À quoi sert le code caché que Paint glisse dans chaque image générée par IA ?

Un chercheur a démonté le fonctionnement de Paint et Photos. Chaque image générée par IA y embarque un identifiant unique, émis par les serveurs de Microsoft et relié à la requête.

Paint traîne depuis quarante ans une réputation d'outil inoffensif, celui qu'on ouvre pour recadrer une capture d'écran ou griffonner une flèche rouge sur un plan. Le logiciel a discrètement changé de nature en accueillant la génération d'images par intelligence artificielle. Un travail de rétro-ingénierie publié par le chercheur Xusheng Li vient de montrer ce qui se passe sous le capot. Chaque image produite par Paint ou par l'application Photos sort de la machine avec un identifiant unique incrusté dans ses pixels, délivré par les serveurs de Microsoft et associé à la requête.

Deux couches de marquage pour une même image

Il faut distinguer plusieurs choses qui se ressemblent. Le filigrane visible, ce petit logo apposé dans un coin, Microsoft le documente depuis longtemps pour Microsoft 365 et Bing Image Creator, et l'utilisateur peut le voir. Le marquage invisible dans les pixels n'a rien d'inédit non plus, Google le pratique avec SynthID depuis 2024 et revendique des dizaines de milliards de contenus estampillés. L'élément nouveau tient à la nature de ce qui est inscrit : un identifiant global unique, un entier de 16 octets, émis par le serveur au moment de la génération.

Le mécanisme fonctionne à deux étages qui se répondent. Dans les pixels d'abord, avec la technologie Microsoft InvisMark, invisible à l'œil et robuste à la compression. Dans les métadonnées du fichier ensuite, sous la forme d'un manifeste conforme au standard ouvert C2PA, cette norme de provenance portée par une alliance regroupant Adobe, Microsoft, Google, OpenAI et Meta. Ce manifeste contient une déclaration cryptographiquement signée par Microsoft qui nomme explicitement InvisMark et enregistre l'identifiant transporté par le filigrane pixel. Les deux couches appartiennent donc au même système, ce que la documentation grand public ne laissait pas franchement deviner.

Le détail qui donne au sujet une autre dimension concerne le chaînage. Paint transmet l'identifiant de la génération précédente lors de la requête de modération suivante, ce qui permet de relier explicitement des demandes successives entre elles. Autrement dit, une série d'images créées au fil d'une session ne constitue pas une collection de fichiers indépendants aux yeux du système, mais une suite ordonnée rattachée à un même parcours.

L'AI Act demandait moins que ça

L'article 50 du règlement européen sur l'intelligence artificielle est entré en application le 2 août 2026. Il impose de marquer les contenus générés artificiellement dans un format lisible par une machine et détectable comme tel. Le texte parle de transparence sur l'origine synthétique du contenu, pas de traçabilité de son auteur. Un simple drapeau « cette image vient d'une IA » satisfait l'obligation, et c'est d'ailleurs le niveau auquel se situent la plupart des dispositifs actuels.

Le code de bonnes pratiques sur la transparence, publié par le bureau européen de l'IA le 10 juin 2026, va plus loin. Il recommande d'éviter d'inclure des informations sensibles pour la vie privée dans les métadonnées de provenance. Ce document reste volontaire et ne s'accompagne d'aucune sanction à ce stade, mais il indique la direction que prend la réflexion européenne sur le sujet. Un identifiant relié à une requête individuelle occupe précisément la zone que ce texte suggère d'éviter.

Comment expliquer un tel écart entre l'obligation et la pratique ? La lutte contre les usages malveillants fournit une réponse plausible, un identifiant par génération permettant de remonter à la source d'une image problématique bien plus efficacement qu'un marqueur générique. Microsoft n'a pas répondu dans l'immédiat à la sollicitation du média britannique The Register, et l'entreprise n'a pour l'heure publié aucune explication sur la finalité de ce numéro. Le chercheur relève surtout que baptiser cette fonction « informations d'identification du contenu » reste exact sur le fond, mais ne rend pas l'existence de l'identifiant évidente pour un utilisateur de Windows.

Une donnée personnelle ? La question reste ouverte

Le règlement européen sur la protection des données définit la donnée personnelle comme toute information se rapportant à une personne identifiée ou identifiable, y compris par un identifiant en ligne. La CNIL insiste de son côté sur l'identification indirecte : un numéro qui ne dit rien par lui-même devient une donnée personnelle dès lors qu'il permet, par recoupement, de singulariser une personne. Un identifiant émis par un serveur, associé à une requête et potentiellement à un compte, coche plusieurs cases de cette grille de lecture.

La conclusion mérite toutefois d'être maniée avec prudence. Aucune autorité de protection des données n'a été saisie du dossier à ce jour, aucune qualification juridique n'a été prononcée, et rien n'indique que Microsoft exploite ces identifiants pour remonter à des utilisateurs. La possibilité technique existe, son usage effectif relève pour l'instant de l'hypothèse. C'est une nuance que les commentaires enflammés repérés sur les forums techniques ont tendance à écraser, avec cette certitude un peu rapide que tout identifiant serait forcément un outil de surveillance.

Le contexte industriel donne malgré tout du relief à l'affaire. Meta a présenté son propre filigrane invisible Content Seal, incompatible avec les deux standards concurrents, et OpenAI applique le SynthID de Google à ses images tout en ajoutant des métadonnées C2PA. Chaque acteur bâtit son propre système de provenance avec ses propres choix sur ce qu'il inscrit dedans. L'utilisateur, lui, en découvre le contenu par les travaux de chercheurs plutôt que par les pages de documentation.