Le 14 juillet 2026, LexisNexis Risk Solutions a rendu public un constat appelé à recalibrer les discussions du secteur sur la fraude par deepfake : un contrôle d'identité échoué sur 100 implique désormais un document, une image ou une vidéo de vérification de vivacité produits par intelligence artificielle.

Prise isolément, cette statistique inquiète déjà. Elle devient catastrophique dès que l'on y joint le dénominateur.

Juniper Research évalue qu'en 2026, 100,4 milliards de vérifications d'identité seront réalisées dans le monde, soit 16 pour cent de plus qu'en 2025. Si le taux de rejet global n'atteint que 2 pour cent, le secteur absorbe environ 2 milliards de contrôles échoués par an. Un pour cent d'entre eux impliquent des deepfakes. À cette échelle, des dizaines de millions de tentatives de fraude assistées par deepfake apparaissent chaque année rien que depuis la couche de détection. Et le volume progresse au rythme de 180 pour cent par an.

Ce n'est plus une question de KYC. C'est une question d'infrastructure.

Ce que « 1 sur 100 » veut dire concrètement à cette échelle

Les statistiques font de meilleurs titres que des calculs utiles aux instances dirigeantes. Posons le calcul comme il faut.

100,4 milliards de vérifications par an, c'est environ 275 millions de contrôles par jour, soit 3 200 contrôles par seconde à l'échelle mondiale. La majorité aboutit. Pourtant, tout système qui applique de vrais contrôles antifraude rejettera une fraction des tentatives. L'univers total des contrôles échoués reste considérable.

Si 1 pour cent des 100 milliards de contrôles annuels échouent, cela fait 1 milliard de vérifications rejetées. Un pour cent de celles-ci impliquent des deepfakes, soit 10 millions de tentatives de fraude deepfake interceptées par la couche de détection seulement, avant même de compter celles qui passent.

La hausse de 180 pour cent en glissement annuel des attaques deepfake relevée par LexisNexis ne dessine pas une croissance linéaire d'une menace déjà connue. Elle illustre l'expansion commerciale des outils de fraude d'identité par IA, avec des kits d'attaque disponibles pour 60 dollars par mois, déployables contre de multiples plateformes sans aucune expertise technique.

Trois forces qui rendent le problème structurel

Le secteur a déjà essuyé des accélérations de la fraude. Ce qui rend le problème deepfake de 2026 structurellement différent, c'est la convergence simultanée de trois forces.

L'accessibilité. Jusqu'en 2024, fabriquer un deepfake convaincant demandait des compétences techniques significatives, de la puissance de calcul et du temps. La démocratisation des outils d'IA générative a tout bouleversé. Un opérateur sans formation informatique peut désormais produire en quelques minutes un faux document deepfake convaincant. L'Identity Fraud Index de Shufti prévoit une croissance de 3 892 pour cent des deepfakes documentaires rien qu'en 2026, soit un volume 40 fois supérieur à 2025, entièrement porté par l'accessibilité, non par une technologie nouvelle.

La distribution. La structure de marché de la fraude d'identité assistée par IA est passée d'attaques sur mesure menées par des acteurs spécialisés à des opérations de fraude-en-tant-que-service packagées. Comme nous l'avons consigné dans notre analyse des opérations de contournement KYC en tant que service, ces services sont activement maintenus, préconfigurés pour des plateformes de vérification spécifiques, et tarifés pour un déploiement à grande échelle. Les données de Shufti de septembre 2026 complètent ce tableau : les réseaux de fraude organisée recyclent ces actifs entre institutions, déployant les mêmes faux documents et la même infrastructure d'appareils sur plusieurs plateformes avant qu'une seule institution ne puisse détecter le schéma.

La diversification des vecteurs. La surface d'attaque ne se cantonne plus à la détection de vivacité faciale. Les attaques par injection sur la détection de vivacité constituent désormais le vecteur dominant : elles contournent entièrement la détection au niveau du capteur en injectant de la vidéo synthétique directement dans les pipelines applicatifs. Les deepfakes documentaires progressent plus vite que les deepfakes biométriques. Et les données biométriques authentiques volées autorisent des attaques d'usurpation qu'aucun algorithme de vivacité ne peut détecter.

Quand l'accessibilité des outils, la distribution commerciale et la diversification des vecteurs convergent, agir sur une seule couche du problème ne résout pas le système.

La prédiction de Gartner est devenue réalité

Gartner avait publié en février 2024 une prédiction : d'ici 2026, 30 pour cent des entreprises ne considéreraient plus les solutions de vérification et d'authentification d'identité comme fiables de manière isolée, en raison des deepfakes générés par IA.

Nous sommes en août 2026. Les données LexisNexis confirment que la prédiction n'est pas théorique — elle est opérationnelle. Un contrôle échoué sur 100 implique un deepfake. Les deepfakes génèrent 1 tentative de fraude biométrique sur 5 à l'échelle mondiale. Plus de la moitié des organisations ne parviennent pas à vérifier pleinement que leurs données biométriques ont été capturées en direct.

Ce que Gartner mettait en avant en 2024 n'était pas qu'il fallait abandonner la vérification biométrique. C'était qu'elle ne pouvait pas être le seul signal. Une seule vérification biométrique à l'onboarding, aussi sophistiquée soit-elle, ne peut pas maintenir l'assurance d'identité sur toute une relation client dont le profil de risque peut évoluer et dont les identifiants peuvent être compromis.

C'est la lacune architecturale qu'adresse le KYC perpétuel et la surveillance continue — la lacune que Gartner avait repérée deux ans avant que les données ne la confirment.

Pourquoi « de meilleurs biométriques » n'est pas la réponse

Face à l'accélération de la fraude, le réflexe consiste à renforcer le contrôle : meilleure détection de vivacité, reconnaissance faciale plus sophistiquée, biométrie comportementale ajoutée.

Ces améliorations ont leur importance. L'approche de vérification biométrique multicouche retenue par Regula et AU10TIX en juillet 2026 est une évolution nécessaire. Pour autant, la biométrie multicouche à la porte de l'onboarding reste un contrôle ponctuel dans le temps. C'est un contrôle plus défendable, mais il répond à la même question : « Qui est cette personne en ce moment ? »

À 100 milliards de contrôles annuels et 180 pour cent de croissance des attaques deepfake, le problème ne tient pas seulement à la qualité du contrôle ponctuel. Il tient à ce qui se passe dans l'intervalle entre ce contrôle et tout ce qui suit.

Un client qui franchit une vérification biométrique à cinq couches en janvier peut voir ses identifiants compromis en avril. Son empreinte de dispositif change. Sa vélocité de transactions augmente. Sa géolocalisation de connexion varie. Aucun de ces signaux ne déclenche une re-vérification sous un modèle ponctuel. Sous un modèle d'intelligence continue, chaque anomalie est un signal, et la réponse est calibrée.

Les lignes directrices du Groupe Wolfsberg pour la banque correspondante déterminent comment les grandes institutions financières évaluent le risque de contrepartie. Ce groupe a commencé à actualiser ses recommandations afin d'y intégrer les défaillances de garantie d'identité comme source de pression systémique de dérisquage. Ce qui inquiète n'est pas l'échec des contrôles KYC chez telle ou telle institution : c'est le taux de défaillance agrégé sur l'ensemble de l'écosystème de vérification, qui engendre un déficit de confiance pesant sur les relations de banque correspondante à l'échelle macroéconomique.

L'architecture qui passe à l'échelle

La révision manuelle ne peut pas tenir le rythme face à la menace. Un réviseur humain qui travaille efficacement peut traiter environ 40 dossiers de vérification d'identité par heure. Face à seulement 100 millions de tentatives deepfake par an, faire face à la menace par révision manuelle exigerait environ 68 000 réviseurs à temps plein occupés toute l'année sur les seuls dossiers deepfake.

Ce n'est pas un problème de ressources humaines ayant une solution en recrutement. C'est un problème d'architecture ayant une solution d'architecture.

Les agents IA de Joinble opèrent en continu tout au long du cycle de vie client et évaluent les signaux comportementaux qui émergent après un onboarding validé : changements d'empreinte de dispositif, variations de vélocité de transactions, anomalies géographiques, divergences de comportement de session et corrélation de signaux de risque entre systèmes. L'agent n'attend pas un cycle de révision périodique — il surveille en temps réel et agit en temps réel.

À l'échelle de 100 milliards de contrôles annuels et de 180 pour cent de croissance annuelle des attaques deepfake, le modèle opérationnel qui échoue est celui bâti autour de réviseurs humains et de re-vérifications périodiques. Le modèle qui passe à l'échelle est celui où des agents autonomes gèrent la surveillance continue et où les humains gèrent les exceptions.

Ce que les équipes conformité doivent faire maintenant

Les données LexisNexis n'annoncent pas un problème futur. Elles mesurent un problème présent. Les équipes conformité qui s'appuient encore sur un unique contrôle biométrique à l'onboarding, sans couche de surveillance continue, sont déjà en retard sur la courbe des menaces.

Les actions prioritaires :

Auditer l'architecture des contrôles. Combien de signaux indépendants votre processus de vérification évalue-t-il à l'onboarding ? Si la réponse est un (selfie contre document) ou deux (selfie plus vivacité), la surface d'attaque est trop étroite.

Instaurer une surveillance comportementale continue. L'onboarding ouvre une relation ; il ne clôt pas l'évaluation des risques. L'architecture de vérification doit inclure des signaux comportementaux qui persistent tout au long du cycle de vie client.

Quantifier l'exposition aux deepfakes. Combien d'échecs de vérification votre plateforme a-t-elle enregistré au cours des 12 derniers mois ? Quel pourcentage impliquait des anomalies documentaires, des rejets biométriques ou des défaillances de vivacité ?

Évaluer les capacités de détection des attaques par injection. Interroger spécifiquement sur la détection des attaques par injection, pas seulement sur la détection de vivacité. Les attaques par injection de caméra contournent les algorithmes de vivacité en alimentant des données synthétiques au niveau du pipeline.

Le chiffre de 1 sur 100 de LexisNexis est une mesure de référence prise à mi-2026. Avec un taux de croissance annuel de 180 pour cent, le chiffre à mi-2027 sera sensiblement plus élevé. Pour les équipes conformité, la question n'est pas de savoir si le problème s'aggravera — il s'aggravera. La question est de savoir si l'architecture de vérification en place aujourd'hui a été conçue pour ce volume.

Le cadre réglementaire autour de cette menace a évolué le 2 août 2026, lorsque les obligations de divulgation des deepfakes de l'article 50 de la loi IA de l'UE sont entrées en vigueur. Les systèmes de détection qui enregistrent et documentent les attaques deepfake remplissent désormais une double fonction : prévention de la fraude et constitution de la piste d'audit que l'article 50 exige des organisations concernées.

FAQ

Qu'a révélé le rapport LexisNexis de juillet 2026 ? LexisNexis Risk Solutions a indiqué qu'un contrôle de vérification d'identité échoué sur 100 implique désormais un document deepfake, une image ou une vidéo de vivacité. La société a également relevé une hausse de 180 pour cent en glissement annuel des attaques deepfake. Le rapport a paru le 14 juillet 2026.

Pourquoi « 1 sur 100 » est-il un problème systémique plutôt qu'un taux de fraude gérable ? Parce que le dénominateur est 100 milliards. À cette échelle, même un faible taux d'échecs impliquant des deepfakes se traduit par des dizaines de millions de tentatives de fraude annuelles. C'est le volume absolu, et non le pourcentage, qui met l'infrastructure de vérification sous pression et rend la révision humaine économiquement inviable.

Quelle est la différence entre la fraude deepfake et la fraude documentaire traditionnelle ? La fraude documentaire traditionnelle repose sur des matériaux physiquement altérés ou falsifiés. Les attaques deepfake s'appuient sur l'IA générative pour produire des images, vidéos ou documents synthétiques trompant les systèmes de vérification automatisés. En 2026, la surface d'attaque s'est étendue aux attaques par injection, où de la vidéo synthétique est injectée directement dans les API de vérification en contournant les capteurs de caméra.

Pourquoi la vérification biométrique seule n'est-elle plus fiable ? Parce qu'elle répond à une question ponctuelle : « Cette personne est-elle bien celle qu'elle prétend être en ce moment ? » Elle ne peut pas traiter la compromission d'identifiants intervenant après l'onboarding, les anomalies comportementales qui émergent avec le temps, ni les attaques par injection qui contournent la couche biométrique. La prédiction de Gartner de 2024 se trouve désormais confirmée par les données opérationnelles de fraude.

Quel est le rôle des agents IA face à la fraude deepfake à cette échelle ? Les agents IA assurent une surveillance continue tout au long du cycle de vie client : ils repèrent les anomalies comportementales qui émergent après l'onboarding et agissent en temps réel avant l'intervention des réviseurs humains. À l'échelle de dizaines de millions de tentatives deepfake annuelles, la révision exclusivement humaine ne peut pas suivre le rythme.

Que doivent faire en priorité les équipes conformité ? Auditer combien de signaux indépendants le processus de vérification actuel évalue. Ajouter une surveillance comportementale qui persiste après l'onboarding, évaluer spécifiquement chez le prestataire les capacités de détection des attaques par injection, et établir une métrique de référence sur la proportion des échecs de vérification actuels impliquant du contenu synthétique.

Emily Carter