Lorsqu’un deepfake impliquant votre organisation apparaît, l’instinct est de le traiter comme une urgence technique : identifier le contenu faux, prouver qu’il l’est et passer à autre chose. Cet instinct est compréhensible. Cependant, dans la plupart des cas, c’est aussi insuffisante. Un plan de réponse aux deepfakes pour les équipes de communication n’est pas avant tout un outil de détection.
C’est un instrument de gestion de la confiance.
La vidéo ou l’audio synthétique est le déclencheur. Ce qui détermine le préjudice réel, c’est ce que votre organisation fait (et ne fait pas) dans les heures qui suivent. Il s’agit d’une décision de communication, et non de cybersécurité.
Cela importe particulièrement pour les institutions qui dépendent de leur crédibilité : ONG, organismes publics, organisations internationales, groupes de plaidoyer politique. Pour elles, un deepfake n’est pas seulement un problème de réputation. C’est une attaque directe contre l’infrastructure qui donne tout son sens à leur communication.
La plupart des contenus disponibles sur le web concernant les deepfakes se concentrent sur la détection : comment les identifier, quels outils utiliser, quels indices visuels rechercher. Cette approche a du sens pour les équipes informatiques et de sécurité. Pour les équipes de communication, elle passe à côté de l’essentiel.
Une étude publiée dans Frontiers in Psychology a révélé que l’exposition à des deepfakes mettant en scène des défaillances institutionnelles accroît la méfiance du public envers le gouvernement, même après que le contenu a été démenti. La rectification arrive trop tard, voire pas du tout, car l’impression émotionnelle s’est déjà formée. C’est là le véritable risque : non pas le contenu faux en soi, mais le vide de confiance qu’il engendre.
L’UNESCO l’a formulé avec précision en octobre 2025 : les deepfakes menacent la confiance institutionnelle à ses sources, non pas comme des incidents isolés, mais comme les symptômes d’une fragilité plus profonde dans la manière dont les organisations produisent, valident et partagent les connaissances. L’implication des équipes de communication est directe : la réponse ne peut pas être purement réactive. Elle doit s’ancrer dans ce en quoi le public a déjà confiance : l’historique de l’organisation, sa transparence et sa cohérence face à la pression.
Pour les institutions qui travaillent sur des sujets sensibles — politiques publiques, action humanitaire, plaidoyer, changement social —, un deepfake comporte un risque spécifique auquel les organisations commerciales sont moins exposées : il transforme en arme la crédibilité que l’organisation elle-même a construite. Une vidéo synthétique d’un PDG d’entreprise est préjudiciable, mais une vidéo synthétique d’un directeur humanitaire qui semble contredire les valeurs déclarées de l’organisation, ou d’un fonctionnaire qui semble soutenir une cause qu’il n’a jamais défendue, opère à un tout autre niveau.
Le préjudice ne dépend pas de la responsabilité juridique, mais du contrôle perçu. Les publics jugent les organisations avant tout sur leur capacité apparente à maîtriser la situation. Cette perception se forme dans les premières heures ; c’est précisément pourquoi un plan d’intervention importe davantage qu’un outil de détection.
La manière la plus pratique d’élaborer un plan d’intervention face aux deepfakes consiste à suivre une chronologie (différentes décisions correspondent à différentes phases), et c’est en les confondant sous la pression que la plupart des interventions échouent.
Selon des recherches sur la préparation organisationnelle, plus de 80 % des organisations ne disposent d’aucun protocole formel pour gérer les incidents liés aux deepfakes. Cette absence ne signifie pas qu’on ne fait rien : elle signifie que l’improvisation comble le vide. Et l’improvisation, sous la pression temporelle d’un contenu synthétique en cours de diffusion, tend à produire les trois erreurs les plus courantes : répondre trop vite, en dire trop, ou le dire par la mauvaise voix.
Les deux premières heures ne sont pas consacrées à la communication publique. Elles servent à clarifier la situation en interne.
Vérifiez avant de répondre. Confirmer que le contenu est bien synthétique avant d’agir n’est pas de la prudence bureaucratique : c’est la base d’une réponse crédible. Une rectification qui revient sur ses propos, parce que le contenu s’est avéré réellement préjudiciable, est plus préjudiciable qu’un premier communiqué tardif.
Maîtrisez le récit interne. Désignez un point de coordination unique. Le fait que plusieurs personnes s’expriment en interne avec des interprétations différentes de la situation revient à transmettre au public des messages contradictoires.
Décidez qui s’exprime et qui ne s’exprime pas. Tous les deepfakes ne nécessitent pas l’intervention du plus haut responsable de l’organisation. Parfois, cette escalade amplifie l’incident et rend le lieu de résolution de l’incident plus difficile. La décision de savoir qui s’exprime et à quel niveau un choix par défaut.
Le premier communiqué public n’a pas besoin d’être exhaustif. Il doit être précis, serein et cohérent sur tous les canaux utilisés par votre organisation. Un message qui apparaît différemment sur le site web, sur les réseaux sociaux et dans les réponses aux médias est le signe d’un manque d’organisation, ce qui nuit en soi à la crédibilité.
Trois éléments que tout premier communiqué doit toujours inclure : ce que vous savez (uniquement des faits confirmés), ce que vous faites (prochaines étapes concrètes, pas de vagues rassurances) et où trouver des informations actualisées (une source unique de vérité vers laquelle votre public peut se tourner).
Ce qu’il ne doit pas inclure : des spéculations sur l’identité du responsable, des explications techniques sur le fonctionnement des deepfakes, ou un langage qui amplifie l’incident.
Au bout de sept jours, la crise immédiate est peut-être passée, mais le travail de rétablissement de la confiance n’est pas terminé. Les obligations de transparence du règlement européen sur l’IA, qui entrera en vigueur en août 2026, prévoient que les organisations concernées par un contenu synthétique sont tenues de déclarer. Au-delà de la conformité réglementaire, il existe une raison plus fondamentale de boucler la boucle : le public se souvient si les organisations ont expliqué ce qui s’est passé et ce qu’elles ont changé en conséquence.
Un bref compte rendu public — non pas une longue analyse rétrospective, mais une déclaration claire de ce qui s’est passé, de la manière dont l’organisation a réagi et des mesures qu’elle a mises en place — fait la différence entre un incident qui sape la confiance et un incident qui, s’il est bien géré, peut la renforcer.
L’expérience en matière de communication institutionnelle de crise (qui ne concerne pas spécifiquement les deepfakes, mais s’y applique directement) révèle trois erreurs récurrentes qui amplifient systématiquement les dégâts lieu de les contenir.
L’instinct de réfuter en détail est compréhensible. Dans la plupart des cas, il est également contre-productif. Répéter le contenu faux, même pour le démentir, en augmente la portée. Le cadre qui fonctionne n’est pas « cette vidéo est fausse parce que X, Y et Z », mais une affirmation claire de ce qui est vrai, étayée par des preuves crédibles, sans donner au contenu synthétique plus de visibilité qu’il n’en a déjà.
Changer la personne qui s’exprime au nom de l’organisation pendant un incident en cours est le signe d’un désaccord interne ou d’une perte de contrôle, quelle que soit la raison réelle. Le public interprète cela comme un signe d’instabilité. Si le plan d’intervention ne désigne pas clairement un porte-parole avant qu’un incident ne se produise, cette erreur est presque inévitable.
En l’absence d’une voix institutionnelle claire, d’autres voix occupent le vide : les médias, les critiques, le contenu synthétique lui-même. Le silence n’est pas neutre ; c’est un abandon du récit. La question n’est pas de savoir s’il faut communiquer, mais comment le faire avec précision plutôt que dans la précipitation.
Seuls 32 % des dirigeants estiment que leur organisation est prête à gérer un incident lié à un deepfake. Ce chiffre s’inscrit dans une tendance plus large : les organisations planifient les risques financiers, réputationnels et opérationnels, mais traitent les médias synthétiques comme un problème qui ne les concerne pas : une question de cybersécurité, un sujet informatique, une question de modération des plateformes.
Ce n’est pas le cas. Il s’agit d’une question de communication ayant des conséquences institutionnelles.
Qui a le pouvoir de déclencher le plan d’intervention ? Pas celui qui rédige le communiqué, mais celui qui a l’autorité organisationnelle pour dire : « Nous sommes confrontés à un incident de deepfake et voici notre réponse. ». Cette autorité doit être désignée à l’avance, et non négociée sous la pression.
Quel est votre modèle de premier communiqué préapprouvé ? Pas le message définitif, mais la structure et le ton qui suivront le tout premier communiqué. Un modèle révisé dans le calme est plus cohérent qu’un modèle rédigé dans les 90 premières minutes d’un incident en cours.
Comment protégez-vous les membres de votre équipe qui apparaissent dans le deepfake ? Si le deepfake concerne un membre du personnel ou un partenaire, et non l’organisation dans son ensemble, le plan de réponse doit inclure un engagement clair envers cette personne : quel soutien elle reçoit, comment sa sécurité est priorisée et comment la réponse publique de l’organisation ne risque pas d’accroître involontairement son exposition. Le cadre de transparence du règlement européen sur l’IA commence à établir des normes en la matière, mais l’engagement de l’organisation doit précéder l’obligation réglementaire.
Le paysage technologique des deepfakes n’est pas stable. Rien qu’au premier trimestre 2025, 179 incidents de deepfakes ont été enregistrés, dépassant le total de toute l’année 2024. Les outils qui, il y a deux ans, nécessitaient une expertise technique sont désormais accessibles à toute personne disposant d’un téléphone portable. Un plan d’intervention conçu pour les conditions de 2023 ne convient pas à la réalité de 2026.
La révision annuelle n’est pas une formalité administrative. C’est le minimum requis pour maintenir le plan opérationnel.
Un plan de réponse aux deepfakes n’est pas un document de gestion de crise qui reste dans un dossier partagé jusqu’à ce qu’on en ait besoin. C’est la preuve tangible qu’une institution a sérieusement réfléchi au fonctionnement de la confiance et à ce qu’il faut pour la protéger lorsqu’elle est la cible d’une attaque délibérée.
Les organisations qui gèrent bien ces incidents ne sont pas celles qui disposent des outils de détection les plus sophistiqués. Ce sont celles qui ont déjà répondu aux questions difficiles avant que la pression ne s’exerce : qui s’exprime, que dit-on, comment traite-t-on les personnes concernées et que communique-t-on au public.
Si vous travaillez sur l’un de ces aspects au sein de votre organisation — la coordination interne, la question du porte-parole ou simplement par où commencer — je serais ravi de savoir où vous en êtes sur LinkedIn. Je vous lis.
L’AI Act pour les équipes de communication va bien au-delà de l’apprentissage de nouveaux outils. Ce guide présente les obligations et leur traduction en règles claires d’usage, de relecture et de transparence.
Expliquer une décision publique ne consiste pas à paraître irréprochable. Il s’agit de présenter les critères, les limites et les retombées afin qu’elle soit perçue comme raisonnable et responsable.
Une campagne peut porter un message responsable tout en étant diffusée par une expérience qui met la pression. La confiance aussi se conçoit.