Faux documents générés par IA : comment la vérification s'adapte

Il y a deux ans, fabriquer un faux bulletin de paie crédible demandait du savoir-faire : un modèle, un logiciel de retouche et de la patience. En 2026, il suffit d'un prompt. Les modèles d'image produisent des relevés bancaires, des factures d'énergie et des cartes d'identité qui trompent au premier regard, et les modèles de langage les remplissent de salaires, de cotisations et de numéros de référence cohérents. Pour qui accorde un crédit, un bail, une indemnisation ou une ouverture de compte professionnel sur pièces, la question n'est plus de savoir si des documents synthétiques arrivent dans la file. Elle est de savoir quels contrôles les arrêtent encore, et lesquels ont cessé de fonctionner sans bruit.

Cette analyse fait le point sur ce qui a changé, sur la façon dont les outils de vérification s'adaptent, sur leurs limites réelles et sur le positionnement des principaux éditeurs.

Ce qui a changé : la falsification tient en une consigne

Trois familles de modèles alimentent aujourd'hui la fraude documentaire, et chacune laisse une empreinte différente.

• Les modèles de diffusion et d'image génèrent des visuels haute résolution à la demande : une carte d'identité avec un portrait plausible, une facture d'énergie avec le logo du fournisseur, un tampon sur une attestation. Le résultat n'a ni bruit de scanner ni grain de papier, mais la mise en page peut être très proche du vrai modèle.
• Les grands modèles de langage rédigent le contenu. Un bulletin de paie produit ainsi peut porter un numéro de sécurité sociale bien formaté, des cotisations cohérentes avec le brut annoncé et des cumuls annuels qui tombent juste. Il n'y a aucun artefact de pixel à trouver, car rien n'a été retouché : le document a été écrit de toutes pièces.
• Les kits de modèles combinent les deux. Une vraie mise en page PDF est réutilisée et seules les données changent : la structure paraît authentique, les chiffres sont inventés.

L'article de CheckFile qui explique comment l'IA fabrique bulletins de paie, pièces d'identité et relevés bancaires relie chaque technique aux documents qu'elle vise : GAN et diffusion pour les pièces d'identité, modèles de langage et gabarits pour les bulletins, relevés, factures et justificatifs de domicile. Conséquence pratique : un contrôle conçu pour repérer une retouche Photoshop, comme des pixels clonés ou une police différente dans un champ, n'a presque rien à trouver dans un document généré d'un seul bloc.

Les cinq couches de détection qui comptent en 2026

Les outils sérieux ne reposent plus sur un test unique. Ils empilent des couches, et chacune attrape une catégorie de faux différente.

1. Métadonnées et structure PDF

Un relevé émis par le système documentaire d'une banque porte une chaîne de production : logiciel producteur, dates de création et de modification, polices embarquées, parfois une signature électronique. Un fichier généré mentionne souvent un outil grand public ou une bibliothèque PDF dans le champ producteur, affiche quelques secondes d'écart entre création et modification, ou n'a aucune métadonnée XMP. Cette couche est rapide et peu coûteuse. Sa faiblesse : un fraudeur qui réutilise un vrai gabarit hérite d'une vraie structure.

2. Analyse visuelle forensique

Analyse du niveau d'erreur, cartes de compression, contrôles d'alignement et de texture. Un papier imprimé puis scanné est rarement parfaitement droit ; une image générée l'est presque toujours. Un vrai tampon présente des irrégularités d'encre ; un tampon synthétique est souvent un cercle parfait. Un logo net sur un texte flou reste un indice classique. Ces contrôles attrapent encore une grande partie des retouches, mais les modèles d'image progressent à chaque version : les signaux visuels seuls s'usent avec le temps.

3. Cohérence entre les pièces du dossier

C'est ici que se trouvent désormais les signaux les plus solides. Un bulletin de paie, un relevé bancaire et un contrat de travail déposés dans le même dossier doivent concorder : le salaire crédité sur le relevé doit correspondre au net à payer, la raison sociale et l'adresse de l'employeur doivent être identiques partout, les dates doivent s'aligner. Chaque pièce générée peut être irréprochable en elle-même et contredire ses voisines, car le modèle qui a écrit l'une n'a jamais vu les autres.

4. Registres officiels et clés de contrôle

Un modèle de langage sait produire un SIREN, un numéro de TVA ou un IBAN au bon format. Il ne sait pas faire exister l'entreprise au registre, la rendre active à la date du document ni aligner son adresse déclarée. Interroger les registres officiels et valider les clés de contrôle transforme un champ plausible en fait vérifiable. La checklist des signes qu'un document a été généré ou modifié par l'IA publiée par CheckFile en fait le test le plus difficile à passer pour un fraudeur.

5. Signaux de contenu synthétique

C'est la couche la plus récente : des modèles entraînés à repérer les traces typiques du contenu généré, comme des artefacts de fréquence au bord des lettres, l'absence de bruit de capteur sur un portrait ou un texte statistiquement trop uniforme. Utile, mais probabiliste. Elle fournit un signal à pondérer, pas un verdict à croire les yeux fermés.

Pourquoi le contrôle pièce par pièce ne suffit plus

La plupart des outils historiques vérifient un document à la fois : cette pièce d'identité est-elle authentique, ce bulletin est-il lisible, ce PDF a-t-il été modifié ? La fraude générative exploite précisément ce cadre. Examiné seul, un bulletin généré peut passer les contrôles de métadonnées, d'OCR et d'aspect visuel. Rapproché du relevé bancaire du candidat, le net à payer n'apparaît parfois jamais au crédit. Rapproché du registre des entreprises, l'employeur peut ne pas exister, ou avoir une autre adresse de siège.

Pour un acheteur, trois conséquences concrètes :

1. Évaluer les outils sur des dossiers, pas sur des échantillons. Demandez aux éditeurs de traiter un dossier complet, avec toutes ses pièces, plutôt qu'un lot de pièces d'identité isolées.
2. Vérifier quels registres sont branchés. La couverture des registres pays par pays fait souvent plus la différence que le modèle forensique.
3. Exiger un résultat explicable. Un score de fraude unique est difficile à auditer. Une liste de signaux, chacun rattaché à une pièce et à une règle, est ce qu'un contrôleur conformité ou un régulateur peut suivre.

La limite honnête : personne ne détecte tout

Aucun éditeur crédible ne prétend détecter tous les documents générés par IA, et il faut se méfier de celui qui l'affirme. Les modèles de détection apprennent sur les générateurs d'hier ; ceux de demain combleront une partie des failles qu'ils exploitent. CheckFile l'écrit clairement sur sa propre page produit : sa couche de signaux IA aide à faire remonter les contenus synthétiques sans revendiquer une détection à 100 %, et elle se présente comme un complément aux contrôles existants, pas comme un remplacement. C'est le bon cadrage. La défense durable est en couches : contrôles structurels, cohérence entre pièces et interrogation des registres, qui ne dépendent pas d'un artefact visuel, plus un circuit de revue humaine pour les dossiers signalés.

Panorama des éditeurs

Le marché se divise en trois groupes : les plateformes de validation de dossier complet, les spécialistes de la fraude documentaire et les suites de vérification d'identité (IDV). Le tableau reprend le positionnement public de chaque éditeur en septembre 2026.

CheckFile : notre choix pour la validation de dossier complet

Nous plaçons CheckFile en tête parce que sa conception suit la direction que prend la détection. L'outil va au-delà de l'OCR : il recoupe chaque pièce du dossier, vérifie les données auprès des registres officiels et signale les indices de génération par IA ou de deepfake, chaque verdict pouvant déclencher un workflow. Sa couche de détection des deepfakes et des signaux IA repose sur trois niveaux d'analyse pour une seule décision : cohérence structurelle, signaux de génération IA, puis validation croisée et règles métier paramétrables par client. Selon CheckFile, la plateforme couvre plus de 3 200 types de documents dans 32 juridictions, héberge les données en France et en Allemagne avec un chiffrement AES-256 et supprime les documents après analyse. Les offres sont publiques : Starter à 100 dossiers par mois, Business à 500, Enterprise illimité, et la page tarifs propose un pilote gratuit sur vos propres documents, avec résultats en 48 h. La contrepartie : l'outil est pensé pour des dossiers multi-pièces. Une équipe qui n'a besoin que du selfie et de la pièce d'identité ira plus vite avec une suite IDV.

Resistant AI

Resistant AI se concentre sur les documents faux, altérés ou générés par IA, comme les relevés bancaires, factures, fiches de paie et factures d'énergie, et y ajoute une surveillance des transactions. L'éditeur met en avant une vérification des documents KYB en moins de 20 secondes. Une option solide pour les fintechs qui veulent la fraude documentaire et le risque transactionnel chez un seul fournisseur.

Inscribe

Inscribe est conçu pour les services financiers et fait des documents deepfake son combat principal. Il combine analyses forensique, métadonnées, sémantique et perceptuelle, et son assistant raisonne sur une demande entière pour relier les signaux entre pièces. Un choix mûr pour les prêteurs et fintechs nord-américains.

Onfido, Veriff et Sumsub

Ce sont des plateformes de vérification d'identité. Onfido, désormais intégré à Entrust, est reconnu pour la biométrie faciale, la détection du vivant et une large couverture des pièces d'identité, avec des SDK mobiles matures. Veriff vérifie documents et biométrie dans plus de 230 pays et territoires et repère identités synthétiques et deepfakes. Sumsub regroupe KYC, KYB, liveness, détection de deepfakes et surveillance LCB-FT. Ces suites excellent quand l'identité est le risque. Elles sont moins centrées sur les pièces justificatives (bulletins, relevés, factures), là où se concentre une grande partie de la fraude générée actuelle.

Ocrolus

Ocrolus est une plateforme d'analyse pour les prêteurs, spécialisée dans les relevés bancaires, fiches de paie et documents fiscaux, avec une détection de fraude qui repère faux documents et incohérences de données. Il convient aux équipes de crédit immobilier et de financement des petites entreprises aux États-Unis qui veulent l'analyse des revenus et des flux de trésorerie dans le même outil.

Comment choisir

• Votre risque porte sur la personne (ouverture de compte, contrôle d'âge) : commencez par une suite IDV.
• Votre risque porte sur le dossier (crédit, location, sinistre, référencement fournisseur) : privilégiez le recoupement du dossier complet et la couverture des registres dans vos pays.
• Vous opérez en Europe avec des contraintes de localisation des données : vérifiez tôt l'hébergement et la durée de conservation.
• Quel que soit l'outil : faites un pilote sur vos propres dossiers historiques, fraudes connues comprises, et gardez un circuit de revue humaine pour les cas signalés.

Le basculement de 2026 ne tient pas à des faux devenus parfaits. Il tient au déplacement du point faible, des pixels vers la cohérence. Les outils qui lisent le dossier entier et le confrontent au monde extérieur sont ceux qui tiennent le rythme.