Qu'est-ce que C2PA ? Content Credentials : fonctionnement, services compatibles, vérification et différence avec le filigrane (watermark)

Cette photo vue en ligne a-t-elle vraiment été prise avec un appareil photo, ou a-t-elle été créée ou retouchée par IA ? C2PA cherche à répondre à cette question par un « historique de création ». Ces informations accompagnent désormais les images créées avec ChatGPT et les photos prises avec un Google Pixel, et les réseaux sociaux commencent à les afficher sous forme d'étiquette. Cet article présente le fonctionnement de C2PA, les services compatibles, la vérification, ses limites et sa différence avec les filigranes numériques (watermark) comme SynthID, à partir des informations officielles au 9 octobre 2026.

Ce qu'est C2PA

C2PA (Coalition for Content Provenance and Authenticity) désigne à la fois une organisation qui élabore des normes techniques pour indiquer la provenance (d'où vient un contenu) et l'authenticité des contenus numériques, et la norme elle-même. Elle a été fondée en février 2021 par Adobe, Arm, la BBC, Intel, Microsoft et Truepic.

Les informations de provenance ajoutées selon la norme C2PA sont généralement appelées Content Credentials (identifiants de contenu). Comme la liste des ingrédients d'un produit alimentaire, elles permettent de vérifier « quand, par qui et avec quel outil un contenu a été créé, et comment il a été modifié ».

En octobre 2026, le comité de pilotage de C2PA compte 11 entreprises : Adobe, Amazon, la BBC, Google, Meta, Microsoft, OpenAI, Publicis Groupe, Sony, TikTok et Truepic. Parmi les membres ordinaires figurent aussi des entreprises et organisations japonaises comme Canon, Nikon, Fujifilm, la NHK et NTT Docomo.

Le lien entre C2PA et CAI

Un nom revient souvent aux côtés de C2PA : CAI (Content Authenticity Initiative). Lancée par Adobe en 2019, la CAI fournit des outils open source pour mettre en œuvre la norme C2PA et en favorise l'adoption. La répartition des rôles est la suivante : C2PA est « l'organisation qui crée la norme », et la CAI « celle qui la diffuse ».

Fonctionnement : un « historique de provenance » signé joint au fichier

Avec C2PA, un historique de provenance appelé manifeste est joint au contenu. Le manifeste contient notamment les informations suivantes.

Assertions : informations individuelles comme les opérations de création et de modification, les outils ou l'IA utilisés, ou l'appareil photo ayant pris la photo
Déclaration (claim) : regroupe les assertions et porte la signature électronique du créateur (l'émetteur)
Empreinte (hash) du contenu : une valeur calculée à partir du contenu du fichier. Si le contenu est modifié, elle ne correspond plus, ce qui permet de repérer les falsifications

La signature électronique reposant sur un certificat, il est possible de vérifier qui a ajouté l'historique. À chaque nouvelle modification, un nouvel enregistrement reprenant le manifeste précédent est ajouté, ce qui permet de retracer l'historique des modifications.

En cas de perte des métadonnées

Le manifeste étant stocké comme information annexe du fichier, il peut disparaître lors d'une capture d'écran ou d'un nouvel enregistrement. Pour pallier cette faiblesse, la norme C2PA prévoit aussi un mécanisme (Durable Content Credentials) qui permet de retrouver un manifeste conservé à partir d'un filigrane numérique ou d'une empreinte (des caractéristiques calculées à partir du contenu).

La dernière version de la norme

La version 2.4 de la norme, publiée en avril 2026, a ajouté des champs dédiés pour signaler l'utilisation de l'IA et permet désormais d'intégrer la provenance dans des textes comme les documents HTML ou Markdown. Par ailleurs, depuis 2025, un programme de conformité certifie les produits qui respectent correctement la norme.

Principales adoptions

Voici les principales adoptions confirmées dans les informations officielles de chaque entreprise.

OpenAI : ajoute des Content Credentials aux images générées avec ChatGPT et d'autres produits. Les images et l'audio reçoivent aussi le filigrane SynthID de Google.
Google : ajoute des Content Credentials à toutes les photos JPEG prises avec l'appareil photo du Pixel 10, vérifiables dans Google Photos. La fonction « À propos de cette image » de la recherche Google exploite aussi les informations C2PA. Sur YouTube, les vidéos filmées avec un appareil et non modifiées affichent la mention « Captured with a camera » (filmé avec un appareil).
Microsoft : ajoute automatiquement des Content Credentials à toutes les images générées avec Azure OpenAI.
Adobe : propose l'application « Adobe Content Authenticity » et une extension Chrome pour ajouter et vérifier des Content Credentials.
Réseaux sociaux : LinkedIn affiche une icône sur les images et vidéos qui contiennent des informations C2PA. TikTok et Meta (Facebook, Instagram, Threads) lisent les informations C2PA et étiquettent aussi les contenus générés par IA dans d'autres services.
Appareils photo et smartphones : le Leica M11-P a été présenté en 2023 comme le premier appareil photo intégrant les Content Credentials. La série Galaxy S25 de Samsung ajoute des Content Credentials aux images retouchées par IA.
Infrastructure de diffusion : Cloudflare propose une fonction qui conserve les Content Credentials lors de la transformation des images.

Comment vérifier les informations C2PA

Pour savoir si un fichier contient des informations C2PA, vous pouvez utiliser les méthodes suivantes.

Site Verify : en important une image ou un autre fichier sur le site de vérification de la CAI (contentcredentials.org/verify), l'historique de provenance s'affiche.
Extension de navigateur : l'extension Chrome d'Adobe permet de vérifier les informations des images d'une page web.
Affichage dans chaque service : vous pouvez les consulter dans les informations détaillées de Google Photos, dans « À propos de cette image » de la recherche Google, via l'icône « CR » de LinkedIn ou les étiquettes IA de Meta et TikTok.
Outil de vérification d'OpenAI : openai.com/verify permet de vérifier si une image ou un son provient d'OpenAI.

Limites et précautions

C2PA est un mécanisme puissant, mais il présente les limites suivantes.

Les informations disparaissent facilement : une capture d'écran ou une conversion de fichier peut faire perdre les informations de provenance. De nombreux services suppriment les informations annexes lors de l'importation.
Absence d'informations ne veut pas dire faux : l'adoption de C2PA est facultative. YouTube précise lui aussi que l'absence d'étiquette ne signifie pas que le contenu a été modifié.
Ce n'est pas une garantie de véracité : C2PA indique la provenance, c'est-à-dire « qui déclare l'avoir créé, et comment ». Il n'indique pas si le contenu lui-même est exact.
Des défauts de mise en œuvre sont possibles : selon la presse, un problème découvert en 2025 sur des appareils Nikon permettait de signer des images qui n'étaient pas réellement des prises de vue, et le service concerné a été suspendu.
L'adoption n'est pas encore achevée : les produits certifiés par le programme de conformité ne représentent encore qu'une partie de l'offre.

Différences avec le filigrane numérique (watermark)

Outre C2PA, une autre façon d'indiquer l'origine des contenus d'IA est le filigrane numérique (watermark), comme SynthID de Google.

C2PA : un historique signé joint au fichier. Il permet de connaître en détail le parcours, de la création à la modification, mais disparaît si les informations annexes sont supprimées
Filigrane numérique : un signal invisible intégré dans les pixels d'une image ou la forme d'onde d'un son. Il a tendance à subsister même si les informations annexes sont supprimées, mais n'indique guère plus que « créé ou non avec une IA compatible »

Les deux sont complémentaires, et OpenAI comme Google les combinent. Le filigrane numérique est détaillé dans « Qu'est-ce que SynthID ? », et les différences entre les méthodes dans « Comparatif des filigranes IA (watermark) ».

Évolutions réglementaires

Les réglementations qui imposent de signaler les contenus créés par IA favorisent aussi l'adoption de C2PA.

UE : l'article 50 de l'AI Act oblige les fournisseurs d'IA générative à signaler leurs résultats de manière à ce qu'ils puissent être identifiés par des moyens automatiques comme créés par IA. L'article 50 s'applique depuis le 2 août 2026. Toutefois, la modification de l'AI Act de 2026 (Digital Omnibus) accorde, uniquement aux systèmes d'IA mis sur le marché avant cette date, un délai jusqu'au 2 décembre 2026 pour l'obligation de marquage lisible par machine. Le code de bonnes pratiques précisant les méthodes a été finalisé en juin 2026.
Californie (États-Unis) : la loi sur la transparence de l'IA (SB 942) a vu sa date d'entrée en vigueur reportée au 2 août 2026 par une loi modificative de 2025 (AB 853). Elle impose aux grands fournisseurs d'IA générative d'intégrer des marquages invisibles dans les images, vidéos et sons, et de proposer un outil de vérification gratuit.
Japon : au Japon, des expérimentations d'« Originator Profile (OP) », une technologie permettant de vérifier l'émetteur d'un site web ou d'un contenu, sont menées avec la participation de médias et d'autres organisations.

En résumé

C2PA est une norme internationale qui conserve dans le fichier, sous forme d'historique signé, le parcours d'un contenu de sa création à ses modifications. De grandes entreprises comme OpenAI, Google, Microsoft et Adobe l'ont adoptée, et elle gagne les appareils photo et les réseaux sociaux.

Cependant, les informations peuvent disparaître, et leur absence ne prouve pas qu'un contenu est faux. Le plus réaliste est d'utiliser les indications C2PA comme un indice parmi d'autres, en les croisant avec la vérification des filigranes numériques et de l'origine.