Le flux documentaire d’un assureur français compte 859 tables de quantification JPEG distinctes, chacune correspondant à une recette légèrement différente pour décider quels détails de l’image seront sacrifiés. Le benchmark public sur lequel s’entraînent et se notent la plupart des détecteurs de faux documents n’en compte, lui, qu’une seule — ce qui signifie que ces modèles ont passé toute leur vie d’entraînement à étudier une unique signature de compression, traitant tout écart par rapport à elle comme une preuve de falsification. Les distributeurs pointent aujourd’hui ce même type de modèle sur des certificats d’origine, des dossiers d’audit de sous-traitants et des documents d’authentification de revente, et ils choisissent entre fournisseurs sur la base de scores calculés dans la seule condition pour laquelle ces modèles ont été conçus.

Une table de quantification est une empreinte, pas un simple réglage. La norme JPEG laisse à l’encodeur le soin de décider ce qui survit à la compression, et presque tous les appareils photo, scanners et convertisseurs PDF embarquent des tables codées en dur, adaptées à leur propre matériel — de sorte qu’une page passée par trois de ces outils porte un historique de compression en plusieurs couches. Les détecteurs de faux exploitent ce phénomène, car une zone modifiée puis réenregistrée cesse de correspondre aux traces de compression du reste de la page. L’étude DocQT, révisée hier sur arXiv et construite à partir du flux documentaire de l’assureur français MAIF, montre ce qui se passe lorsqu’un modèle apprend cette astuce sur une seule table puis se retrouve confronté aux tables que portent réellement les documents.

Le résultat se scinde selon l’architecture, et c’est cette scission que l’acheteur doit retenir. Les auteurs ont entraîné deux modèles de localisation de deux façons différentes : une fois selon l’augmentation par facteur de qualité, standard dans le domaine, une fois à partir de tables de quantification tirées du flux réel. Le réentraînement sur des tables réalistes a fait gagner à FFDN, qui prend la table de quantification en entrée explicite, 14,5 points de F1 sur la localisation des zones falsifiées. Mesorch, qui ne lit pas la table, n’a rien gagné sous compression réaliste et a même perdu du terrain sur la condition de benchmark standard pour laquelle il avait été calibré. Deux architectures et un seul assureur, c’est un échantillon restreint, et les auteurs le reconnaissent. Cela suffit néanmoins à établir le mécanisme, car ce mécanisme réside dans le format de fichier plutôt que dans le secteur d’activité.

Le chiffre des faux positifs est le point où l’on quitte le débat de classement pour entrer dans le concret. Testé sur des documents authentiques issus du flux réel, le modèle entraîné selon la méthode standard a signalé des pixels falsifiés à tort à un taux environ six fois supérieur à celui de la version entraînée sur des tables réelles. Ce sont des documents propres que l’on accuse à tort, et chaque accusation consomme l’attention d’une personne plutôt que celle d’un modèle. La MAIF reçoit plus de 100 000 documents par mois pour la seule gestion des sinistres, si bien qu’une faible erreur proportionnelle se traduit par une file d’attente considérable en valeur absolue. Un détecteur dont la file est majoritairement composée de bruit ne finit pas contredit : il finit débranché.

Un benchmark distinct, publié en mars, a mesuré l’ampleur de cet écart. DocForge-Bench a fait tourner quatorze méthodes de détection de faux sur huit jeux de données documentaires, sans aucun ajustement spécifique au domaine. Le détecteur entraîné sur le jeu de données standard du secteur obtient un F1 pixel de 0,914 sur son propre jeu de test, selon DocForge-Bench. Testé sur un ensemble de reçus falsifiés qu’il n’avait jamais vus, ce même détecteur tombe à 0,002. Le diagnostic compte plus que l’effondrement lui-même : la plupart des méthodes conservaient une AUC pixel modérée, ce qui signifie qu’elles continuaient de classer les pixels suspects à peu près correctement, mais avaient perdu la capacité de décider à quel moment la suspicion devient un constat.

Ces modèles n’ont pas appris à quoi ressemble une falsification ; ils ont appris à quoi ressemble un pipeline précis, et traitent tout ce qui en sort comme suspect.

Cette astuce a des limites que DocForge-Bench énonce explicitement. Ses huit jeux de données sont antérieurs aux falsifications documentaires générées par diffusion ou par LLM, si bien que rien dans les deux études n’indique qu’un modèle réentraîné sur des tables de quantification réalistes intercepterait une page qu’une IA générative aurait construite de toutes pièces. Le correctif portant sur les tables de compression réduit l’écart mesuré par ces deux études ; il ne referme pas ce nouvel écart.

Le commerce de détail est en train d’assembler précisément le type de flux documentaire que ces modèles gèrent le plus mal. Les consignes d’application sur le travail forcé publiées par les douanes américaines (CBP) à destination des importateurs, émises le 9 juin et résumées par Holland & Knight, demandent aux importateurs de produire bons de commande, nomenclatures, dossiers de production, documents de transport et attestations fournisseurs jusqu’aux sous-traitants de rang inférieur, selon une norme de preuve claire et convaincante que des documents caviardés ou non traduits ont peu de chances de satisfaire. Un dossier ainsi constitué est un empilement de photos prises au téléphone par un chef d’atelier de teinturerie, passées par le photocopieur vieillissant du bureau d’une usine, réenregistrées par l’outil PDF d’un transitaire, puis téléversées par une équipe conformité située dans un quatrième pays. Chacune de ces étapes écrit sa propre table de quantification. Les documents qui pèsent le plus juridiquement sont ceux qui sont passés par le plus de mains — autrement dit, ceux qui s’éloignent le plus de tout benchmark.

L’objection la plus solide est qu’il ne s’agirait pas là d’un échec de modélisation. DocForge-Bench a constaté qu’ajuster le seuil de décision sur seulement dix images du domaine permettait de récupérer entre 39 et 55 % de l’écart atteignable, ce qui pointe vers un problème de calibration plutôt que d’aveuglement. Vu sous cet angle, un distributeur n’a qu’à effectuer une brève calibration sur son propre flux documentaire, et le problème se réduit à un détail de déploiement. Ce qui doit être réuni pour que cela fonctionne, c’est la possession d’exemples étiquetés de documents falsifiés issus de son propre flux — et une marque qui vérifie la paperasse de ses fournisseurs ne conserve pas de dossier de faux connus dans sa propre chaîne de compression. Récupérer la moitié d’un écart atteignable laisse aussi subsister l’autre moitié, et le résultat de DocQT situe cette moitié-là dans ce que le modèle a été entraîné à regarder, plutôt que dans l’endroit où se situe son seuil.

La question d’achat que cela change est étroite et a une réponse. Une démonstration fournisseur affiche un score de benchmark, mais ce qui prédit la performance sur vos propres certificats d’origine, c’est la distribution des tables de quantification dans votre propre flux documentaire — une donnée que tout distributeur peut mesurer en une après-midi en lisant les en-têtes JPEG de ses propres documents face à la banque de tables publiée par les auteurs de DocQT. Demandez quelles tables le modèle a vues à l’entraînement, et s’il lit seulement la table. Là où ces deux réponses ne correspondent pas aux documents de vos fournisseurs, le benchmark mesure le pipeline du fournisseur plutôt que votre exposition réelle. Les faux documents commerciaux échouent rarement parce qu’ils ont l’air faux : le réseau de détournement textile démantelé par l’OLAF déposait des registres de transit montrant une cargaison arrivée en Espagne alors qu’elle n’avait jamais quitté la Pologne. Un système qui a appris à reconnaître la signature d’un scanner continuera de valider ce genre de documents — et continuera d’arrêter les honnêtes.