Le 22 septembre, le Media Provenance Summit, organisé par l'International Press Telecommunications Council (IPTC) et Media Cluster Norway, est revenu à Bergen avec la régularité d'une saison. La comparaison d'une année sur l'autre éclaire utilement l'évolution du secteur. En douze mois, presque tout ce qu'il faut pour créer, signer et vérifier des Content Credentials est passé du stade de la démonstration à celui du produit. Ce qui n'a presque pas bougé, c'est l'autre bout de la chaîne : les plateformes et les éditeurs, là où les images sont réellement vues. Bergen a réuni une industrie prête à livrer, qui attend toujours que quelqu'un vienne prendre livraison.

En amont, ça fonctionne

Le signe le plus net vient des appareils photo. Presque tous les grands fabricants disposent désormais de prototypes fonctionnels ou de modèles de série qui signent les images au moment de la prise de vue, et tous, à l'exception d'Apple, sont compatibles avec la norme de la Coalition for Content Provenance and Authenticity (C2PA). Google a intégré C2PA à son Pixel 10 et compte parmi les membres les plus actifs des groupes de travail et du comité de pilotage. Apple reste le point d'interrogation. Bruce MacCormack, de l'IPTC, l'a cité parmi les questions encore ouvertes de l'écosystème, et pour l'entreprise qui fabrique l'appareil photo le plus utilisé au monde, la question est de taille. La direction est néanmoins fixée : la provenance commence désormais dans l'appareil, avant que quiconque n'ait touché au fichier.

Le deuxième signe est le programme de conformité C2PA (C2PA Conformance Program), opérationnel et très actif. Presque chaque jour, une entreprise annonce sa certification avec autant de fierté qu'un parent le jour de la remise de diplôme de son enfant. Cette fierté est justifiée, car c'est la conformité qui donne sa valeur à un credential. Comme l'a expliqué Brendan Quinn, de l'IPTC, un outil de vérification contrôle deux choses : que le credential est intact, et qu'il a été signé par un outil certifié dans le cadre du programme. Un credential peut réussir le premier test et échouer au second ; le lecteur voit alors un avertissement. Depuis juin, le programme couvre aussi la vidéo en direct et à la demande. Concrètement, la conformité fournit aux acheteurs une liste d'outils auxquels ils peuvent se fier sans avoir à auditer chacun d'eux, ce dont un marché a précisément besoin pour se constituer.

Le troisième signe, ce sont les fournisseurs. Ils sont bien réels, actifs, prêts à déployer, et couvrent désormais chaque maillon de la chaîne. La photo et la vidéo sont les mieux représentées, mais la session de présentations éclair a aussi montré le texte (Encypher), le streaming en direct (EBU, Unified Streaming, Vimond, CastLabs, Eyevinn), les clés, certificats et horodatages (SSL.com, Utimaco, Trufo, Noosphere) et le flux de travail éditorial (Camera Bits). La grande majorité sont des start-up de deux ou trois personnes, pour la plupart autofinancées et fondées sur de solides preuves de concept. Le capital-risque et les investisseurs professionnels ne sont pas entrés sur ce marché. Cela dit deux choses : les bâtisseurs croient suffisamment à la provenance pour la financer eux-mêmes, et ceux dont le métier est de parier sur des marchés avant qu'ils n'existent ne sont pas encore convaincus que celui-ci existe.

Fait intéressant, autour de cet écosystème bouillonnant gravitent de grandes multinationales bien établies, dont Google, Adobe, Microsoft, SSL.com, la BBC et l'AFP. La bonne volonté dans la salle est sincère. La méfiance prudente qui la sous-tend l'est tout autant : chacun sait que le partenaire d'aujourd'hui peut devenir le concurrent le plus féroce de demain. Tout le monde coopère sur la norme en gardant un œil sur qui en tirera profit.

Le géant endormi

Ce qui nous amène à ce que chacun aimerait réveiller : le marché. Qui va déployer, quand, comment et à quel prix ? Qui paie, et pour quoi ?

Personne ne le sait. Chacun veut être le premier à en profiter, et chacun aimerait connaître la taille de ce géant, si tant est que c'en soit un. Pour l'instant, la pression vient davantage de la réglementation que des acheteurs, et le règlement européen sur l'IA (AI Act) est la principale raison pour laquelle les clients évoquent C2PA. Mais personne n'a encore de grille tarifaire. L'AFP a parlé franchement des résistances rencontrées en interne, symptomatiques de ce qui se passe ailleurs : ses juristes ont soutenu que l'article 50 ne s'applique pas à une agence de presse ; ses équipes commerciales ont fait remarquer que la provenance ne figure pas dans ses contrats B2B ; ses ingénieurs l'ont trouvée compliquée ; et ses rédacteurs en chef ont demandé ce qu'il fallait exactement partager. L'AFP poursuit malgré tout, avec un pilote de diffusion auprès de clients sélectionnés dès qu'elle sera conforme, et un projet vidéo avec Dalet pour début 2027.

Pourquoi il dort : l'aval

La raison est simple. En amont, l'environnement est prêt et très actif. En aval, c'est encore l'apathie. Les réseaux sociaux et les grands éditeurs, qui détiennent les clés du succès de cette initiative, restent immobiles. LinkedIn fait exception : Zak Datson, de la BBC, a présenté le travail mené avec LinkedIn pour que les credentials soient conservés jusque dans son fil d'actualité. Les autres ne sont même pas dans la salle.

Ils détiennent pourtant les clés, et les portes. S'ils ne préservent pas et n'affichent pas les Content Credentials, tout ce qui se fait en amont ne servira à rien. Une photographie signée dont le credential est supprimé lors du téléversement, ou jamais affiché au lecteur, ne se distingue en rien de n'importe quelle autre photographie.

Les quelques rédactions qui avancent montrent à quel point la chaîne reste brisée. Bruce MacCormack les a qualifiées de pionnières, et elles méritent ce titre. Paris Match teste activement la publication avec credentials. En Norvège, VG, Adressa et Bergens Tidende prévoient de publier avec C2PA d'ici fin 2026, dans le cadre d'un pilote mené par Nora Savosnick, de Show Your Work Lab. Elles ont découvert que le DAM utilisé par les trois titres, NTB Lens, invalide les identifiants, tout comme les systèmes de gestion de contenu (CMS) de leurs maisons mères. Pour le pilote, les images doivent être stockées chez un tiers simplement pour survivre. Unified Streaming a fait le même constat pour la vidéo : c'est au moment du packaging que les credentials se cassent, et lorsqu'ils sont supprimés en aval, personne n'y répond, ni le fournisseur d'IA, ni le déployeur, ni l'éditeur. On ne peut qu'espérer que ces pionniers entraîneront les autres dans leur sillage.

Contourner la faille

En attendant, l'amont n'attend pas. Puisque les métadonnées seront supprimées, et elles le seront, la réponse consiste à lier le credential aux pixels eux-mêmes. Unified Streaming l'a dit sans détour sur une diapositive : la liaison souple (soft binding) sert pour le jour où les métadonnées casseront, pas au cas où elles casseraient.

C'est là qu'Imatag a présenté, avec son CEO Mathieu Desoubeaux, une implémentation complète « glass-to-glass », de l'objectif à l'écran. Un appareil Sony génère le Content Credential lors de la prise de vue. Les fichiers RAW sont ensuite importés dans l'excellent Photo Mechanic de Camera Bits pour le traitement et le légendage IPTC. À l'export, le credential est mis à jour et signé, et un filigrane invisible Imatag est incrusté en guise de liaison souple, de sorte que l'image puisse être rattachée à son credential même après la disparition des métadonnées. L'AFP teste une logique similaire avec un double filigrane : une marque TrustMark  publique, associée à une marque Imatag sécurisée, le plug-in bêta d'Adobe affichant les Content Credentials d'une photo publiée sur un site web sans aucune métadonnée.

La liaison souple permet de retrouver la provenance partout où l'image circule. 

Cela va-t-il se faire ?

L’impatience  était palpable à Bergen, mais elle n'a pas suffi à entamer l'enthousiasme. Le sentiment dominant est que cela va se faire. Simplement pas assez vite.

En attendant, le travail se poursuit pour rendre toutes ces informations compréhensibles par le grand public, en s'appuyant sur des études auprès des utilisateurs. Microsoft a présenté ses recherches en UX. Unified Streaming a souligné qu'un original sorti de l'appareil et une image manipulée par l'IA peuvent afficher la même icône « CR », la différence n'apparaissant qu'après avoir touché l'icône. MacCormack a reconnu que le logo CR est efficace pour sensibiliser l'industrie, mais qu'il a une utilité limitée en tant que marque grand public, et que C2PA et la CAWG (Creator Assertions Working Group) ont besoin, ensemble, d'un nouveau nom. Les rédactions norvégiennes interrogeront leurs lecteurs sur l'ergonomie et la confiance. Quand les plateformes se réveilleront enfin, elles trouveront au moins l'explication toute prête.