Pourquoi aucun DAF français ne raconte son deepfake

Cherchez un directeur financier français qui raconte publiquement, sous son nom, la fraude au virement montée contre son entreprise avec un appel vidéo truqué. Vous ne trouverez pas. Les incidents, eux, remontent : par les rapports d’assureurs, par les alertes des autorités, par les conversations en marge des salons. Jamais par un témoignage nominatif.

L’explication tient à trois mécanismes qui verrouillent la parole, chacun parfaitement rationnel pris isolément. Aucun ne relève de la honte.

La communication financière décide quand on peut parler

Le droit de la communication financière impose une doctrine stricte à toute société faisant appel public à l’épargne, et par capillarité à ses filiales et à ses partenaires : un incident matériel se divulgue dans des fenêtres réglementaires précises, selon un format contrôlé, au même moment pour tout le monde. Parler librement, hors de ces fenêtres, d’un événement qui a pu affecter les comptes revient à manipuler une information privilégiée sans le cadre qui va avec.

Les directions juridiques connaissent ce terrain. Elles ne laissent pas leur direction financière improviser en table ronde. Le refus n’est pas une posture de communication, c’est l’application d’une règle que personne n’a envie de tester devant le régulateur.

L’assurance cyber fait du silence une condition d’indemnisation

Lisez la police, pas le résumé commercial. La clause de confidentialité des incidents y est standard. L’assureur a besoin que l’affaire reste contenue le temps de négocier avec les tiers, de piloter les remontées d’information et d’éviter qu’une déclaration spontanée de son assuré ne fabrique un précédent défavorable pour l’ensemble de son portefeuille.

Témoigner publiquement avant règlement expose donc à une discussion sur la couverture elle-même. Face à un sinistre à sept chiffres, le calcul se fait vite, et il se fait toujours dans le même sens.

Raconter l’incident, c’est instruire le contentieux à venir

Le troisième verrou est le plus récent. Le 19 novembre 2025, la chambre commerciale de la Cour de cassation (n° 24-17.056) a posé un principe qui déplace la charge : lorsque des anomalies auraient pu être détectées par un contrôle technique automatisé, la responsabilité pèse sur l’entreprise, et par le devoir de vigilance sur son dirigeant.

Le standard a donc changé de nature. Il ne se satisfait plus d’un plan de formation ni d’une procédure signée. Il porte sur des contrôles qui s’exécutent d’eux-mêmes. Dans ce cadre, un récit public expliquant comment l’incident s’est produit revient à documenter, à l’avance et de sa propre main, l’absence de ces contrôles. Aucun avocat ne recommandera cette conférence.

Trois verrous qui se cumulent

Chacun de ces mécanismes a sa logique : ce que vous avez le droit de dire, ce que votre assureur vous autorise à dire, ce que le dire vous coûtera plus tard au tribunal. Ils ne se compensent pas, ils s’additionnent. Le résultat est un retour d’expérience collectif réduit à zéro sur la fraude par identité synthétique, au moment précis où ce retour d’expérience aurait le plus de valeur.

Le silence des autres directions financières ne protège personne. Il supprime seulement les signaux qui auraient permis de se préparer.

La seule mesure publique disponible

Puisque les victimes se taisent, il reste les laboratoires. En mars 2025, des chercheurs du CSIRO, l’agence scientifique nationale australienne, et de l’université Sungkyunkwan ont publié l’analyse de 51 détecteurs de deepfakes, dont seize ont été mis à l’épreuve en conditions réelles. Aucun des seize n’a identifié de façon fiable les deepfakes du monde réel.

C’est la seule donnée solide dont disposent aujourd’hui les équipes finance sur leur propre exposition. Elle dit que l’outil censé rattraper l’erreur humaine ne la rattrape pas.

Ce que la réglementation ajoute par-dessus

La directive NIS2, transposée en droit français, couvre dix-huit secteurs et prévoit des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles. Elle engage nommément les organes de direction sur la gouvernance du risque cyber, avec une conséquence que les avocats répètent depuis sa publication : le mandataire social ne peut plus soutenir qu’il ignorait le sujet.

La combinaison est inconfortable. L’obligation de résultat monte, la jurisprudence se durcit, et le corpus d’expérience partagée reste vide.

La question qui se plaide

Si l’incident survient le mois prochain, que présentez-vous au juge ? Un plan de sensibilisation et une procédure de double validation manuelle décrivent des intentions. Ce que le standard de 2026 examine, ce sont des contrôles techniques qui s’exécutent sans dépendre de la vigilance d’un collaborateur sous pression, et les traces irréfutables qu’ils laissent derrière eux.

C’est la seule partie du dossier que le silence des autres ne vous aidera pas à construire.