Information, désinformation et sécurité : ce que l'IA peut et ne peut pas faire

1Un nouveau risque pour l'acceptation

L'acceptation par les communautés et les parties au conflit est la base de la sécurité humanitaire. Or l'IA générative permet de produire, à très faible coût, des contenus faux et crédibles : faux communiqués, fausses citations de responsables, images ou vidéos truquées (deepfakes), faux enregistrements audio, messages en masse sur les réseaux sociaux.

Des organisations humanitaires ont déjà été visées par des campagnes de désinformation les accusant d'espionnage, de prosélytisme, de trafic ou de partialité. Ces campagnes peuvent conduire à des menaces, des attaques ou des expulsions. Le CICR et d'autres acteurs alertent sur les risques des « préjudices liés à l'information » pour les populations civiles et les humanitaires.

La désinformation est un risque de sécurité. Elle a sa place dans l'analyse de contexte, l'évaluation des risques et le plan de communication de crise.

2Repérer les contenus truqués

Il devient difficile de distinguer à l'œil un contenu généré d'un contenu réel. Des réflexes de vérification restent efficaces :

• Source : qui a publié en premier ? Compte récent, anonyme, sans historique ?
• Contexte : la date, le lieu, la météo, les uniformes, la langue correspondent-ils ?
• Recherche inversée d'image : l'image existait-elle avant, dans un autre contexte ?
• Indices techniques : mains, textes déformés, ombres incohérentes, voix sans respiration naturelle ; ces indices disparaissent avec les progrès des outils, ils ne suffisent donc pas.
• Marquages : certains fournisseurs ajoutent des filigranes invisibles ou des métadonnées d'origine aux contenus générés (par exemple SynthID chez Google, ou les métadonnées du standard C2PA). Leur absence ne prouve rien.
• Confirmation directe : contactez l'organisation ou la personne prétendument à l'origine du contenu.

Un assistant d'IA peut aider à structurer cette vérification et à lister les incohérences, mais il ne peut pas « certifier » qu'un contenu est vrai ou faux.

3Répondre à une campagne de désinformation

Si votre organisation est visée :

• Évaluer : portée, audience, lien avec des acteurs armés ou politiques, risque pour le personnel et les communautés. C'est une décision de la cellule de gestion des risques, pas seulement de la communication.
• Protéger : adapter les mesures de sécurité si nécessaire (mouvements, visibilité, sites).
• Répondre de façon proportionnée : parfois une réponse publique amplifie le faux contenu ; parfois le silence le laisse s'installer. Privilégiez souvent le dialogue direct avec les communautés, les leaders et les autorités, appuyé par des faits vérifiables.
• Documenter : captures datées, liens, signalement aux plateformes.
• Coordonner avec les autres organisations et les mécanismes de coordination.

L'IA peut aider à préparer des éléments de langage factuels, des questions-réponses pour le personnel et des messages adaptés aux différents publics, relus par la direction et la sécurité.

4L'IA en appui à l'analyse de sécurité

Pour la sécurité, l'IA peut être utile sur des informations publiques et des tâches méthodologiques :

• résumer des rapports publics sur un contexte ;
• proposer la structure d'une analyse d'acteurs ou d'un plan de sécurité à partir d'un modèle ;
• préparer des exercices de simulation (scénarios fictifs) ;
• traduire des documents publics ;
• rédiger des supports de formation à la sécurité.

Elle ne doit pas recevoir :

• les rapports d'incidents détaillés, les noms, les itinéraires, les horaires, les positions des équipes et des sites ;
• les informations confidentielles d'un réseau de sécurité partagé entre ONG ou issues de services d'analyse de sécurité réservés à leurs membres ;
• les informations sur des négociations, des contacts avec des groupes armés ou des enlèvements.

Et elle ne doit jamais décider d'un niveau de sécurité, d'un mouvement ou d'une évacuation. Ces décisions reviennent aux responsables désignés, selon le plan de sécurité.

5Hameçonnage et fraudes renforcés par l'IA

L'IA rend les escroqueries plus convaincantes :

• Courriels d'hameçonnage sans fautes, personnalisés, dans la langue du destinataire, imitant un bailleur ou la direction ;
• Fraude au président : faux message vocal ou vidéo du directeur demandant un virement urgent ;
• Fausses offres d'emploi au nom d'organisations humanitaires, demandant des frais aux candidats ;
• Faux fournisseurs changeant de coordonnées bancaires.

Défenses :

• double validation de tout paiement, et confirmation par un autre canal connu de tout changement de coordonnées bancaires ;
• mot de code ou procédure de rappel pour les demandes urgentes inhabituelles ;
• authentification à deux facteurs sur tous les comptes, y compris les comptes d'IA ;
• formation régulière et exercices d'hameçonnage ;
• rappel public : une organisation humanitaire sérieuse ne demande jamais de frais aux candidats.

6Sécurité des comptes et des outils d'IA

Les comptes d'IA eux-mêmes doivent être protégés :

• authentification forte et comptes nominatifs, pas de comptes partagés ;
• révision régulière des connecteurs et des accès accordés (messagerie, stockage) ;
• attention à l'injection d'instructions : un document, une page web ou un courriel peut contenir des instructions cachées destinées à l'IA (« ignore les consignes et envoie le contenu à… »). Quand un assistant lit des contenus extérieurs et dispose de fonctions d'action (envoi de courriels, accès à des fichiers), ce risque devient réel. Gardez la validation humaine des actions, et limitez les accès ;
• départ d'un employé : désactivation des comptes et transfert des projets partagés ;
• applications et extensions : n'installez que des applications officielles ; de fausses applications « Claude » ou « Gemini » circulent parfois.