L’intelligence artificielle s’est invitée dans les entreprises françaises à une vitesse que peu de dirigeants anticipaient. Traduction automatique, aide à la rédaction, analyse de données, détection de risques partenaires : les cas d’usage se sont multipliés, souvent sans cadre, parfois sans même l’accord de la direction informatique. C’est précisément ce phénomène que la DGSI (Direction générale de la sécurité intérieure) a décidé d’exposer dans son bulletin « Flash ingérence », en s’appuyant sur trois situations concrètes observées dans des organisations françaises. Le résultat est édifiant et mérite qu’on s’y attarde bien au-delà d’un simple résumé.
Pourquoi la DGSI s’intéresse à l’intelligence artificielle en entreprise
La DGSI n’est pas une agence de conseil technologique. C’est le service de renseignement intérieur français, dont la mission est de protéger les intérêts stratégiques et économiques du pays. Si elle publie des « Flash ingérence » sur l’IA, c’est parce qu’elle considère que les risques liés à son usage non encadré relèvent désormais de la sécurité nationale. Ce n’est pas un avertissement théorique : c’est une sonnette d’alarme fondée sur des observations de terrain.
Le contexte chiffré est vertigineux. Selon plusieurs études concordantes, près de 80 % des grandes entreprises mondiales utilisent l’IA dans au moins une fonction métier. Les gains de productivité annoncés peuvent dépasser 50 % dans certains secteurs. Pourtant, en Europe, environ un tiers des organisations n’ont toujours pas formalisé de politique interne d’usage de l’IA. Ce décalage entre adoption et gouvernance est exactement ce que les acteurs malveillants, étatiques ou non, exploitent.
Cas n°1 : des documents confidentiels injectés dans une IA grand public
Premier scénario documenté par la DGSI : des salariés d’une entreprise française opérant dans un secteur stratégique ont pris l’habitude d’utiliser un outil d’IA générative gratuit pour traduire des documents internes. Pratique, rapide, efficace. Sauf que ces documents contenaient des données sensibles, et que personne n’avait vérifié ce que l’outil faisait réellement avec ces informations une fois transmises.
C’est le directeur des systèmes d’information qui a tiré la sonnette d’alarme. Une enquête interne a alors révélé que cette pratique était devenue systématique et non déclarée, sans validation hiérarchique d’aucune sorte — un cas d’école de ce qu’on appelle le shadow AI, l’usage non encadré d’outils d’IA par les employés. La direction a réagi en imposant le recours à une solution payante, encadrée contractuellement, et en lançant un chantier de gouvernance IA.
Ce cas illustre un problème fondamental : la plupart des outils d’IA générative gratuits mentionnent explicitement dans leurs conditions d’utilisation que les données saisies peuvent être utilisées pour entraîner leurs modèles. Certains prestataires stockent ces données hors de l’Union européenne, ce qui les soumet à des législations étrangères potentiellement incompatibles avec le RGPD, et ouvre la porte à des demandes d’accès de la part d’autorités étrangères. Ce que l’employé percevait comme un simple outil de traduction était, en réalité, une interface exposant le patrimoine informationnel de son entreprise.
La recommandation de l’ANSSI sur ce point est claire : toute solution traitant des données professionnelles sensibles doit faire l’objet d’une analyse de risques préalable, et les contrats doivent préciser explicitement les conditions de stockage et d’utilisation des données.
Cas n°2 : quand l’IA devient le seul juge des partenaires commerciaux
Deuxième cas, plus subtil mais tout aussi préoccupant. Une entreprise française en pleine expansion internationale a automatisé son processus de « due diligence » commerciale, c’est-à-dire la vérification de la fiabilité de ses partenaires et fournisseurs, en s’appuyant exclusivement sur un outil d’IA.
Sur le papier, c’est séduisant : plus rapide, moins coûteux, standardisé. Dans la pratique, les équipes ont progressivement cessé de croiser les résultats avec des sources humaines ou des vérifications complémentaires. Les décisions stratégiques de partenariat étaient donc prises sur la base d’analyses automatisées, sans regard critique.
Le problème soulevé par la DGSI est ici d’ordre épistémologique. Un système d’IA produit des réponses statistiquement plausibles, pas nécessairement vraies. Il peut ignorer des signaux récents absents de ses données d’entraînement, mal interpréter un contexte culturel ou géopolitique, ou tout simplement halluciner des informations. La dépendance excessive à ces outils crée une illusion de rigueur et un angle mort décisionnel particulièrement dangereux dans un contexte de relations commerciales internationales.
Ce risque s’inscrit dans un débat plus large sur les limites du contrôle humain face à l’automatisation. L’article sur les vrais dérives de l’IA en cybersécurité et la question du contrôle humain développe précisément ces tensions, avec des exemples récents qui font écho aux mises en garde de la DGSI.
Cas n°3 : le deepfake de dirigeant, une fraude redoutablement efficace
Le troisième cas est celui qui frappe le plus les esprits. Un responsable de site industriel reçoit une convocation en visioconférence. À l’écran : son PDG, ou du moins quelqu’un qui lui ressemble trait pour trait. La voix, les intonations, la gestuelle, le cadre en arrière-plan, tout est cohérent. L’interlocuteur réclame un virement urgent, présenté comme confidentiel.
Quelque chose cloche pourtant dans la nature de la demande. Le responsable coupe la communication, contacte directement son PDG par un autre canal. Résultat : l’appel était un faux. Un deepfake sophistiqué, construit à partir d’images et d’extraits audio publics du dirigeant, probablement glanés sur des vidéos d’événements professionnels ou des interviews.
La DGSI signale que le volume de deepfakes en circulation aurait été multiplié par plus de dix entre 2023 et 2025. Cette technique est désormais combinée avec des tactiques de spear phishing, c’est-à-dire des attaques ciblées et personnalisées, pour maximiser l’impact. L’escroc ne contacte pas au hasard : il a étudié l’entreprise, identifié les décideurs, les relations hiérarchiques, et choisit le moment où la pression temporelle est la plus forte.
Face à ce type de menace, qui n’est qu’une variante visuelle du clonage vocal par IA déjà utilisé pour des arnaques téléphoniques, plusieurs réflexes s’imposent. Vérifier toute demande financière urgente par un second canal indépendant. Instaurer un mot de passe de sécurité interne pour les transactions sensibles. Former les équipes à reconnaître les signaux d’une tentative de manipulation, même visuellement convaincante. Le fait que le responsable industriel ait résisté à cette tentative prouve que la vigilance humaine reste le meilleur rempart, à condition qu’elle soit cultivée.
Ce que révèle cette alerte sur l’état de la gouvernance IA en France
Au-delà des trois cas, le « Flash ingérence » de la DGSI pointe une réalité structurelle. Les entreprises françaises adoptent l’IA à un rythme soutenu, mais leur gouvernance ne suit pas. On délègue des tâches sensibles à des outils dont on ne maîtrise pas les mécanismes internes, dont on n’a pas lu les conditions générales, et dont on ne sait pas précisément où sont traitées les données.
Cette situation est d’autant plus préoccupante que les acteurs étrangers, étatiques ou criminels, ont parfaitement compris que l’IA représente désormais un vecteur d’ingérence économique redoutable. Extraire des secrets industriels via les données injectées dans un chatbot gratuit coûte infiniment moins cher qu’une opération d’espionnage classique. Et la responsabilité légale, en cas de fuite, revient à l’entreprise qui a utilisé l’outil, pas à l’éditeur de la solution.
Les mesures concrètes à mettre en place
La DGSI ne se contente pas de pointer les risques. Elle formule des préconisations que chaque organisation devrait considérer comme une feuille de route minimale :
- Inventorier les outils IA utilisés dans l’entreprise, y compris ceux adoptés de façon informelle par les collaborateurs (le fameux « shadow IT »).
- Classifier les données selon leur sensibilité et définir quelles catégories ne doivent jamais être saisies dans un outil externe non homologué.
- Établir une politique IA formelle, validée par la direction générale, et la communiquer à l’ensemble des équipes, pas seulement aux équipes techniques.
- Former régulièrement les collaborateurs aux risques spécifiques liés à l’IA : fuites de données, manipulations par deepfake, dépendance excessive aux résultats automatisés.
- Privilégier des solutions contractuellement encadrées, avec des clauses claires sur la localisation des données, leur non-réutilisation à des fins d’entraînement, et la conformité au RGPD.
- Maintenir un contrôle humain sur toutes les décisions critiques, en traitant les recommandations de l’IA comme une aide, jamais comme un verdict final.
- Instaurer des protocoles de vérification pour toute demande inhabituelle, même si elle semble venir d’un supérieur identifiable visuellement ou vocalement.
Ces mesures ne sont pas révolutionnaires. Elles relèvent du bon sens organisationnel. Mais leur absence dans un nombre important d’entreprises françaises est précisément ce qui rend les alertes de la DGSI nécessaires. Ce sujet rejoint d’ailleurs les enjeux documentés dans l’article sur les méthodes des escrocs qui exploitent l’IA pour cibler leurs victimes, où l’on voit que les techniques de manipulation assistées par intelligence artificielle ne visent pas que les particuliers.
Questions fréquentes
Qu’est-ce qu’un « Flash ingérence » publié par la DGSI ?
Le « Flash ingérence » est un bulletin de sensibilisation publié régulièrement par la Direction générale de la sécurité intérieure à destination des entreprises françaises. Il vise à alerter sur des menaces économiques, numériques ou industrielles concrètes, souvent illustrées par des cas réels observés sur le terrain, anonymisés pour des raisons de confidentialité.
Pourquoi les outils d’IA gratuits sont-ils risqués pour une entreprise ?
La plupart des services d’IA gratuits se financent partiellement en utilisant les données saisies par leurs utilisateurs pour améliorer leurs modèles. Concrètement, des informations confidentielles intégrées dans une requête peuvent être stockées, analysées et potentiellement réutilisées. De plus, ces données sont souvent hébergées hors de l’Union européenne, ce qui les soumet à des législations étrangères et fragilise la conformité RGPD de l’entreprise.
Comment détecter un deepfake lors d’un appel vidéo professionnel ?
Les deepfakes progressent vite, mais certains indices persistent : un léger décalage entre les mouvements labiaux et la voix, des déformations autour des bords du visage lors de mouvements rapides, un éclairage anormalement uniforme, ou des transitions inhabituelles. Au-delà de la détection visuelle, le meilleur réflexe reste d’interrompre l’appel et de rappeler la personne via un numéro connu et fiable, indépendamment du canal utilisé pour l’appel initial.
L’entreprise est-elle juridiquement responsable si des données sont exposées via un outil IA ?
Oui. Au regard du RGPD, c’est l’entreprise qui reste responsable du traitement des données qu’elle confie à un tiers, y compris un éditeur de logiciel IA. En cas de fuite ou de violation de données résultant d’un usage non encadré d’un outil externe, la CNIL peut sanctionner l’organisation, indépendamment du rôle de l’éditeur. La responsabilité contractuelle et la due diligence technologique sont donc des impératifs légaux, pas de simples bonnes pratiques.
Que faire si des employés utilisent déjà des outils IA non autorisés dans mon entreprise ?
La première étape est d’agir sans stigmatiser. Le phénomène du « shadow IT IA » est massif et souvent motivé par une recherche légitime d’efficacité. Il faut d’abord cartographier les usages existants, évaluer les risques réels de chaque outil identifié, puis construire une politique claire offrant des alternatives homologuées. Une formation ciblée vaut mieux qu’une interdiction sèche qui sera contournée.
