérification humaine et l'analyse contextuelle — le marquage technique est un indice complémentaire, pas une preuve.

La régulation elle-même semble en tirer les conséquences. Au-delà du 2 décembre 2026 — date à laquelle expire le délai transitoire pour le marquage lisible par machine des systèmes déjà commercialisés — le Code de bonnes pratiques envisage la mise en place d'une infrastructure d'interopérabilité de la détection, pour permettre aux différents outils de détection de reconnaître les marquages émis par des fournisseurs différents. Ce chantier, distinct du marquage lui-même, est un aveu implicite que la fiabilité du système ne peut pas reposer sur le watermarking seul, mais sur un écosystème de détection partagé — bien plus difficile à mettre en place que la technique de marquage elle-même.

Ce que cela signifie pour une entreprise soumise à l'article 50

• Ne pas confondre marquage visible et marquage lisible par machine. L'obligation légale porte sur le second ; un simple bandeau « généré par IA » à l'écran ne suffit pas à la satisfaire pour un système de génération à grande échelle.
• Documenter une approche multicouche, même imparfaite : C2PA pour la provenance déclarative, watermark invisible pour la résilience technique. C'est l'approche recommandée par le Code de bonnes pratiques, et la plus défendable face à une autorité de surveillance du marché.
• Ne pas présenter le marquage comme une garantie absolue dans sa communication publique — au risque de créer une exposition supplémentaire si le contournement est ensuite démontré publiquement.
• Suivre l'échéance du 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août 2026, et vérifier si son système entre dans le champ de la période transitoire ou doit déjà marquer ses sorties dès aujourd'hui.
• Vérifier son statut vis-à-vis du Code de bonnes pratiques : signataire ou non, et si non, documenter une méthode alternative défendable.

Notre checklist de conformité couvre l'ensemble des obligations, et le suivi des échéances AI Act permet de vérifier les dates applicables à votre situation. Le texte intégral de l'obligation figure à l'article 50 du règlement, et les sanctions applicables à l'article 99.

Sources

• Commission européenne — Code of Practice on Transparency of AI-generated Content
• OpenAI — Advancing content provenance for a safer, more transparent AI ecosystem
• Université de Waterloo, Cybersecurity and Privacy Institute — Watermarks offer no defense against deepfakes
• Coalition for Content Provenance and Authenticity — c2pa.org
• Google DeepMind — SynthID
• Regulation (EU) 2024/1689 — Article 50