Images générées par IA : qui pose un filigrane, et qui peut le vérifier ?

Presque tous les grands laboratoires d'IA marquent désormais les images qu'ils génèrent. Chacun le fait à sa manière, et la vérification reste éclatée : OpenAI ouvre une API aux limites très basses, Google et Meta ne proposent qu'un outil web, et beaucoup de générateurs ne laissent aucune trace. Pour qui contrôle des pièces justificatives, la question pratique est simple : quand une image ou un document généré par IA arrive dans un dossier, qu'est ce qu'on peut lire, et qu'est ce que ça prouve ?

Les filigranes IA en un coup d'œil

Le tableau résume, éditeur par éditeur, ce que le fichier livré contient et qui peut le vérifier. État au 8 novembre 2026, d'après notre relevé des images livrées par les API et la documentation publique de chaque laboratoire.

oui partiel ou limité non. « C2PA reconnu » : signature valide d'un signataire présent dans les listes de confiance C2PA. Partiel : signature valide hors listes, auto signée ou mal formée.

Deux familles de marqueurs

Les métadonnées dans le fichier

Le fichier déclare son origine dans des blocs ajoutés autour de l'image. Le C2PA, ou Content Credentials, est un manifeste signé numériquement par l'outil qui a créé ou modifié l'image : il dit quel outil, quelle action, et quand. Le champ IPTC « trainedAlgorithmicMedia » déclare une image générée, sans signature. L'étiquette chinoise TC260 est un marquage XMP imposé en Chine depuis le 1er septembre 2025.

Ces marqueurs sont lisibles par n'importe quel outil. Ils disparaissent à la moindre capture d'écran, au passage par une messagerie ou à un simple réenregistrement.

Le filigrane invisible dans les pixels

Un signal imperceptible est mêlé à l'image elle même. Il survit à un réenregistrement et parfois à une légère retouche. Les principaux sont SynthID chez Google, adopté par OpenAI, Content Seal chez Meta, le filigrane d'Amazon Titan et Nova Canvas, et la bibliothèque libre invisible-watermark livrée avec le code de Stable Diffusion.

Chaque filigrane ne se lit qu'avec la clé de son propriétaire. Seul celui de Stable Diffusion se lit par tous, et c'est aussi le plus fragile.

Qui peut vérifier, et comment ?

OpenAI est le seul à ouvrir une API de vérification utilisable. Elle est gratuite et lit le C2PA et le SynthID d'OpenAI, et seulement eux. Lors de notre test du 6 octobre 2026 sur 15 images, elle plafonnait à environ 20 appels par heure. Un outil public, openai.com/verify, est en préversion. Le SynthID est posé depuis mai 2026, sauf sur gpt-image-1 et ses dérivés.

Google vérifie seulement chez lui. SynthID se contrôle dans l'app Gemini et sur le portail SynthID Detector, ouvert à tous en octobre 2026 selon la presse. Une API pour les entreprises est évoquée, sans confirmation officielle à ce jour.

Meta aussi. Le Content Seal, propriétaire depuis juillet 2026, se contrôle uniquement sur meta.ai/identification. Les outils libres publiés par Meta ne lisent pas ce filigrane, et les images Muse Image ne portent qu'un champ IPTC non signé.

Amazon propose une API, DetectGeneratedContent, en préversion dans Bedrock, limitée aux images de ses propres modèles.

Ailleurs, on lit ce que le fichier déclare. Black Forest Labs, ByteDance (Seedream) et Recraft signent en C2PA avec un certificat valide, mais absent des listes de confiance. xAI signe avec un certificat qu'il a créé lui même, marqué « LOCAL USE ONLY ». Microsoft déclare un filigrane, mais livre un manifeste mal formé. Alibaba pose l'étiquette TC260 sur ses images Qwen. Midjourney ne publie ni C2PA ni filigrane connu.

Notre relevé : 37 modèles, 428 fichiers

Pour constituer notre jeu d'entraînement, nous avons fait retoucher des milliers de tickets de caisse par les générateurs disponibles sur OpenRouter. Nous avons repris 12 sorties brutes par modèle, telles que livrées par l'API, et lu leurs métadonnées avec le test d'images IA de Koncile. La signature C2PA a été vérifiée avec le SDK officiel et les listes de confiance de contentcredentials.org.

Les résultats sont nets. Les modèles américains les plus utilisés signent tous leurs images, mais seuls OpenAI et Google le font avec un certificat reconnu. Dix modèles sur 37, chez quatre éditeurs, livrent un fichier sans aucune déclaration. Tencent ne pose pas l'étiquette chinoise dans les fichiers livrés par OpenRouter, alors qu'Alibaba la pose sur chaque image.

Ce que chaque marqueur prouve, et ce qui l'efface

• C2PA reconnu. L'outil signataire a créé ou modifié l'image, et une modification après la signature se voit, car le contrôle d'intégrité échoue. Il disparaît avec une capture d'écran, un réenregistrement, la plupart des messageries et réseaux sociaux.
• C2PA hors listes ou auto signé. Une déclaration intacte, sans garant reconnu pour le signataire. Mêmes faiblesses.
• IPTC et étiquette TC260. Une simple déclaration, modifiable par n'importe quel éditeur de métadonnées.
• SynthID. L'image sort d'un modèle du laboratoire. Dans notre test, une copie ChatGPT réenregistrée sans métadonnées a encore été détectée. Un recadrage fort ou un recollage sur un autre fond peut l'effacer.
• Content Seal. L'image a été générée ou modifiée par Meta AI. Reuters a vu 55 % des images non reconnues après un simple recadrage.
• invisible-watermark. L'image sort du code de référence de Stable Diffusion. Un JPEG à qualité 90 suffit à l'effacer : sur nos tickets photographiés, environ deux sur trois l'avaient déjà perdu.

La loi pousse vers le double marquage

Union européenne. L'article 50 de l'AI Act oblige les fournisseurs de systèmes génératifs à marquer leurs contenus de façon lisible par une machine. L'obligation s'applique depuis le 2 août 2026. Un report au 2 décembre 2026 pour les systèmes déjà sur le marché est évoqué dans le paquet omnibus, sans être confirmé. Le code de pratique final, publié le 10 juin 2026, recommande deux couches : des métadonnées signées, et un filigrane imperceptible qui prend le relais quand les métadonnées disparaissent. Le code est volontaire, et le signer vaut présomption de conformité.

Chine. Depuis le 1er septembre 2025, les mesures de la CAC et la norme GB 45438-2025 imposent une étiquette implicite dans les métadonnées de tout contenu généré. C'est le marquage TC260 que nous retrouvons sur chaque image Qwen.

Les deux textes visent ceux qui fabriquent les modèles. Un modèle libre lancé sur un ordinateur personnel échappe à tout marquage.

Ce que ça change pour détecter un faux document

• Lire les marqueurs en premier. C'est rapide, gratuit, et décisif quand le marqueur est là. Koncile lit le C2PA, l'IPTC, l'EXIF et l'étiquette TC260 sur chaque image, y compris celles insérées dans un PDF scanné.
• Les vrais dossiers en contiennent. Sur 35 917 fichiers de notre base, 10 documents réels envoyés par des clients déclaraient une IA : six ChatGPT, un Google, deux XMP non signés et une retouche.
• Un fichier sans marqueur reste suspect. Les 9 700 faux du jeu public AIForge-Doc ont tous perdu leurs métadonnées à leur mise en ligne. C'est le cas courant d'un faux qui circule.
• Il faut donc regarder les pixels. Un détecteur entraîné reconnaît la façon dont les générateurs fabriquent une image, même quand toute déclaration a disparu. Il complète les marqueurs, sans les remplacer. Nous détaillons ces méthodes dans notre guide sur la fraude IA et dans notre revue des modèles open source de détection.
• Les API des laboratoires restent un appoint. Elles ne lisent que leur propre filigrane, et leurs limites de débit ne tiennent pas un flux de production.

Sources

• Mesures Koncile : passage du test d'images IA sur 35 917 fichiers et test de l'API Content Provenance d'OpenAI sur 15 images (6 octobre 2026), relevé de 428 sorties brutes de 37 modèles via OpenRouter (8 novembre 2026).
• OpenAI, C2PA and SynthID in OpenAI generated images
• Google, vérifier les images générées avec SynthID
• AWS, Titan Image Generator et API de détection du filigrane
• Fstoppers, analyse Reuters du recadrage
• Jones Day, code de pratique final sur le marquage des contenus générés
• Covington, règles chinoises d'étiquetage