Le tatouage d'IA (AI watermarking) désigne les techniques permettant d'intégrer un signal détectable dans le contenu généré par un système d'IA, comme du texte, des images, de l'audio ou de la vidéo, afin que ce contenu puisse ensuite être identifié comme étant généré par une machine. Contrairement à un filigrane visible apposé sur une image, la plupart des schémas de tatouage d'IA sont conçus pour être imperceptibles à l'œil humain tout en restant statistiquement détectables par un algorithme de correspondance, et, dans certaines conceptions, robustes aux modifications courantes telles que le recadrage, la compression ou la reformulation.
L'intérêt pour le tatouage d'IA a fortement augmenté parallèlement à l'essor de l'IA générative à partir de 2022, stimulé par les préoccupations concernant le contenu synthétique de faible qualité inondant Internet, les deepfakes liés aux élections et l'intégrité académique et journalistique, et a été mentionné dans les discussions politiques, notamment les engagements volontaires de la Maison-Blanche de 2023 et les exigences de transparence de l'AI Act de l'UE pour le contenu synthétique.
Techniques
Pour le texte, les schémas de tatouage fonctionnent généralement en biaisant subtilement l'échantillonnage du jeton suivant d'un grand modèle de langage, par exemple en favorisant un sous-ensemble pseudo-aléatoire de jetons tout aussi probables plutôt qu'un autre à chaque étape de génération, selon un schéma invisible pour le lecteur mais statistiquement détectable avec la même clé pseudo-aléatoire utilisée lors de la génération. Pour les images et les vidéos générées par des systèmes tels que les modèles texte-image et texte-vidéo, SynthID de Google DeepMind, lancé en 2023, intègre un signal directement dans les valeurs des pixels pendant ou après la génération, qui survit aux transformations courantes comme le redimensionnement ou la compression, sans altérer visiblement l'image. Le tatouage audio intègre de même des signaux dans des plages de fréquences situées en dehors de la perception humaine typique.
Limites
Le tatouage est confronté à des défis techniques et d'adoption importants. Les tatouages de texte peuvent souvent être supprimés par reformulation, traduction ou en demandant à un autre modèle de réécrire le contenu, et la détection peut produire des faux positifs sur du texte rédigé par des humains qui correspondrait par hasard au schéma statistique. Les tatouages ne sont utiles que si le système générateur choisit de les appliquer, ce qui signifie que les modèles open source ou modifiés peuvent tout simplement omettre l'étape de tatouage, et aucun schéma n'a démontré de robustesse face à un adversaire déterminé cherchant spécifiquement à le retirer. En 2025, l'adoption du tatouage restait incohérente selon les fournisseurs, certains, comme Google et Meta, le déployant pour leurs propres générateurs d'images et de vidéos, tandis que des normes interopérables générales émergeaient encore dans le secteur.
Approches connexes
Le tatouage d'IA est souvent discuté en parallèle, et parfois confondu, avec les normes de provenance du contenu telles que le cadre C2PA, qui associe plutôt des métadonnées signées cryptographiquement décrivant l'historique de modification d'une image, une approche complémentaire plutôt que concurrente, car les métadonnées peuvent être supprimées en réenregistrant un fichier d'une manière qu'un tatouage robuste au niveau des pixels peut survivre. Alors que les modèles sont de plus en plus entraînés en partie sur des données extraites du web, distinguer les données d'entraînement authentiques des sorties d'IA synthétiques est également devenu important pour prévenir la dégradation des futurs modèles, une motivation supplémentaire pour les efforts de provenance et de tatouage au-delà des préoccupations liées à la désinformation.