Détection de fraude IA: au-delà de l'OCR et des images

À retenir

• La part des faux générés par IA parmi les notes de frais frauduleuses détectées est passée de 0% en mars 2025 à 70,8% à mi-mai 2026 sur la plateforme d'AppZen, ce qui signifie que la recherche d'artefacts au niveau de l'image ne suffit plus à repérer la majorité des faux (Accounting Today).
• Les signaux les plus fiables se situent aujourd'hui en dessous du rendu visuel : couples producteur/créateur, désaccords entre XMP et DocInfo, structure de la xref, numérotation des objets et méthode d'incorporation des polices.
• N'importe quel signal pris isolément peut être contourné. Le champ Producer est du simple texte : un fraudeur qui connaît votre détecteur peut y inscrire en dur Adobe PDF Library 15.0 et passer sans encombre (DEV).
• Les détecteurs d'images synthétiques au niveau du pixel sont utiles mais fragiles : leur précision publiée chute nettement en cas de flou, de redimensionnement ou de capture d'écran. Il faut donc traiter leur score comme une variable d'entrée, pas comme un verdict.

Pourquoi l'OCR ne détecte plus aucune anomalie ?

Parce qu'il n'y a rien à détecter. L'OCR et les détecteurs de falsification classiques ont été conçus pour repérer des modifications : un chiffre repeint, une police substituée, un logo réenregistré à une résolution incohérente. Un document entièrement généré n'a jamais été un document réel : il ne porte donc aucun historique de modification au niveau du pixel. Comme le résume PYMNTS, une facture falsifiée présente des artefacts (polices incohérentes, logos décalés, pixellisation autour des chiffres modifiés), alors qu'une facture générée par IA n'en présente aucun, puisqu'elle n'a jamais été un vrai document au départ.

Le basculement en volume est documenté. AppZen a comptabilisé 1 471 fausses factures générées par IA provenant de 745 salariés au sein de 174 entreprises, pour un montant total réclamé de 148 143 dollars ; un an plus tôt seulement, les faux fondés sur des modèles préexistants représentaient encore 95 à 100% des factures interceptées par sa règle de détection. Et les montants réclamés sont calibrés pour passer sous vos contrôles : valeur médiane de la demande à 32 dollars, un niveau cohérent avec le fait de rester sous les seuils d'approbation automatique.

Si votre seul contrôle anti-fraude consiste à vérifier si le document a l'air correct, vous avez déjà perdu la course.

C'est pourquoi la détection s'est déplacée de la page rendue vers le conteneur du fichier, la géométrie de la mise en page, et la transaction sous-jacente.

Quels signaux de métadonnées comptent réellement dans un PDF ?

Il faut commencer par les couples de champs, pas les champs isolés. Un champ unique se modifie trivialement ; des contradictions entre deux systèmes de métadonnées sont bien plus difficiles à maintenir cohérentes. Les PDF modernes portent deux systèmes de métadonnées qui coexistent : le dictionnaire DocInfo (PDF 1.0), qui stocke CreationDate, ModDate, Creator et Producer sous forme de paires clé-valeur en texte brut dans le trailer, et XMP (PDF 1.4), qui repose sur du XML. Modifier l'un en oubliant l'autre est l'erreur la plus fréquente chez les fraudeurs.

Les couples à scorer en priorité :

• Creator vs Producer. Le créateur est l'application d'origine, le producteur est la bibliothèque qui a écrit les octets. Sur des documents générés par des systèmes institutionnels, ces deux champs racontent une histoire cohérente ; quand un fichier est passé par un éditeur, le producteur nomme souvent cet éditeur alors que le créateur continue d'afficher autre chose.
• CreationDate vs ModDate. Sur un fichier généré d'un seul coup, ces deux dates correspondent au même instant. Un écart, ou une ModDate antérieure à la CreationDate, signifie que le fichier a été retouché après sa création.
• xmpMM:InstanceID. Les acteurs les plus sophistiqués alignent les deux couches de métadonnées, mais cet identifiant UUID est régénéré à chaque enregistrement, et son format peut trahir le logiciel utilisé.

Base pratique à mettre en place : exiftool dans votre pipeline d'ingestion. Il lit simultanément /Info, XMP et EXIF et signale les incohérences entre couches. Conservez l'extraction brute, pas seulement le verdict, dans votre piste d'audit : six mois plus tard, vous voudrez re-scorer les anciens fichiers avec une nouvelle règle.

Comment construire une empreinte de producteur de référence par émetteur ?

En apprenant ce que le logiciel de chaque émetteur produit réellement, puis en déclenchant une alerte sur les couples improbables. C'est l'approche décrite dans des brevets déposés sur la détection automatisée de documents frauduleux : un détecteur d'anomalies de métadonnées recherche les couples de métadonnées à faible probabilité, si bien que lorsqu'une catégorie de document dont la source légitime émet toujours une chaîne de producteur donnée affiche un producteur différent, le détecteur déclenche un score d'anomalie élevé signalant un logiciel externe.

Deux détails de calibrage comptent en production. D'abord, les faux positifs bénins : l'impression en PDF depuis un navigateur produit des producteurs comme Quartz ou Skia (Safari) et PDFium (Chrome), qui doivent recevoir un score plus bas qu'un producteur tiers inexpliqué. Ensuite, la pondération. La même famille de brevets note que les détecteurs fondés sur le contenu, qui recherchent des artefacts de falsification, pèsent généralement plus lourd que les alertes de métadonnées dans le score d'anomalie global. Les métadonnées sont bon marché, à fort rappel mais faible précision. Traitez-les comme un routeur vers la relecture humaine, pas comme une règle de rejet. Si vous exploitez déjà une extraction fondée sur des modèles par émetteur, vous disposez probablement déjà du corpus par émetteur nécessaire pour construire ces bases de référence gratuitement.

Quels signaux structurels et de mise en page survivent au nettoyage des métadonnées ?

La table des références croisées (xref) et le graphe d'objets, car ils sont des sous-produits du fonctionnement de la bibliothèque d'écriture plutôt que des chaînes déclarées. La table xref est l'élément structurel qui ne peut pas simplement être effacé, et ces signaux se combinent pour former un verdict d'authenticité global. La criminalistique structurelle reformule la question : ce fichier a-t-il été généré par un vrai système institutionnel, ou par un navigateur headless, une bibliothèque PDF ou un outil grand public, jugé à partir des métadonnées du producteur, des motifs de la xref, de l'incorporation des polices et de la numérotation des objets.

La géométrie de la mise en page ajoute un axe orthogonal. Le vrai modèle d'un émetteur est déterministe : les boîtes englobantes des champs se positionnent à un ou deux pixels près sur des milliers de documents, les décalages horizontaux des colonnes se répètent, le bloc de TVA se trouve toujours au même endroit. Un faux régénéré reproduit généralement l'apparence de ce modèle sans en reproduire les caractéristiques numériques. Vous pouvez scorer cela avec les mêmes coordonnées de boîte englobante que votre extracteur renvoie déjà : distributions par émetteur des positions des champs, espacement de la ligne de base des glyphes, quantification de la hauteur de ligne, et statut du texte, vecteur réel ou simple image raster aplatie.

Il faut toutefois garder la distinction bien nette : un document peut contenir du texte rédigé par une IA tout en provenant d'un vrai système d'entreprise, et il peut contenir un texte entièrement rédigé par un humain tout en ayant été rendu par Puppeteer une heure plus tôt.

Comparaison des signaux : coût, résistance au contournement, ce qu'ils prouvent

Les détecteurs d'images IA au niveau du pixel fonctionnent-ils sur des documents scannés ?

Ils fonctionnent, avec de vraies réserves, et uniquement sur la chaîne raster. Les détecteurs exploitent des statistiques que les modèles génératifs n'optimisent pas : les résidus de bruit, ces fluctuations pixel à pixel découplées du signal de base, sont souvent négligés lors de l'optimisation des modèles génératifs et laissent des artefacts détectables. Les travaux fondés sur les résidus SRM montrent que les images réelles conservent une amplitude de bruit assez homogène entre régions, tandis que les images générées ont tendance à corréler l'intensité du bruit avec la complexité de la texture.

La robustesse reste le point faible. Une méthode fondée sur la reconstruction rapporte un AUROC de 83 à 87% sous compression JPEG/WebP, qui chute à 70-77% en cas de flou, de distorsion géométrique ou de capture d'écran, et un tableau de référence publié montre que les meilleurs détecteurs sur GenImage se situent dans une fourchette de précision de 70 à 85% dès que la qualité JPEG descend à 70 (Kang et al.). Un document photographié avec un téléphone, redimensionné, puis réencodé par votre pipeline d'admission se situe exactement dans ce régime dégradé. Conséquence : ne jamais rejeter automatiquement sur la seule base d'un score pixel. Il faut l'intégrer à un score de risque global aux côtés des contrôles structurels, et router vers une relecture humaine au-delà d'un certain seuil.

Les métadonnées vous donnent le rappel, la structure vous donne la précision, et seule la transaction vous donne la vérité.

Et le C2PA et la provenance signée ?

Le C2PA résout le problème inverse : prouver qu'un document est authentique plutôt que prouver qu'il est faux. Les Content Credentials sont des manifestes signés cryptographiquement qui fournissent un enregistrement vérifiable de la provenance et de l'historique des modifications, et la liste des conteneurs pris en charge inclut explicitement le PDF, aux côtés du JPEG, du PNG et du MP4. La vérification ne nécessite aucun appel réseau vers le signataire, car tous les certificats requis voyagent à l'intérieur du manifeste, ce qui compte partout où la connectivité ou la plateforme d'origine n'est pas disponible.

Deux limites pour quiconque envisage de s'appuyer sur ce standard. D'abord, la couverture : les plateformes suppriment les métadonnées, et bien que le C2PA v2.2 (mai 2025) ait obtenu une adoption matérielle et un soutien des pouvoirs publics, les réseaux sociaux effacent systématiquement les métadonnées au moment du téléversement. Ensuite, la sémantique : un contenu fabriqué ou trompeur peut porter un identifiant valide qui confirme son origine tout en validant, sur le plan technique, un contenu authentique mais mensonger. La réglementation pousse malgré tout à l'adoption, puisque l'article 50 de l'AI Act européen et la loi californienne SB 942 exigent tous deux une divulgation lisible par machine du contenu généré par IA. Il faut donc se préparer à une décennie d'admission de documents à provenance mixte, plutôt qu'à une bascule nette.

Où doit se situer la décision finale ?

Sur la transaction, pas sur le document. Le rapprochement d'une facture soumise avec les données de la transaction par carte, les codes catégorie marchand et les horodatages de paiement permet de confirmer si un achat a réellement eu lieu, quel que soit le réalisme apparent de la facture. Les signaux structurels et de métadonnées constituent votre premier filtre, peu coûteux ; c'est la validation croisée entre documents, confrontée aux flux bancaires, aux lignes de bons de commande et aux référentiels fournisseurs, qui permet de clore le dossier. Sygnet conçoit des pipelines d'extraction de documents qui exposent ces caractéristiques de mise en page et de provenance en parallèle des champs extraits, ce qui rend ce recoupement automatisable.

Une règle opérationnelle tirée de la littérature sur la criminalistique structurelle mérite d'être adoptée telle quelle : un verdict structurel non concluant constitue lui-même un signal. Les empreintes de producteur et les traces de navigateur headless comptent, et un résultat NON CONCLUANT est précisément le signal de fraude sur lequel il faut agir. Routez-le, ne le validez pas.

FAQ

Peut-on détecter un PDF généré par IA à partir des seules métadonnées ?

Non, pas de façon fiable. Le champ Producer n'est qu'une chaîne de texte brut, modifiable à volonté, si bien que contrer l'usurpation du producteur nécessite de vérifier plusieurs signaux structurels ensemble (motifs de numérotation des objets, méthodes d'incorporation des polices, cohérence des métadonnées XMP) plutôt que la seule chaîne du producteur. Les métadonnées sont surtout utiles comme couche de tri à fort rappel, qui oriente les fichiers suspects vers des contrôles structurels et transactionnels plus approfondis, la précision provenant des bases de référence par émetteur plutôt que d'une règle universelle.

Et si le fraudeur rédige un texte par IA dans Word puis l'exporte en PDF ?

La criminalistique structurelle le qualifiera de document d'origine grand public, ce qui constitue une preuve faible dans un sens comme dans l'autre. Un fichier rédigé dans Word et exporté en PDF ressemble à n'importe quel export Word : l'origine apparaît comme « grand public », un résultat non concluant mais pas alarmant pour des documents dont on attend justement qu'ils viennent de Word. Pour des catégories de documents censées toujours provenir d'un ERP ou d'un système de facturation, ce même verdict constitue en revanche une forte anomalie. C'est le contexte propre à chaque catégorie de document qui pilote le scoring.

La facturation électronique structurée élimine-t-elle le problème ?

Elle réduit la surface d'attaque sans l'éliminer. Les formats structurés comme Factur-X portent un XML lisible par machine dont les champs peuvent être validés selon un schéma et des règles fiscales, plutôt que lus sur une image, et l'échange via plateforme ajoute un émetteur authentifié. Le risque résiduel se déplace en amont : une facture entièrement fabriquée mais conforme au schéma, provenant d'un faux fournisseur. Ce sont les contrôles d'identité et la validation du référentiel fournisseurs, et non la criminalistique au niveau du pixel, qui constituent le contrôle capable de repérer ce cas.