Clonage vocal à l'aide de l'IA. La multiplication des escroqueries vocales nécessite-t-elle une analyse plus approfondie du phénomène en Suisse ?

Texte déposé

Ces dernières années, le Parlement s'est déjà penché à plusieurs reprises sur les risques liés aux hypertrucages (deepfakes), à l’hameçonnage, à l'usurpation d'identité numérique et à d'autres formes de cybercriminalité reposant sur l'intelligence artificielle (IA). En parallèle, un phénomène particulièrement préoccupant se développe à un rythme exponentiel : le clonage vocal (voice cloning), c'est-à-dire la reproduction artificielle de la voix d'une personne à l'aide d'outils d'IA générative.

Selon de nombreux rapports spécialisés et des cas récemment relayés par la presse suisse, il suffit aujourd’hui de quelques secondes d’enregistrement audio – souvent faciles à trouver sur les réseaux sociaux ou en ligne – pour créer des imitations vocales extrêmement crédibles. Les technologies en question sont utilisées pour commettre des escroqueries par téléphone, des demandes frauduleuses de virements bancaires, de fausses commandes urgentes ou des manœuvres frauduleuses à l'encontre de particuliers, d'entreprises et de personnes âgées. L’Office fédéral de la cybersécurité a lui aussi récemment signalé une augmentation des cas d’hameçonnage vocal (voice phishing) plus sophistiqués grâce à l’utilisation de l’IA.

Compte tenu de cette évolution, le Conseil fédéral est prié de répondre aux questions suivantes :

1. Quels sont les préjudices financiers connus ou estimés imputables, en Suisse, à des cas de clonage vocal ou d’ hameçonnage vocal reposant sur des technologies d’IA ? Le Conseil fédéral dispose-t-il d'analyses concernant l'évolution possible de ce phénomène et des dommages qui en découlent ?

2. Existe-t-il déjà des formes de coopération structurée entre la Confédération, les cantons, les opérateurs de télécommunications, les plateformes numériques, les prestataires de services technologiques, les banques et d’autres intermédiaires financiers afin d’identifier, de signaler et de prévenir les cas de clonage vocal à des fins frauduleuses ? Si oui, le Conseil fédéral les juge-t-il suffisantes ?

3. Estime-t-il nécessaire de recueillir des statistiques au niveau national sur les cas de fraude par clonage vocal, en les distinguant des autres formes d’hameçonnage ou de cybercriminalité ?

4. Quelles mesures de sensibilisation et de prévention ont déjà été adoptées ou sont prévues pour informer la population, en particulier les personnes âgées, les entreprises et les pouvoirs publics, des risques liés à l'utilisation frauduleuse de voix artificielles générées à l’aide de l’IA ?

Avis du Conseil fédéral

Ad 1 : Il existe une différence essentielle entre le voice phishing (appelé vishing) et le voice cloning. Le voice phishing désigne des appels téléphoniques frauduleux lors desquels des criminels utilisent des voix humaines ou générées par ordinateur afin de gagner la confiance des victimes et de les tromper, sans pour autant imiter la voix d’une personne précise. Le voice cloning, en revanche, désigne l’imitation, à l’aide de l’intelligence artificielle, de la voix d’une personne réelle déterminée dans le but d’usurper délibérément son identité.

Au cours du premier semestre 2026, près de 2000 cas de voice phishing ont été signalés à l’Office fédéral de la cybersécurité (OFCS). Une nette augmentation de ce type d’escroquerie a été observée ces derniers mois, même si le montant des dommages n’est pas connu. Il n'est pas non plus possible d'établir la part imputable à l'intelligence artificielle dans l'augmentation du nombre de cas. Si le recours à l'IA facilite la mise en œuvre de telles attaques, celles-ci peuvent également être perpétrées sans recourir à l'intelligence artificielle.

La situation est différente pour le voice cloning, qui n’est rendu possible que par l’intelligence artificielle. Les efforts nécessaires à ce type d’attaque ne sont rentables pour les auteurs que lorsqu’ils visent des cibles particulièrement lucratives. Par conséquent, les attaques ciblées reposant sur le voice cloning — par exemple lorsqu’il s’agit de cloner la voix d’un CEO — concernent principalement de grandes entreprises. À ce jour, seuls quelques cas de ce type ont été signalés à l’OFCS. Toutefois, la large disponibilité des modèles d'IA générative abaisse les obstacles techniques au recours au clonage vocal.

Ad 2 : L’OFCS reçoit les signalements relatifs aux cyberincidents et aux cybermenaces et échange régulièrement des informations avec les autorités de poursuite pénale, les fournisseurs de télécommunications, les banques ainsi que d’autres parties concernées. Cet échange d’informations fonctionne efficacement et est particulièrement bien établi dans le domaine du phishing.

Ad 3 : À l’heure actuelle, la création d’une catégorie statistique spécifique pour le voice cloning ne paraît pas pertinente. Les cas correspondants sont très rares, de sorte que l’apport en matière de connaissances serait limité. De plus, il n’existe pas de méthodes fiables permettant de déterminer a posteriori si une voix a été clonée à l’aide de l’intelligence artificielle.

Ad 4 : L’OFCS, les polices cantonales, les banques ainsi que d’autres entreprises et organisations mènent activement des actions de sensibilisation sur le thème du phishing et plus particulièrement du voice phishing par différents canaux. Parmi les exemples figurent les informations publiées sur le site internet de l’OFCS, sur le site cybercrimepolice.ch ou encore les campagnes nationales de sensibilisation « s-u-p-e-r.ch » et « e-Banking en toute sécurité ! ». L'Office fédéral de la communication (OFCOM) a également lancé une campagne de sensibilisation sous forme de bandes dessinées à l'intention du jeune public (disponibles sur le site www.websters.swiss). Ces actions de sensibilisation visent à informer la population qu’un numéro affiché et une voix familière ne constituent pas une preuve fiable de l’identité d’un interlocuteur et qu’il convient d’interrompre l’appel en cas de demande urgente de paiement par téléphone. Il est notamment recommandé de convenir explicitement de mots de passe familiaux. Les campagnes de sensibilisation sont continuellement adaptées à l’évolution de la situation en matière de menaces.