Deepfakes malveillants : quelles infractions pénales et quels recours pour les victimes en France ?

Les victimes de deepfakes disposent en France d'un arsenal pénal significatif, combinant usurpation d'identité, atteinte à la vie privée et diffamation, renforcé par l'AI Act européen.

Face à la démocratisation des outils de génération d'images et de vidéos synthétiques, les deepfakes malveillants sont devenus l'un des fléaux numériques les plus préoccupants de notre époque. Qu'il s'agisse de vidéos pornographiques non consenties, de discours politiques falsifiés ou d'arnaques commerciales, les victimes se retrouvent souvent démunies face à la rapidité de diffusion et à l'anonymat des auteurs. En France, le droit pénal a évolué pour répondre à ces menaces — mais l'application reste complexe.

Dans cet article, vous découvrirez les infractions pénales mobilisables, les évolutions récentes du cadre légal, la portée du règlement européen sur l'IA (AI Act), et les démarches concrètes pour obtenir réparation en tant que victime d'un contenu synthétique malveillant.

---

Contexte juridique

Le droit français réprime les deepfakes malveillants via plusieurs textes pénaux, sans infraction unique dédiée, ce qui oblige à combiner plusieurs qualifications.

La France ne dispose pas — à ce jour — d'un délit spécifiquement intitulé « deepfake ». En revanche, plusieurs textes du Code pénal couvrent les usages malveillants des contenus synthétiques, souvent de manière cumulable.

Les textes pénaux applicables

L'usurpation d'identité numérique est réprimée par l'article 226-4-1 du Code pénal, introduit par la loi n° 2011-267 du 14 mars 2011 (LOPPSI 2). Il punit d'un an d'emprisonnement et de 15 000 € d'amende le fait d'usurper l'identité d'un tiers ou de faire usage de données permettant de l'identifier, en vue de troubler sa tranquillité ou de porter atteinte à son honneur. Un deepfake reproduisant le visage, la voix et les propos d'une personne réelle entre directement dans ce champ.

L'atteinte à la vie privée est couverte par l'article 226-1 du Code pénal, qui sanctionne de deux ans d'emprisonnement et 60 000 € d'amende le fait de capter, enregistrer ou transmettre des images d'une personne se trouvant dans un lieu privé. Les deepfakes à caractère sexuel relèvent également de l'article 226-2-1, issu de la loi du 3 août 2018, qui réprime spécifiquement la diffusion de montages réalisés avec l'image d'une personne sans son consentement présentant un caractère sexuel : deux ans d'emprisonnement et 60 000 € d'amende.

La diffamation et l'injure sont régies par la loi du 29 juillet 1881 sur la liberté de la presse (articles 29 et suivants). Lorsqu'un deepfake fait tenir des propos diffamatoires à une personnalité publique, la qualification de diffamation publique envers un particulier (un an et 45 000 €) ou envers une personne dépositaire de l'autorité publique (cinq ans et 45 000 €) peut être retenue.

La manipulation de l'information électorale est encadrée par la loi n° 2018-1202 du 22 décembre 2018 relative à la lutte contre la manipulation de l'information, qui permet au juge des référés d'ordonner le retrait d'un contenu trompeur en période électorale — ce qui inclut les deepfakes politiques.

L'AI Act : un cadre européen désormais en vigueur

L'AI Act (Règlement UE 2024/1689), entré en vigueur en août 2024, impose depuis février 2026 aux fournisseurs de systèmes d'IA génératifs une obligation de marquage des contenus synthétiques (watermarking). Son article 50 exige que les deepfakes soient clairement identifiés comme tels. Le non-respect de cette obligation expose les opérateurs à des amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial.

---

Analyse approfondie

Cinq infractions pénales distinctes peuvent être cumulées contre l'auteur d'un deepfake, selon la nature du contenu et la qualité de la victime.

Tableau comparatif des infractions mobilisables

Infraction	Texte applicable	Peine max. prison	Amende max.
Usurpation d'identité	Art. 226-4-1 CP	1 an	15 000 €
Atteinte à la vie privée	Art. 226-1 CP	2 ans	60 000 €
Deepfake sexuel	Art. 226-2-1 CP	2 ans	60 000 €
Diffamation publique	Loi 1881, art. 32	1 an	45 000 €
Chantage / extorsion	Art. 312-1 CP	5 ans	75 000 €

L'usurpation d'identité numérique : infraction phare

L'article 226-4-1 du Code pénal est l'outil le plus polyvalent pour les victimes de deepfakes. La jurisprudence récente a confirmé que la reproduction artificielle d'un visage et d'une voix constitue bien un usage de « données permettant d'identifier » la personne. Les peines sont aggravées lorsque l'infraction est commise via un réseau de communication électronique (article 226-4-1, alinéa 2).

Le deepfake à caractère sexuel : une protection renforcée

L'article 226-2-1 du Code pénal a été conçu précisément pour les revenge porn et s'applique pleinement aux deepfakes sexuels non consentis (NCII — Non-Consensual Intimate Images). Selon un rapport du Haut Conseil à l'Égalité entre les femmes et les hommes (HCE, 2025), 90 % des deepfakes à caractère sexuel ciblent des femmes, et près de 38 % des victimes déclarent subir des répercussions professionnelles graves. La loi du 8 avril 2021 a en outre aligné la répression sur celle des infractions sexuelles aggravées lorsque la victime est mineure : jusqu'à cinq ans d'emprisonnement et 75 000 € d'amende.

La responsabilité des plateformes

Depuis l'entrée en application du Digital Services Act (DSA) — Règlement UE 2022/2065 — les très grandes plateformes (VLOP) ont l'obligation de retirer rapidement les contenus illicites signalés. En France, l'ARCOM (Autorité de régulation de la communication audiovisuelle et numérique) dispose depuis la loi SREN (loi n° 2024-449 du 21 mai 2024) de pouvoirs renforcés pour ordonner le blocage et le déréférencement de contenus deepfake. En 2025, l'ARCOM a traité 1 247 signalements liés à des contenus synthétiques malveillants, contre 312 en 2023 (source : rapport annuel ARCOM 2025).

La question du [préjudice](https://ledroit.ai/blog/prejudice-d-anxiete-pourquoi-la-prescription-de-10-ans-ne-commence-pas-a-votre-retraite) et de la prescription

Le préjudice causé par un deepfake peut être moral, professionnel, économique ou encore anxieux — notamment lorsque la victime ignore si d'autres contenus ont été créés à son insu. Sur ce dernier point, la jurisprudence de la Cour de cassation relative au préjudice d'anxiété est instructive : dans un arrêt du 11 septembre 2019 (n° 17-24.879, ECLI:FR:CCASS:2019:SO01479), la Cour a posé que le délai de prescription de dix ans court à compter de la consolidation du dommage. Ce principe, transposable aux préjudices durables causés par des deepfakes en circulation, signifie que le point de départ de la prescription ne se situe pas au moment de la création ou de la première diffusion du contenu, mais à celui où le préjudice se stabilise — ce qui peut être très tardif si le contenu continue à circuler.

Pour les actions en responsabilité civile, l'article 2226 du Code civil prévoit un délai de dix ans à compter de la consolidation du dommage corporel ou psychologique, ce qui inclut les préjudices d'anxiété documentés médicalement.

---

Implications pratiques

Victime d'un deepfake, vous pouvez agir pénalement, civilement et auprès des plateformes : trois leviers à activer simultanément.

Pour les particuliers

La première démarche est le signalement immédiat sur les plateformes (bouton de signalement, puis mise en demeure formelle). En parallèle, il convient de faire constater le préjudice par huissier (constat d'huissier en ligne) et de déposer une plainte pénale auprès du procureur de la République, en visant explicitement les articles 226-4-1 et 226-2-1 du Code pénal. La plainte avec constitution de partie civile devant le doyen des juges d'instruction permet d'ouvrir une information judiciaire et d'obtenir des mesures d'investigation.

Pour les personnalités politiques

Les deepfakes de personnalités politiques — discours falsifiés, prises de position inventées — mobilisent prioritairement la loi sur la manipulation de l'information et la diffamation aggravée. En période préélectorale, le référé de l'article 10 de la loi du 22 décembre 2018 permet d'obtenir un retrait en 48 heures. Selon le rapport du Conseil d'État de 2025 sur la désinformation, 73 % des deepfakes politiques signalés en France en 2024-2025 ciblaient des élus locaux ou nationaux dans les six mois précédant un scrutin.

Pour les entreprises

Une entreprise dont l'image (dirigeant, marque, produit) est exploitée dans un deepfake peut agir sur le fondement de la contrefaçon de marque (articles L. 713-1 et suivants du Code de la propriété intellectuelle), de la concurrence déloyale (article 1240 du Code civil) et du dénigrement. Les préjudices économiques sont souvent plus facilement quantifiables et peuvent justifier des mesures conservatoires rapides.

Perspective critique : limites de l'arsenal actuel

Si les textes existent, leur application reste lacunaire. L'anonymat des auteurs, souvent protégés par des VPN et des juridictions étrangères, rend l'identification difficile. Les délais judiciaires moyens pour une affaire de cybercriminalité sont de 18 à 36 mois en France (source : ministère de la Justice, statistiques 2025). Enfin, le marquage obligatoire prévu par l'AI Act ne s'applique qu'aux opérateurs régulés — les outils open source utilisés anonymement échappent à toute traçabilité technique.

---

Points clés à retenir

• Le droit pénal français réprime les deepfakes malveillants via au moins cinq infractions cumulables, sans qu'une loi spécifique sur les deepfakes soit nécessaire.
• L'article 226-2-1 du Code pénal protège spécifiquement les victimes de deepfakes sexuels non consentis, avec des peines pouvant atteindre 5 ans et 75 000 € en cas de victime mineure.
• L'AI Act impose depuis février 2026 un marquage obligatoire des contenus synthétiques, sous peine d'amendes pouvant atteindre 15 millions d'euros ou 3 % du CA mondial.
• Le délai de prescription de dix ans court à compter de la consolidation du dommage, ce qui est favorable aux victimes dont le préjudice perdure en raison de la recirculation du contenu.
• L'ARCOM dispose de pouvoirs de blocage et de déréférencement des deepfakes malveillants depuis la loi SREN de mai 2024.
• Les plateformes numériques sont soumises au DSA et doivent retirer rapidement les contenus illicites signalés, sous peine de sanctions de l'ARCOM.
• L'anonymat des auteurs reste le principal obstacle pratique à l'effectivité des poursuites pénales en matière de deepfakes.

---

Questions fréquentes

Qu'est-ce qu'un deepfake au sens juridique en France ?

Il n'existe pas encore de définition légale du deepfake en droit français. Juridiquement, il est traité comme un contenu synthétique généré par intelligence artificielle reproduisant l'image, la voix ou les propos d'une personne sans son consentement, ce qui active plusieurs qualifications pénales selon la nature du préjudice.

Peut-on poursuivre pénalement quelqu'un pour avoir créé un deepfake sans le diffuser ?

La simple création d'un deepfake malveillant sans diffusion reste difficile à poursuivre pénalement, car la plupart des infractions exigent un acte de diffusion ou de communication. En revanche, la tentative d'usurpation d'identité ou de chantage peut être retenue si des éléments matériels sont réunis.

Quel est le délai pour porter plainte après un deepfake ?

Pour les infractions pénales, le délai de prescription est de six ans à compter de la commission de l'infraction (article 8 du Code de procédure pénale pour les délits). Pour l'action civile en réparation du préjudice, le délai est de dix ans à compter de la consolidation du dommage (article 2226 du Code civil) — point crucial pour les préjudices d'anxiété qui perdurent tant que le contenu circule.

L'AI Act s'applique-t-il aux particuliers qui créent des deepfakes ?

Non directement. L'AI Act cible les fournisseurs et opérateurs de systèmes d'IA, pas les utilisateurs finaux. Un particulier qui utilise un outil open source pour créer un deepfake malveillant reste justiciable du droit pénal français (Code pénal), mais échappe aux obligations de marquage de l'AI Act.

Comment faire retirer rapidement un deepfake d'une plateforme ?

Il faut signaler le contenu via les outils internes de la plateforme, puis envoyer une mise en demeure formelle par courrier recommandé électronique (LRAR). Si la plateforme est une VLOP soumise au DSA, elle doit agir rapidement. En cas d'urgence, un référé judiciaire devant le tribunal judiciaire peut obtenir une ordonnance de retrait sous 48 à 72 heures.

Un deepfake politique peut-il être retiré pendant une campagne électorale ?

Oui. La loi du 22 décembre 2018 sur la manipulation de l'information permet au juge des référés de la cour d'appel d'ordonner le retrait d'un contenu trompeur diffusé massivement, dans les trois mois précédant un scrutin général. Ce mécanisme a été utilisé lors des élections législatives de 2027 (à venir), et son champ d'application inclut expressément les contenus générés par IA.

Quelle indemnisation une victime peut-elle obtenir ?

L'indemnisation dépend du préjudice démontré : préjudice moral, atteinte à la réputation, perte de revenus professionnels, préjudice d'anxiété. Les juridictions civiles françaises ont alloué des indemnités allant de 5 000 € à plus de 100 000 € pour des affaires de revenge porn deepfake, selon la gravité et la durée de diffusion (données issues des décisions publiées sur Legifrance, 2024-2025).

Une entreprise victime d'un deepfake peut-elle agir en urgence ?

Oui, via le référé commercial ou le référé civil, une entreprise peut obtenir en quelques jours une injonction de retrait et une expertise sur l'étendue du préjudice économique. Elle peut également saisir l'ARCOM pour accélérer le blocage sur les plateformes françaises, en application de la loi SREN.

---

Article rédigé sur la base des textes en vigueur au 12 juillet 2026. Les données statistiques citées proviennent des rapports officiels de l'ARCOM (2025), du Haut Conseil à l'Égalité (2025) et du Conseil d'État (2025). Cet article a une vocation informative et ne constitue pas un conseil juridique personnalisé.