Une chanson IA publiée sur la page d’un vrai groupe révèle une faille du streaming

Un test réalisé par 404 Media illustre à quel point il peut être facile de rattacher une sortie musicale au catalogue d’un artiste qui n’y est pour rien. Le sujet dépasse largement une chanson frauduleuse : si les distributeurs et les plateformes de streaming ne vérifient pas suffisamment qui est autorisé à publier sous l’identité d’un artiste établi, leur infrastructure de diffusion peut être détournée par des fraudeurs. 1

Le test mené avec Lathe of Heaven

Selon 404 Media, son journaliste a généré une chanson avec Udio, l’a déposée sur DistroKid en environ cinq minutes, puis l’a publiée sous le titre « Riding High ». Quelques jours plus tard, le morceau figurait sur les pages officielles du groupe punk brooklynois Lathe of Heaven sur Spotify, Apple Music, Tidal et Amazon Music, sans que le groupe en ait connaissance. 1

Il ne s’agissait pas d’un piratage des comptes du groupe. Le test a exploité le circuit normal de distribution : le distributeur transmet aux plateformes les fichiers musicaux et les informations de publication. Engadget décrit le résultat comme l’insertion d’un morceau synthétique dans un catalogue d’artiste déjà existant grâce à une faille du système de distribution. 19

Associer un titre à une page n’est pas vérifier une autorisation

Les services de streaming doivent rattacher chaque sortie reçue à la bonne page d’artiste. DistroKid indique dans son aide que l’utilisateur peut renseigner les pages d’artiste concernées lors de l’envoi d’une sortie, tout en précisant que le rattachement final des pages est géré par les plateformes. 28

Cette souplesse devient une vulnérabilité lorsque les informations fournies avec la sortie suffisent à l’associer à un profil d’artiste connu. Le titre peut alors apparaître comme un ajout ordinaire à la discographie d’un vrai groupe, plutôt que sur une page d’imposteur facilement identifiable.

Le problème peut aussi provenir d’homonymies ou d’erreurs de routage sans intention frauduleuse. DistroKid propose ainsi un outil, Fixer, pour demander le déplacement d’un morceau publié sur la mauvaise page ou le retrait de la musique d’un autre artiste ; une demande distincte est nécessaire pour chaque service. 24 Mais un outil de correction intervient après coup : il n’empêche pas qu’une association non autorisée soit visible des auditeurs.

Des royalties potentiellement versées au fraudeur

Le compte du distributeur qui a envoyé la sortie est en principe celui qui se trouve en position de percevoir les redevances générées par ce titre. Des enquêtes sur les imposteurs musicaux ont montré que les distributeurs indépendants reversent les revenus du streaming aux artistes ou ayants droit déclarés, créant ainsi un intérêt financier évident pour un fraudeur. 22

Le risque ne se limite pas à la confusion des fans. Si le faux titre obtient des écoutes artificielles, notamment via des procédés automatisés, le gain potentiel augmente. DistroKid définit le streaming artificiel comme le recours à des moyens artificiels pour gonfler les écoutes ; lorsque la majorité des écoutes d’une sortie est jugée artificielle, le morceau peut être retiré et les royalties correspondantes ne pas être payées. 27

Mais agir après la génération des écoutes ne revient pas à empêcher, dès le départ, qu’une publication non autorisée soit reliée à un profil d’artiste.

L’IA générative rend une fraude ancienne beaucoup plus facile à industrialiser

Les erreurs de page, les publications non autorisées et la fraude au streaming existaient avant l’IA générative. Celle-ci en modifie toutefois l’économie : elle permet de produire très vite et à faible coût de nombreux morceaux jetables, donc de multiplier les tentatives contre les systèmes de distribution et de rapprochement des profils.

Il faut toutefois être précis sur les chiffres. Les sources disponibles ne permettent pas d’affirmer qu’un total audité de 50 000 chansons générées par IA est téléversé chaque jour sur Spotify. Les chiffres publiés concernent plutôt Deezer : la plateforme estimait en avril 2026 recevoir 75 000 morceaux entièrement générés par IA par jour, soit 44 % de ses dépôts quotidiens. 5051 Spotify a, de son côté, indiqué avoir supprimé plus de 75 millions de « titres spammy » sur douze mois : un signe de l’ampleur du problème, mais pas un décompte quotidien de morceaux IA. 5659

Des artistes ont également découvert de la musique suspecte ou non autorisée associée à leur identité. The Guardian rapporte que le pianiste et compositeur de jazz Jason Moran fait partie des musiciens visés par d’apparentes usurpations par IA sur des plateformes de streaming. 56 Une publication citant la chercheuse Odette Child indique qu’elle avait repéré plus de 300 faux titres générés par IA attribués à de vrais artistes, dont Taylor Swift et des musiciens de jazz décédés. 48

Un préjudice qui ne se résume pas aux revenus

Pour un artiste, un titre frauduleux peut faire croire à ses fans qu’il a créé une œuvre qu’il n’a jamais validée. Il peut aussi encombrer une discographie consultée par les auditeurs, les systèmes de recommandation, les journalistes ou de futurs collaborateurs.

Dans le cas de Lathe of Heaven, le problème est particulièrement sensible : le titre était placé sous l’identité d’un groupe déjà établi, et non sur une page d’imitation distincte. La réputation du groupe, la confiance de son public et la paternité de son travail artistique étaient donc exposées, même si le faux morceau ne rapportait que peu d’argent. 1

Retirer un titre ensuite ne fait pas disparaître entièrement la confusion créée chez les auditeurs, ni le temps que les artistes doivent consacrer à repérer, documenter et contester la publication.

La réponse de Spotify : davantage de contrôle, mais pas une prévention universelle

Spotify a lancé Artist Profile Protection, une fonction facultative de Spotify for Artists qui ajoute une étape de vérification pour les sorties destinées à un profil protégé. Elle peut avertir l’artiste lorsqu’une musique est livrée à son profil et lui permettre de se retirer d’une sortie erronée. 3242

C’est une avancée importante, car une partie du contrôle intervient plus tôt dans le processus. Spotify précise que les artistes protégés reçoivent une clé d’artiste unique, qu’ils peuvent transmettre à des distributeurs de confiance. Pendant la bêta, les sorties provenant de la plupart — mais pas de tous — les fournisseurs nécessitent une approbation ou cette clé. 36

Les limites du dispositif restent néanmoins importantes :

• La fonction est facultative et n’est accessible, en bêta, qu’à un groupe limité d’artistes. 32
• Tous les fournisseurs de distribution ne sont pas couverts de la même façon pendant la bêta. 36
• Elle ne s’applique qu’à Spotify, et non automatiquement à Apple Music, Tidal, Amazon Music ou aux autres services concernés par le test de 404 Media. 1
• Elle donne aux artistes un moyen d’examiner ou de retirer des sorties, mais ne crée pas d’obligation universelle, partagée entre plateformes, de vérifier l’autorisation avant qu’une nouvelle sortie soit associée à l’identité d’un artiste existant.

Le badge Verified by Spotify indique qu’un profil a été examiné au regard des critères d’authenticité et de confiance de l’entreprise. 34 Il peut aider les utilisateurs à reconnaître un profil établi, mais il ne garantit pas à lui seul que chaque nouveau morceau ajouté à cette page a reçu l’accord de l’artiste.

Ce qui rendrait le système plus difficile à détourner

Le principe qui ressort de ces éléments est simple : rattacher une nouvelle sortie à la page d’un artiste existant devrait exiger une preuve d’autorisation plus solide qu’un nom ou qu’une instruction de routage.

Une réponse plus durable combinerait des relations de confiance avec les distributeurs, des clés d’approbation contrôlées par les artistes, des notifications avant publication et une procédure commune aux plateformes pour traiter rapidement les rattachements contestés. La bêta de Spotify va dans cette direction, mais le test avec Lathe of Heaven montre que les outils de signalement a posteriori et les protections limitées au volontariat laissent subsister une faille importante. 136

En attendant, les artistes ont intérêt à surveiller leurs profils de streaming, à revendiquer leurs comptes de gestion d’artiste et à utiliser rapidement les procédures de correction des distributeurs et plateformes en cas d’erreur d’attribution. Ces précautions peuvent raccourcir la durée d’une erreur ou d’une attaque ; elles ne remplacent pas une vérification d’identité plus robuste avant la mise en ligne. 2432