Le marquage des contenus IA — watermarking expliqué simplement

Le problème qu'on essaie de résoudre

Une IA générative produit aujourd'hui du texte, des images, de l'audio et de la vidéo difficiles à distinguer d'un contenu humain. Le watermarking (marquage) consiste à injecter, dès la génération, un signal invisible qui permettra plus tard de répondre à une question simple : ce contenu a-t-il été généré par une IA ?

Mais entre le moment où un contenu est généré et le moment où quelqu'un cherche à le vérifier, il se passe presque toujours quelque chose : le texte est copié-collé et corrigé, l'image est recompressée par un réseau social, la photo est recadrée, la vidéo change de format, l'audio repasse par un micro. La vraie question technique n'est donc pas « peut-on marquer un contenu IA ? » — c'est « la marque survit-elle à tout ce qui lui arrive ensuite ? »

Deux familles de watermark, deux usages opposés

Avant même de parler d'IA, le watermarking numérique distingue deux familles aux objectifs contraires. Confondre les deux est l'erreur la plus fréquente sur ce sujet.

🧨 Watermark fragile

Détruit par la moindre modification.

Sert à détecter une falsification : si la marque a disparu à un endroit précis de l'image, c'est que cette zone a été retouchée.

Ce n'est pas un outil de traçabilité — c'est un outil d'authentification.

🛡️ Watermark robuste

Survit aux transformations normales (compression, resize, crop, changement de format).

Sert à la provenance et à la traçabilité : dire « ceci vient d'un générateur IA », même après un long voyage sur internet.

C'est cette famille qui nous intéresse ici — SynthID, AudioSeal, etc.

Marquer un texte : jouer sur le choix des mots

Un texte n'est pas un signal continu comme une image — il n'y a pas de « pixels » où cacher un motif. La seule ressource disponible, c'est la liberté de choix entre plusieurs mots qui conviendraient tous aussi bien.

Le principe fondateur (Kirchenbauer et al., 2023) fonctionne ainsi : à chaque mot que le modèle s'apprête à écrire, un calcul secret — basé sur les mots qui précèdent — partage tout le vocabulaire en deux listes, une liste verte et une liste rouge. Cette partition change à chaque mot. Le modèle est ensuite discrètement poussé à préférer les mots de la liste verte, sans jamais interdire les rouges — la phrase reste naturelle.

Une phrase générée, mot par mot

Le chat grimpe sur l'arbre

« grimpe » est tombé dans la liste rouge de son tour, mais il reste écrit normalement — le modèle n'interdit rien, il penche juste la balance. Un texte humain contient les mots verts et rouges à peu près au hasard. Un texte watermarké contient nettement plus de mots verts que le hasard ne le permettrait — un simple calcul statistique (un « z-score ») suffit à le détecter, sans avoir besoin d'interroger le modèle qui a écrit le texte.

SynthID-Text (Google DeepMind, publié dans Nature en 2024) va plus loin avec un mécanisme de « tournoi » : plusieurs mots candidats s'affrontent par élimination directe selon un score pseudo-aléatoire dérivé d'une clé secrète, et le gagnant du tournoi est le mot retenu. Déployé sur environ 20 millions de réponses réelles de Gemini, l'écart de qualité perçue par les utilisateurs s'est révélé statistiquement non significatif — marquer un texte ne le rend pas pire.

Pourquoi ce type de marque résiste à l'édition : chaque mot modifié ne retire qu'une petite part du signal statistique global. Corriger une faute ou reformuler une phrase fait légèrement baisser le score, mais sur un texte assez long, le score reste significatif. En revanche, une paraphrase complète ou une traduction change à la fois les mots et le contexte qui déterminait la liste verte/rouge — le lien est rompu partout à la fois, et le signal s'effondre. C'est la limite structurelle de cette approche : elle est robuste au bruit, pas au changement de formulation, parce que le signal, c'est la formulation elle-même.

Marquer une image : le cœur du sujet — résister au ré-encodage

Pour une image, une vidéo ou un son, le problème est inverse de celui du texte : il y a largement assez de place pour cacher un signal (des millions de pixels), mais ce signal doit survivre à des opérations destructrices — recompression JPEG, redimensionnement, recadrage, changement de format, capture d'écran.

La faute classique serait de cacher la marque directement dans les valeurs de pixels (les bits de poids faible, invisibles à l'œil). C'est exactement l'information que la compression JPEG jette en premier, puisque JPEG est lui-même conçu pour supprimer ce que l'œil ne perçoit pas. Un watermark placé là est détruit par la première recompression venue.

Trois techniques qui rendent un watermark d'image robuste

Domaine fréquentiel plutôt que pixels bruts — on insère le signal dans les composantes de fréquence que la compression préserve (basses et moyennes fréquences), pas dans celles qu'elle supprime. C'est la même logique que JPEG lui-même, retournée à l'avantage du watermark.

Redondance spatiale — le même signal est répété sur de nombreuses zones de l'image, à plusieurs échelles. Un recadrage ne supprime que les copies situées dans la zone coupée ; les autres suffisent à reconstituer le message. Pour une vidéo, le signal est répété sur chaque image (frame) — supprimer des frames ne détruit pas la marque.

Codes correcteurs d'erreur — le message (par exemple 136 bits pour SynthID-Image) n'est jamais écrit tel quel : il est encodé avec de la redondance mathématique. Le décodeur récupère une version bruitée et imparfaite du signal après compression, et le code correcteur reconstitue le message exact tant que le taux d'erreur reste sous un seuil.

En pratique, les systèmes récents (SynthID-Image, mais aussi StegaStamp, TrustMark ou VideoSeal) n'appliquent plus ces règles « à la main » : un réseau de neurones encodeur/ décodeur est entraîné directement sur des versions dégradées de l'image — compression JPEG simulée, flou, recadrage, changement de couleurs, et même une simulation d'« écran photographié » pour reproduire un screenshot. Le réseau apprend tout seul où placer le signal pour qu'il survive à chacune de ces épreuves.

⚠️ À retenir absolument

Un watermark n'est robuste qu'aux transformations pour lesquelles il a été conçu ou entraîné. Il n'existe pas de robustesse « en général ». Et il y a une différence entre détecter qu'un contenu est marqué (test très robuste) et retrouver le message précis qu'il contient — quel modèle, quelle clé (bien plus fragile, car il faut récupérer la totalité des bits). Un contenu très dégradé peut rester détectable comme généré par IA sans qu'on puisse dire par quel outil précis.

Pour l'audio, le principe équivalent (AudioSeal, Meta) insère le signal dans le spectrogramme — la représentation temps-fréquence du son — en s'appuyant sur le masquage auditif : cacher le signal exactement là où l'oreille humaine ne le perçoit pas, le même principe que la compression MP3. Le watermark résiste ainsi au bruit ambiant, à la recompression et à un certain rejeu acoustique — mais une resynthèse complète par un autre modèle de synthèse vocale, à partir de la seule transcription, détruit le signal par construction : c'est l'équivalent audio de la paraphrase pour le texte.

Les limites — ça ne résiste pas à tout

Aucun de ces systèmes ne prétend résister à un adversaire déterminé et compétent. Leur cible réelle, c'est le contenu qui circule sans intention de fraude — repartage, recompression par un réseau social, capture d'écran — pas une attaque volontaire.

Une paraphrase par un autre modèle fait chuter fortement la détectabilité d'un watermark de texte après plusieurs passes successives.

Des chercheurs ont montré qu'on peut retirer un watermark d'image en ajoutant du bruit puis en débruitant avec un modèle de diffusion — une attaque dite « de régénération ».

Il existe même un résultat théorique d'impossibilité : sous certaines hypothèses, un watermarking de texte parfaitement inattaquable ne peut pas exister — un débat encore actif dans la recherche.

Risque inverse et sous-estimé : le watermark stealing. En interrogeant l'API d'un modèle watermarké, on peut parfois reconstituer sa règle de marquage — puis soit l'effacer, soit s'en servir pour faire porter un contenu illégal à un modèle qui ne l'a jamais généré (usurpation de signature).

Ce que dit la loi

Le règlement européen sur l'IA (AI Act) transforme ce sujet technique en obligation légale, avec l'article 50 — et pas seulement pour les systèmes à haut risque : dès qu'une entreprise génère du contenu synthétique avec de l'IA, elle est concernée.

⚖️ Article 50 — deux obligations distinctes

Pour les fournisseurs (ceux qui construisent l'IA) — art. 50(2) : le contenu de synthèse doit être marqué dans un format lisible par machine et détectable comme généré par IA, « dans la mesure techniquement possible » — une clause qui renvoie directement aux limites de robustesse vues plus haut.

Pour les déployeurs (ceux qui utilisent l'IA pour produire du contenu) — art. 50(4) : tout deepfake doit être signalé comme tel à l'humain qui le regarde, avec une exception pour les œuvres manifestement artistiques ou satiriques.

📅 Calendrier révisé : ces obligations devaient s'appliquer au 2 août 2026, mais le « Digital Omnibus on AI » — accord provisoire du Parlement et du Conseil en mai-juin 2026 — a reporté leur entrée en application au 2 décembre 2026. Ce même texte ne touche pas au calendrier de l'article 53 sur la divulgation des données d'entraînement des modèles (voir la page dédiée sur ce sujet).

Le Code of Practice européen sur le marquage des contenus IA (publié en juin 2026) confirme ce que la technique impose déjà : aucune méthode de marquage seule ne suffit. L'approche recommandée combine watermark robuste, métadonnées de provenance signées cryptographiquement (le standard C2PA, dit « Content Credentials ») et journalisation. Le watermark sert alors surtout de pointeur : il ne porte pas toute l'information, mais permet de retrouver un manifeste de provenance stocké ailleurs — même si les métadonnées d'origine ont été supprimées du fichier (ce qu'un simple partage sur un réseau social fait presque toujours).