Une hausse par 16 qui change l’échelle du problème
La pornographie deepfake générée par IA n’est plus un phénomène marginal. Une nouvelle étude, intitulée “The Backbone of Abuse” et publiée le 30 septembre 2026 dans le Journal of Online Trust and Safety, estime que les vidéos intimes non consenties générées par IA sont passées d’environ 500 000 en 2023 à 8 millions en 2025 . Cette multiplication par 16 en deux ans transforme le débat: il ne s’agit plus seulement de quelques usages abusifs d’outils d’IA, mais d’un système de production et de distribution à grande échelle.
L’étude a été menée par Sarah Morgan, de l’Université de Lancaster, avec Dr Sophie Nightingale, également de Lancaster, et le professeur Hany Farid, du Dartmouth College . Les chercheurs emploient le terme AI-NCII, pour “AI-generated non-consensual intimate imagery”, c’est-à-dire images intimes non consenties générées par IA. Cette formulation est essentielle: le problème central n’est pas seulement le caractère sexuel des contenus, mais l’utilisation de l’identité visuelle d’une personne sans son consentement.
Selon le communiqué de l’Université de Lancaster, ces contenus ciblent principalement des femmes et des filles, et les sites analysés visent surtout des stars d’Hollywood et du cinéma hindi, des idoles de K-pop, ainsi que des féministes et militantes connues . L’étude confirme ainsi une réalité signalée depuis des années par les associations de victimes: les deepfakes sexuels constituent une forme d’abus fortement genrée, difficile à effacer et potentiellement dévastatrice pour la réputation, la sécurité et la santé psychologique des personnes ciblées.
Ce que l’étude a mesuré
Les chercheurs ne se sont pas contentés de compter des publications virales sur les réseaux sociaux. Ils ont étudié l’infrastructure de sites web hébergeant des contenus AI-NCII. D’après un résumé de la méthodologie, l’équipe a collecté 400 adresses web candidates à partir de recherches par mots-clés et d’alertes Google pendant six semaines, en février et mars, avant de réduire l’échantillon à 88 sites actifs hébergeant réellement ce type de contenu .
Cette précision est importante: 312 des 400 adresses initiales n’étaient pas des sites d’abus deepfake, mais des sites sans lien direct utilisant des mots-clés associés à ces contenus pour attirer du trafic . Cela montre à la fois la complexité de la mesure et l’existence d’un écosystème parasitaire autour de la recherche de contenus abusifs.
Parmi les 88 sites confirmés, 38 étaient exclusivement consacrés à des images ou vidéos intimes non consenties générées par IA . Certains hébergeaient des centaines de milliers de vidéos, selon le résumé universitaire de l’étude . Les chercheurs ont aussi constaté que 93% des sites identifiés étaient facilement trouvables via Google Search . Autrement dit, le problème n’est pas confiné à des espaces obscurs ou chiffrés: une partie majeure de ces contenus reste accessible par des pratiques de recherche ordinaires.
Le rôle de l’infrastructure numérique
La contribution la plus forte de l’étude est de déplacer le regard vers l’“ossature” technique du problème. Jusqu’ici, les débats se concentraient souvent sur l’auteur de l’image, l’outil d’IA ou la plateforme sociale où le contenu circule. Ici, les chercheurs demandent quelles entreprises rendent possible la stabilité technique des sites qui hébergent, organisent, monétisent ou rendent découvrables ces contenus.
Cinq acteurs reviennent dans l’échantillon étudié: Cloudflare, Google, Namecheap, WordPress et Proton . Leurs rôles ne sont pas identiques. Cloudflare apparaît fréquemment dans l’hébergement, la distribution de contenu, les services DNS ou l’analytique; Google est associé à des certificats SSL et à la publicité; Namecheap ressort comme bureau d’enregistrement de noms de domaine; WordPress est lié aux systèmes de gestion de contenu; Proton apparaît dans l’infrastructure de messagerie .
Les chercheurs ne prétendent pas que ces entreprises soutiennent volontairement l’abus. Le résumé de Superpower Daily précise que les auteurs n’accusent pas les fournisseurs d’avoir sciemment facilité ces contenus . Mais l’étude soutient qu’une fois un site vérifié comme hébergeant des deepfakes sexuels non consentis, les fournisseurs d’infrastructure disposent de leviers importants pour suspendre, bloquer ou limiter les services qui le maintiennent en ligne.
Sarah Morgan appelle donc à une réponse préventive. Selon Lancaster, les fournisseurs devraient bloquer les sites exclusivement consacrés à l’AI-NCII et suspendre les services de sites mixtes jusqu’à ce que des efforts sérieux de retrait soient entrepris . Les chercheurs recommandent aussi l’usage du “perceptual hashing”, une technique permettant de générer des signatures numériques de contenus abusifs confirmés afin d’empêcher leur remise en ligne .
Le moteur de recherche comme amplificateur
Le fait que 93% des sites identifiés soient facilement repérables via Google Search est l’un des constats les plus sensibles de l’étude . La découvrabilité par moteur de recherche transforme un abus intime en attaque publique. Lorsqu’un nom est associé à un faux contenu sexuel dans les résultats de recherche, le préjudice peut atteindre la famille, les collègues, les employeurs, les camarades de classe ou de parfaits inconnus.
Le rôle de Google est complexe car l’entreprise peut intervenir à plusieurs niveaux: recherche, publicité, certificats et visibilité globale. Selon Superpower Daily, Google a indiqué à 404 Media qu’il lui fallait les domaines précis pour enquêter et a rappelé que ses règles interdisent les contenus explicites non consentis, y compris générés par IA . L’entreprise a aussi indiqué que les violations peuvent entraîner le blocage de publicités ou la suspension de comptes annonceurs, et que les personnes concernées peuvent demander la suppression d’images des résultats de recherche .
Cette réponse met en évidence un problème récurrent: les plateformes demandent souvent des URL spécifiques, tandis que les victimes font face à des copies, miroirs, fichiers renommés et nouveaux domaines. Les chercheurs peuvent identifier des tendances, mais les entreprises demandent généralement des adresses confirmées avant d’agir. L’un des enjeux concrets est donc de créer un canal fiable de signalement vérifié, utilisable rapidement par les fournisseurs d’infrastructure.
WordPress et la frontière entre logiciel et hébergement
L’étude a aussi ouvert un débat sur la définition même d’“infrastructure”. D’après Superpower Daily, WordPress.org conteste cette qualification en expliquant qu’il distribue un logiciel open source et ne contrôle pas les sites indépendamment hébergés . Cette distinction est légitime: fournir un logiciel n’est pas identique à héberger un site ou à modérer son contenu.
Hany Farid répond cependant que WordPress.com, Jetpack et certains services de diffusion liés à Automattic peuvent héberger des sites ou servir des images, même lorsqu’un site n’est pas directement hébergé par Automattic . Le désaccord est révélateur: les sites modernes reposent souvent sur des couches multiples. Un nom de domaine peut être enregistré chez un fournisseur, hébergé chez un autre, accéléré par un réseau de diffusion, monétisé par une régie publicitaire et administré via un logiciel tiers.
Dans ce modèle fragmenté, chaque acteur peut estimer qu’il ne détient qu’une partie du problème. L’étude invite au contraire à poser une question plus opérationnelle: qui peut interrompre l’accès, l’indexation, la monétisation, la distribution ou la redécouverte d’un site une fois l’abus confirmé?
Pourquoi le chiffre de 8 millions est décisif
Le chiffre de 8 millions n’est pas seulement spectaculaire; il modifie la réponse nécessaire. Un problème mesuré en milliers peut être traité dossier par dossier. Un problème mesuré en millions exige des outils automatisés, une coopération interplateformes, des règles juridiques claires et des procédures de signalement fiables.
Le résumé de Lancaster cite aussi une enquête de Channel 4 News de 2024 selon laquelle près de 4 000 personnalités figuraient sur cinq des sites de pornographie deepfake les plus visités, ainsi qu’une analyse sectorielle faisant état de plus de 4 milliards de vues sur 40 des sites les plus visités . Ces chiffres expliquent pourquoi les retraits individuels paraissent souvent insuffisants: l’abus est porté par une économie de l’attention, pas seulement par quelques auteurs isolés.
TechXplore souligne que la création et le partage de ces contenus se sont accélérés parce qu’ils peuvent être générés et diffusés via des sites web, des réseaux sociaux et des services de messagerie privée, dont certains utilisent le chiffrement de bout en bout . Il n’existe donc pas de point de contrôle unique. Si les sites publics sont visés, la diffusion peut migrer vers des groupes privés; si un domaine est suspendu, un miroir peut apparaître ailleurs.
La loi ne suffira pas seule
L’étude paraît alors que plusieurs pays criminalisent la création, la diffusion ou la sollicitation d’AI-NCII. Le communiqué de Lancaster mentionne notamment l’Angleterre et le pays de Galles, tout en soulignant que Sarah Morgan juge la loi nécessaire mais insuffisante . Son argument est pratique: une infraction pénale peut dissuader ou sanctionner, mais elle ne suffit pas toujours à empêcher un site de rester trouvable, monétisé et techniquement disponible.
Le cœur du problème est là. Le droit avance par juridictions nationales et procédures judiciaires; l’abus deepfake circule par domaines, moteurs de recherche, réseaux de diffusion et canaux chiffrés. Les victimes ont besoin de droits, mais aussi de systèmes opérationnels capables de réduire rapidement la visibilité et la redistribution des contenus abusifs.
La meilleure lecture de l’étude n’est pas que les fournisseurs d’infrastructure doivent devenir des arbitres universels de la parole en ligne. Elle est plus ciblée: lorsqu’un contenu sexuel non consenti généré par IA est confirmé, une réponse rapide, traçable et centrée sur la victime devrait s’enclencher. Elle pourrait inclure des signalements par organismes de confiance, la conservation de preuves, le partage de signatures numériques, le déréférencement, l’interdiction de publicité et la suspension de services pour les sites organisés autour de l’AI-NCII.
Un enjeu de sécurité numérique
La hausse de 500 000 à 8 millions de vidéos doit être comprise comme un avertissement de sécurité numérique. Une seule photo publique peut devenir la matière première d’une usurpation sexuelle. La personne ciblée n’a pas besoin d’avoir partagé une image intime; l’agresseur a seulement besoin d’un visage et d’un canal de diffusion.
Cela fragilise les notions mêmes d’identité, de consentement et de réputation en ligne. Les célébrités, militantes et artistes sont fortement touchées parce que leurs images sont abondantes, mais les personnes ordinaires peuvent aussi être exposées via des photos d’école, des portraits professionnels, des réseaux sociaux ou des archives piratées.
Le message central de “The Backbone of Abuse” est donc structurel: l’IA générative a réduit le coût de production de l’abus, et l’infrastructure du web en réduit le coût de distribution. Si la réponse reste limitée à la suppression fichier par fichier après découverte par les victimes, l’écart entre le dommage et le recours continuera de s’élargir.
La publication de cette étude rend la prochaine étape plus claire: régulateurs, plateformes, fournisseurs d’infrastructure et chercheurs doivent bâtir un mécanisme commun pour identifier les sites AI-NCII confirmés et couper les services qui les rendent visibles, stables et rentables . Sans ce déplacement en amont, le passage de 500 000 à 8 millions risque de n’être qu’un premier signal d’alarme.