Ce que devient la due diligence quand l'identité se falsifie à faible coût

La due diligence, dans sa forme héritée, est une procédure de collecte de pièces. On demande un extrait d'immatriculation, une pièce d'identité, un justificatif de domiciliation, des états financiers, parfois un entretien de vérification. Puis on constitue un dossier, et ce dossier fait foi. L'ensemble tient sur une hypothèse économique que personne n'écrivait, parce qu'elle allait de soi : fabriquer une contrefaçon crédible de ces pièces coûte plus cher que le gain que l'on peut en tirer, sauf dans les dossiers à très forts enjeux.

Cette hypothèse est en train de tomber. L'ordre de grandeur de l'exposition, tel que le rapporte le Journal du Net, est celui d'un phénomène de masse : 60 % des PME et 85 % des ETI et grandes entreprises françaises déclarent avoir subi au moins une tentative de fraude au cours des douze derniers mois, et 76 % des dirigeants estiment que l'intelligence artificielle accroît ce risque, en particulier par le clonage vocal et le deepfake vidéo. La falsification de documents assistée par IA générative progresse de 244 % en un an.

Cet article n'énumère pas des contre-mesures techniques. Il examine ce que devient une doctrine de vérification lorsque le coût de la falsification s'effondre, formule quatre hypothèses de recomposition de la due diligence, et en tire les arbitrages organisationnels qui se posent maintenant plutôt qu'après le premier incident.

Le coût de la falsification comme variable centrale, pas comme détail technique

Tout dispositif de contrôle est un pari sur les coûts relatifs. Il devient dissuasif quand l'effort demandé au fraudeur dépasse son espérance de gain, et décoratif quand ce rapport s'inverse. C'est pourquoi la variable décisive n'est pas la sophistication d'un deepfake, mais son prix. Sur le darknet, des services d'IA clés en main se louent pour quelques dizaines d'euros, ce qui abaisse fortement la barrière d'entrée de la fraude sophistiquée, observation que relaie Haas Avocats dans son analyse des arnaques à l'investissement adossées à des contenus synthétiques.

Cette bascule produit un effet contre-intuitif. Ce ne sont pas les dossiers les plus stratégiques qui se dégradent en premier, car ils bénéficient déjà de vérifications renforcées, de contacts directs et de temps d'instruction. Ce sont les dossiers ordinaires, traités en volume et à faible marge d'attention : ouverture de compte fournisseur, référencement d'un sous-traitant, changement de coordonnées bancaires, entrée en relation commerciale à distance. La fraude industrialisée cherche le point où le contrôle est le plus mécanique.

S'ajoute une asymétrie de mesure. Les pertes liées aux deepfakes dépassent 1,33 milliard d'euros depuis 2023 selon l'ONU, chiffre repris par Haas Avocats. Ce montant agrège des fraudes réussies et déclarées, et ne dit rien des relations commerciales engagées avec une contrepartie dont l'identité n'a jamais été réellement établie.

Du contrôle de pièces au contrôle de cohérences

Si une pièce individuelle ne prouve plus rien, la valeur probante se déplace vers la relation entre plusieurs éléments obtenus par des chemins indépendants. Un faux justificatif est facile à produire ; une trajectoire cohérente est difficile à fabriquer entièrement. Une société réellement active laisse des traces dispersées et datées : publications légales, mentions dans la presse professionnelle, annonces de recrutement, dépôts de marques, présence dans des annuaires sectoriels, réponses à des appels d'offres, historique de nom de domaine.

Le critère de bascule est le suivant : une identité est établie quand plusieurs sources primaires, non contrôlées par le déclarant, concordent dans le temps sans avoir été fournies par lui. Cette formulation a une conséquence pratique immédiate. Elle disqualifie le dossier constitué exclusivement de documents transmis par la contrepartie, quelle que soit leur qualité apparente, et valorise le travail de recherche autonome, qui relève des méthodes de la veille et de l'OSINT bien plus que du contrôle administratif.

Ce déplacement redistribue les compétences. La vérification d'identité cesse d'être une tâche de back-office et devient une activité d'enquête documentaire : savoir où se trouvent les sources primaires d'un secteur, comment repérer une antériorité fabriquée. C'est le savoir-faire des équipes de veille, appliqué à une finalité de conformité.

Quatre hypothèses de recomposition de la due diligence

Les hypothèses ci-dessous sont des scénarios de travail destinés à préparer des arbitrages, non des prévisions. Elles ne s'excluent pas : la plupart des organisations en combineront deux, généralement la première et la troisième.

La troisième hypothèse est celle qui modifie le plus profondément l'organisation, car elle supprime la notion de contrôle ponctuel. Une contrepartie vérifiée en janvier n'est plus la même en septembre si son dirigeant a changé, si son siège a été transféré ou si son actionnariat a basculé. La due diligence devient alors un flux, avec une cadence de réexamen et des déclencheurs, et non plus un dossier archivé.

Le canal vocal, cas limite qui révèle la doctrine

La fraude au président par clonage vocal est le cas où la doctrine se lit le plus clairement, parce qu'elle attaque un mécanisme d'autorité et non un document. La Banque de France a alerté sur les arnaques par deepfake vocal, alerte que relaie NewsIA. L'intérêt de ce vecteur, du point de vue de l'attaquant, est qu'il court-circuite entièrement la procédure : il ne falsifie pas une pièce, il fabrique un ordre.

La réponse efficace n'est pas d'apprendre aux collaborateurs à reconnaître une voix synthétique, exercice dont la fiabilité décroît à mesure que les modèles progressent. Elle consiste à rendre la procédure indifférente à la reconnaissance : aucune instruction de paiement ou de modification de coordonnées bancaires ne se valide sur le canal qui l'a émise. La vérification passe par un second canal, préétabli, indépendant, et connu de l'organisation avant l'incident.

Cette règle protège aussi celui qui exécute. Un collaborateur à qui l'on demande de juger de l'authenticité d'une voix porte une responsabilité qu'il ne peut pas assumer ; à qui l'on demande d'appliquer une procédure de double canal, il porte une responsabilité vérifiable.

Ce que l'onboarding documentaire devient concrètement

L'usurpation lors de l'entrée en relation, avec falsification documentaire à l'appui, figure parmi les vecteurs principaux décrits par YouTrust dans son analyse de la fraude documentaire assistée par deepfake. Sur ce terrain, le réflexe consistant à demander davantage de pièces produit l'effet inverse de celui recherché : il augmente le volume à contrôler sans augmenter la valeur probante, puisque chaque pièce supplémentaire est falsifiable au même coût marginal.

La réorganisation utile consiste à hiérarchiser les preuves selon leur origine plutôt que selon leur nature. Une information obtenue directement auprès d'un registre officiel, sans passer par le déclarant, a une valeur supérieure à un document scanné, même conforme. Une mention datée dans une publication professionnelle indépendante a une valeur supérieure à une plaquette commerciale. Cette hiérarchie doit être écrite, sans quoi chaque analyste improvise la sienne.

Reste la question du temps. Rechercher des sources indépendantes pour chaque contrepartie est irréalisable manuellement au-delà de quelques dizaines de dossiers. C'est là qu'un dispositif de veille devient un outil de conformité : NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs langues, détecte les mentions d'une entité dès leur publication et relie chaque alerte à sa source d'origine, ce qui raccourcit le délai entre un changement de situation chez une contrepartie et sa prise en compte par l'organisation.

Deux scénarios pour la valeur du dossier de conformité

Le reportage publié par Le Fil de la Veille sur la montée de la fraude assistée par IA en France fournit la matière factuelle de cette analyse. Deux trajectoires s'en déduisent. Dans la première, la due diligence documentaire se maintient comme rituel de conformité, avec une valeur probante affaiblie mais une fonction juridique conservée : le dossier ne prouve plus l'identité, il prouve la diligence. Dans la seconde, le régulateur et les juges relèvent le niveau attendu et exigent la démonstration d'une vérification par sources indépendantes.

Un dossier de conformité qui ne contient que ce que la contrepartie a bien voulu transmettre ne documente pas une identité, il documente une déclaration.

L'indicateur qui permettra de distinguer les deux trajectoires est observable : la nature des reproches formulés lors des contrôles et des contentieux. Si le reproche porte sur l'absence de pièce, le premier scénario tient. S'il porte sur l'absence de recoupement indépendant alors que les pièces étaient complètes, le second s'installe, et l'investissement à faire est méthodologique avant d'être technologique.

Questions fréquentes

La due diligence documentaire a-t-elle encore une valeur face aux deepfakes ?

Elle conserve une valeur juridique et procédurale, mais sa valeur probante sur l'identité s'affaiblit. Un document transmis par la contrepartie établit désormais ce que celle-ci affirme, non ce qui est. La correction n'est pas d'abandonner la collecte de pièces, c'est de la compléter par au moins deux éléments obtenus indépendamment du déclarant, auprès de registres officiels ou de publications que le déclarant ne contrôle pas. C'est la concordance entre ces éléments qui redevient probante.

Comment vérifier l'identité d'une contrepartie sans surcharger les équipes ?

En calibrant l'effort sur le risque plutôt qu'en uniformisant les contrôles. Un premier niveau automatisable recoupe l'identité déclarée avec les registres et les mentions publiques disponibles. Un second niveau, réservé aux dossiers dépassant un seuil défini, ajoute la vérification par canal indépendant et l'examen d'antériorité. Une veille continue prend ensuite le relais sur les changements de dirigeant, de siège ou d'actionnariat. Le gain vient de la hiérarchisation, pas de l'ajout de pièces demandées.

Quels signaux faibles trahissent une identité d'entreprise fabriquée ?

Les plus robustes portent sur la chronologie et non sur l'apparence. Une antériorité déclarée sans trace publique correspondante, un nom de domaine récent pour une société présentée comme ancienne, une absence totale de mentions dans la presse professionnelle du secteur, une adresse partagée avec un grand nombre d'entités sans lien, un dirigeant dont on ne trouve aucune trace antérieure à l'entrée en relation. Aucun de ces indices ne conclut seul : c'est leur accumulation qui qualifie le doute.

Faut-il investir d'abord dans la détection technique ou dans la procédure ?

La procédure produit un rendement plus stable. Un détecteur d'artefacts perd en efficacité à chaque génération de modèles, tandis qu'une règle de double canal indépendant sur les instructions de paiement reste valide quelle que soit la qualité du faux. L'ordre raisonnable consiste à écrire et tester les procédures, puis à ajouter la détection technique là où le volume rend le contrôle humain impossible.