Risques de l’IA générative en entreprise : le guide de sécurité

Un directeur informatique apprend que des salariés traduisent des documents confidentiels avec un assistant grand public, sans que personne ne l’ait validé. Le cas est réel : la DGSI le décrit dans une note de décembre 2025. Les risques de l’IA générative en entreprise ressemblent le plus souvent à cela : un geste banal, répété chaque jour, bien loin de l’attaque spectaculaire.

Ce guide passe en revue les sept risques à connaître et ce qu’en disent l’ANSSI, la CNIL et la DGSI, puis propose une méthode pour les réduire sans interdire les outils.

Il complète notre guide de l’AI Act et notre dossier IA et droit en France, consacrés aux obligations légales.

En bref

• En 2025, 18 % des entreprises françaises d’au moins 10 personnes utilisent au moins une technologie d’IA, soit 8 points de plus qu’en 2024, d’après l’Insee.
• Le premier risque est interne : des données confidentielles saisies dans un outil que l’entreprise ne maîtrise pas. L’ANSSI demande de proscrire cet usage pour les données sensibles.
• Le shadow IA, l’usage d’outils non approuvés, est jugé à risque élevé ou très élevé par 66 % des entreprises du 11e baromètre du CESIN, publié en janvier 2026.
• Côté attaquants, l’ANSSI n’a identifié aucun système d’IA capable de mener seul toutes les étapes d’une attaque. L’IA accélère surtout l’hameçonnage et les usurpations d’identité.
• Les assistants sont aussi des cibles : instructions cachées, modèles empoisonnés, connecteurs trop ouverts.
• Verdict : interdire ne protège pas. Un outil validé, des règles écrites et des équipes formées réduisent davantage le risque qu’un blocage que les salariés contournent.
• Pour passer à l’action : notre formation à l’IA générative qui intègre les réflexes de sécurité.

Risques de l’IA générative : sept risques en trois familles

L’IA est entrée dans les entreprises plus vite que les règles qui l’encadrent. Selon l’Insee (juillet 2026), 18 % des entreprises d’au moins 10 personnes déclarent utiliser au moins une technologie d’IA en 2025, soit 8 points de plus qu’en 2024. La part atteint 58 % dans celles de 250 salariés ou plus.

Les entreprises utilisatrices elles-mêmes ne sont pas sereines. Parmi elles, 53 % se disent freinées par un manque d’expertise et 43 % s’inquiètent d’une violation de la protection des données.

De quoi parle-t-on au juste ? Chaque publication officielle a son propre classement des risques. Nous les regroupons en trois familles, selon l’endroit où le problème naît.

La première famille tient à ce que vos équipes confient à l’outil : des données qui sortent de l’entreprise, parfois dans des outils que personne n’a validés. La deuxième tient à ce que l’outil renvoie : des réponses fausses ou orientées que quelqu’un reprend sans contrôle. La troisième tient à ce que d’autres font de l’IA, qu’ils s’en servent pour vous tromper ou qu’ils attaquent vos propres assistants.

Un septième risque court sous les trois familles. C’est la dépendance à un fournisseur, à ses conditions d’utilisation et au droit auquel il est soumis.

Cette lecture rejoint celle de l’ANSSI. Dans une analyse des risques cyber liés à l’IA publiée en février 2025 avec ses homologues étrangers, l’agence décrit cinq scénarios de risque. Quatre sont techniques : la compromission de l’hébergement, celle de la chaîne d’approvisionnement, le rebond par les interconnexions avec d’autres systèmes et le dysfonctionnement des réponses. Un cinquième tient aux « lacunes humaines et organisationnelles ».

La technique compte. L’organisation pèse autant.

Fuite de données : le premier risque est interne

Revenons au cas décrit par la DGSI dans son Flash ingérence de décembre 2025. Le directeur des services informatiques d’une multinationale découvre que des salariés ont utilisé un outil d’IA générative « grand public », développé par une société étrangère, pour traduire des documents confidentiels. Ils le faisaient régulièrement, « sans l’aval de leur hiérarchie ».

Personne n’a été piraté. Les données sont sorties par la grande porte, parce qu’un outil pratique était à portée de clic.

Pourquoi est-ce un problème ? La DGSI donne deux raisons. Les versions grand public des principaux outils, gratuites et standards, utilisent souvent les données saisies pour entraîner leurs modèles. Et certains outils stockent ces données sur des serveurs situés à l’étranger, où elles peuvent être « soumises à des lois étrangères à portée extraterritoriale ».

L’ANSSI avait posé la règle dès 2024. Son guide de recommandations de sécurité pour un système d’IA générative, publié le 29 avril 2024, compte 35 recommandations. La trente-quatrième s’intitule « Proscrire l’utilisation d’outils d’IA générative sur Internet pour un usage professionnel impliquant des données sensibles ». La CNIL dit la même chose aux utilisateurs dans ses questions-réponses sur l’IA générative : « ne jamais partager d’informations confidentielles telles que des données personnelles, des données de l’entreprise ou de l’administration ».

La fuite peut aussi venir du compte lui-même. Dans sa synthèse de la menace du 4 février 2026, l’ANSSI rappelle qu’entre 2022 et 2023, « plus de 100 000 comptes utilisateurs de ChatGPT » ont été compromis par des cybercriminels à l’aide de logiciels voleurs d’identifiants, puis revendus sur des forums. Or un compte compromis donne accès à l’historique des conversations. La même synthèse cite des salariés de Samsung qui ont divulgué, en 2023, des informations sensibles sur la technologie des semi-conducteurs en utilisant leur compte ChatGPT. L’agence résume le mécanisme en une phrase : « des employés peuvent involontairement générer des fuites de données en fournissant à l’IA des informations sensibles ».

Le navigateur ouvre une troisième voie. Dans son rapport 2026, l’ENISA, l’agence européenne de cybersécurité, signale le vol d’historiques de conversations par des extensions malveillantes qui se présentent comme des assistants d’IA.

Quatre réflexes limitent ce risque. Ce sont nos conseils :

• classer les données en trois niveaux (publiques, internes, sensibles) et dire lequel peut aller dans quel outil ;
• fournir un outil sous contrat plutôt que laisser chacun ouvrir un compte personnel ;
• protéger les comptes par une authentification à deux facteurs ;
• n’autoriser que les extensions de navigateur validées par l’entreprise.

Nous détaillons les cas connus et les parades dans notre article sur la fuite de données avec ChatGPT. Le volet données personnelles est traité dans RGPD et ChatGPT, et celui des professions réglementées dans secret professionnel et IA.

Shadow IA : l’usage que vous ne voyez pas

Le cas de la DGSI porte un nom. L’ANSSI définit le « shadow IA » comme l’utilisation de solutions d’IA générative grand public « sans l’approbation ou la supervision » des services informatiques de l’organisation. D’après l’agence, cet usage augmente trois risques : « fuite de données confidentielles, violation de réglementations, atteinte à la réputation ».

Les responsables de la sécurité le placent en tête de leurs inquiétudes. Le 11e baromètre annuel du CESIN, publié le 26 janvier 2026, a été réalisé par OpinionWay auprès de 397 membres de ce club de responsables cybersécurité. Le recours des salariés à des services d’IA non approuvés y est le comportement numérique jugé le plus risqué : 66 % des entreprises le classent à risque élevé ou très élevé.

Faut-il alors bloquer les outils ? Non. À notre avis, un blocage sans alternative déplace l’usage vers les téléphones et les comptes personnels, là où vous ne voyez plus rien.

L’entreprise citée par la DGSI a fait l’inverse, et c’est la bonne réponse. Elle a demandé aux salariés d’utiliser une solution payante acquise par la société, puis elle a créé un groupe de travail chargé de définir une doctrine d’utilisation de l’IA. La CNIL recommande la même chose à tout organisme : « encadrer l’utilisation d’un système d’IA générative par des politiques ou chartes internes ».

La DGSI ajoute un conseil destiné aux salariés : « Être transparent et signaler l’utilisation de l’IA générative à sa hiérarchie. » Encore faut-il que ce signalement ne soit pas sanctionné, sans quoi personne ne dira rien.

Pour mesurer le phénomène chez vous et le ramener dans un cadre, voyez notre article sur le shadow IA. Pour écrire les règles, notre article sur la charte IA d’entreprise donne une trame.

Hallucinations et biais : des réponses fausses prises pour vraies

Un assistant répond toujours, y compris quand il ne sait pas. La CNIL le rappelle : « Les modèles génératifs ne sont pas des bases de connaissance ». Ils obéissent à une logique probabiliste. Une réponse inexacte mais plausible, l’hallucination, a toutes les apparences d’une réponse juste.

Le risque naît au moment où quelqu’un la reprend sans vérifier. Le deuxième cas du Flash de la DGSI le montre : une société confie l’évaluation de ses partenaires commerciaux à un outil d’IA créé par une entreprise étrangère, et « la société ne procède à aucune vérification complémentaire ». Une décision d’affaires repose alors sur un résultat que personne n’a contrôlé. La CNIL décrit ce travers : une confiance excessive dans les résultats, « sans une vérification appropriée », peut conduire à « des décisions erronées ».

Les biais posent un problème voisin. Un modèle reproduit les déséquilibres de ses données d’entraînement. Appliqué à un tri de candidatures ou à une notation, un résultat orienté devient une décision injuste, et parfois illégale.

Le développement logiciel fournit un exemple inattendu. L’ANSSI décrit le slopsquatting : des attaquants récupèrent des noms de paquets logiciels imaginés par des IA, puis en diffusent des versions malveillantes. Une hallucination devient alors une porte d’entrée. Le sujet est traité dans notre article sur la sécurité du code généré par IA.

La parade tient en une règle : aucune sortie d’IA n’engage l’entreprise sans relecture par une personne compétente. La CNIL demande aux utilisateurs de « porter un regard critique » sur les résultats, et la DGSI d’en vérifier l’exactitude.

Notre guide pour vérifier et fiabiliser les réponses de l’IA donne la méthode. Notre article sur les biais algorithmiques réunit les exemples et les correctifs.

Hameçonnage et hypertrucages : quand l’IA sert l’attaquant

Commençons par ce que l’IA ne fait pas. Dans sa synthèse de février 2026, l’ANSSI indique n’avoir identifié aucun système d’IA capable de réaliser de manière autonome toutes les étapes d’une attaque informatique. L’attaquant robot n’existe pas encore.

Ce que l’IA change, c’est le coût et la qualité de la tromperie. L’ANSSI observe son usage pour profiler des victimes, concevoir des contenus d’ingénierie sociale et développer des logiciels malveillants. Conséquence pratique : la faute d’orthographe n’est plus un indice fiable pour repérer un faux message.

Les exemples cités par l’agence vont au-delà du courriel. Un mode opératoire réputé lié à la Chine aurait utilisé des services d’IA générative pour produire du contenu d’hameçonnage, et un autre, réputé lié à la Corée du Nord, pour créer de faux profils d’entreprises et d’employés sur les réseaux sociaux. Un recruteur ou un acheteur peut donc échanger avec une identité entièrement fabriquée.

L’ampleur est difficile à mesurer. Le rapport 2025 de l’ENISA indique que les campagnes d’hameçonnage assistées par IA représenteraient plus de 80 % de l’ingénierie sociale observée dans le monde début 2025. L’agence reprend ici le chiffre d’un éditeur et le présente avec prudence : lisez-le comme un ordre de grandeur. Son édition 2026, publiée en septembre 2026 à partir de 8 257 incidents, cite l’évaluation des grands laboratoires d’IA : les groupes malveillants se servent surtout des modèles fermés pour renforcer des compétences qu’ils ont déjà, sans percée nouvelle.

Le risque le plus visible pour un dirigeant est l’hypertrucage, ou deepfake. Selon l’ANSSI, de nombreux cybercriminels exploitent « pour quelques dizaines de dollars » des services de deepfakes à des fins d’usurpation d’identité.

Le troisième cas de la DGSI montre à quoi cela ressemble. Le responsable d’un site industriel reçoit un appel en visioconférence d’une personne qui a le visage et la voix du dirigeant du groupe. Celle-ci lui demande rapidement un transfert de fonds, au nom d’un prétendu projet d’acquisition. Surpris par le caractère inhabituel de la demande, le responsable met fin à l’échange et alerte sa direction par les canaux habituels.

Retenez ce qui l’a protégé : un doute, puis une procédure. Le récit de la DGSI ne mentionne aucun outil de détection.

Le phénomène pèse encore peu dans les chiffres. Le baromètre du CESIN indique que l’IA comme vecteur d’attaque direct est citée par 3 % des entreprises victimes, et que l’arnaque par deepfake est « encore minoritaire ». Elle prolonge pourtant une fraude bien installée : d’après Cybermalveillance.gouv.fr, la fraude au virement est la troisième cybermalveillance visant les entreprises et les associations en 2025, avec 13,5 % des assistances et un nombre de diagnostics en hausse de 93 % par rapport à 2024. Le dispositif ne relie pas cette hausse à l’IA.

Nos conseils tiennent en trois gestes : une double validation pour tout virement inhabituel, un rappel systématique sur un numéro déjà connu, et le droit pour chaque salarié d’interrompre un échange sans crainte. Pour aller plus loin, voyez notre article sur les deepfakes et nos indices pour détecter une image générée par IA. L’obligation de signaler les hypertrucages est présentée dans notre article sur l’article 50 de l’AI Act.

Injection, empoisonnement, connecteurs : quand l’IA devient la cible

Dès que vous branchez un assistant sur vos documents, votre messagerie ou vos applications, il entre dans votre surface d’attaque. Le guide de l’ANSSI distingue trois catégories d’attaques contre un système d’IA générative.

La manipulation est la plus connue. L’injection d’instructions, ou prompt injection, occupe la première place du classement OWASP des dix risques des applications de LLM, édition 2025, devant la divulgation d’informations sensibles et les risques de chaîne d’approvisionnement. Nous lui consacrons un article entier : prompt injection et jailbreaks.

L’infection inquiète par le peu de moyens qu’elle demanderait. L’ANSSI cite une analyse du UK AI Security Institute et de l’Alan Turing Institute selon laquelle il serait possible d’empoisonner des modèles « à partir de 250 documents malveillants seulement », quelle que soit la taille de leurs données d’apprentissage. L’agence emploie le conditionnel. Elle signale aussi que des modèles disponibles en sources ouvertes peuvent être malveillants ou compromis, et installer une porte dérobée sur le poste de l’utilisateur dès leur téléchargement.

Reste le point le plus concret pour une entreprise utilisatrice : les droits accordés à l’assistant. Trois recommandations du guide de l’ANSSI s’y rapportent :

• R9 : proscrire l’usage automatisé de systèmes d’IA pour des actions critiques sur le système d’information ;
• R27 : limiter les actions automatiques depuis un système d’IA qui traite des entrées non maîtrisées ;
• R35 : effectuer une revue régulière de la configuration des droits des outils d’IA générative sur les applications métier.

La dernière vise un défaut courant. Un assistant relié à votre espace documentaire accède à ce que l’utilisateur peut voir, y compris les dossiers partagés trop largement il y a des années. Nous décrivons ce travail de nettoyage dans notre article préparer son tenant Copilot.

À ne pas confondre avec un agent IA : un assistant répond à une demande à la fois, sous vos yeux. Un agent enchaîne seul plusieurs actions, ce qui élargit les risques décrits ici. L’ANSSI signale par exemple des failles au sein d’agents MCP, « utilisés pour connecter les LLM à des outils externes ». Ces sujets relèvent de notre formation aux agents IA.

Dépendance et souveraineté : le risque de fond

Ce risque ne fait pas de bruit. Il s’installe quand une activité repose sur un seul outil, hébergé hors d’Europe, dont les conditions changent sans vous.

La DGSI insiste sur le droit applicable : des données stockées à l’étranger peuvent relever de lois à portée extraterritoriale et engager la responsabilité de l’entreprise. Elle en tire deux préconisations, « Favoriser le recours à des IA génératives françaises » et « Privilégier l’utilisation d’IA en local ». La CNIL va dans le même sens pour les usages sensibles : elle juge généralement « plus opportun et plus sécurisé » un déploiement sur site quand il s’agit de fournir à l’outil des données personnelles ou de la documentation sensible.

L’ANSSI regarde la continuité d’activité. Son analyse de février 2025 évoque un « risque de dépendance technologique » lié à un usage intensif et prolongé de l’IA, surtout dans les activités critiques. Son guide recommande de prévoir un mode dégradé des services métier sans système d’IA (R15) et, pour un déploiement dans un cloud public, de privilégier un hébergement SecNumCloud (R14).

Soyons francs : une PME n’hébergera pas son propre modèle demain matin. Le bon réflexe consiste à comparer les offres sur quelques critères vérifiables, à savoir le lieu d’hébergement, la réutilisation des données pour l’entraînement, la durée de conservation, le droit applicable et la possibilité de récupérer ses données. Nous en faisons une grille d’audit pour choisir un outil d’IA, et nous revenons sur les messages de l’État dans notre article DGSI et IA.

Ce que la loi ajoute : AI Act et RGPD

La sécurité est aussi une affaire de conformité. Les guides de l’ANSSI et les notes de la DGSI sont des recommandations ; deux textes européens, eux, s’imposent à vous.

Le premier est l’AI Act. Il prévoit depuis le 2 février 2025 une obligation de maîtrise de l’IA. Dans sa rédaction issue du règlement (UE) 2026/1744, l’article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures « pour favoriser le développement de la maîtrise de l’IA par leur personnel », sans avoir à garantir un niveau donné pour chaque individu. Former vos équipes aux risques décrits dans ce guide va dans ce sens. Notre article sur la littératie IA et le plan de formation explique comment organiser cette formation.

Le même règlement soumet les hypertrucages à des obligations de transparence, applicables depuis le 2 août 2026.

Le second est le RGPD. Il s’applique dès qu’une donnée personnelle entre dans un outil, quel que soit l’outil : il faut alors une base légale, une information des personnes et, si le fournisseur agit comme sous-traitant, un contrat. Notre article sur l’articulation entre AI Act et RGPD montre comment mener les deux chantiers ensemble.

Le calendrier, les niveaux de risque et les sanctions sont détaillés dans notre guide de l’AI Act.

Notre méthode : sept mesures pour réduire les risques de l’IA

Les recommandations de l’ANSSI, de la CNIL et de la DGSI se recoupent largement. Nous les avons ramenées à sept mesures, classées dans l’ordre où nous conseillons de les mener. Ce sont nos conseils, à adapter à votre taille.

1. Recenser les usages réels. Demandez aux équipes quels outils elles utilisent, sans sanction à la clé. Vous ne pouvez pas encadrer ce que vous ignorez.
2. Classer les données en trois niveaux. Publiques, internes courantes, sensibles ou personnelles. La grille ci-dessous dit lequel va dans quel outil.
3. Fournir un outil validé. Une offre sous contrat, choisie après examen de ses conditions, retire au shadow IA sa principale raison d’être.
4. Écrire les règles. Une charte courte suffit : les usages autorisés, les usages interdits, la personne à qui poser une question.
5. Revoir les droits d’accès. Avant de brancher un assistant sur vos documents, nettoyez les partages et limitez les actions automatiques.
6. Imposer une vérification humaine. Relecture de toute sortie qui engage l’entreprise, double validation de tout paiement inhabituel.
7. Former, puis recommencer. Une session ne suffit pas, car les outils et les menaces changent vite.

La grille traduit deux principes lus plus haut : pas de donnée sensible dans un outil que vous ne maîtrisez pas, et un déploiement interne pour les usages les plus sensibles. Elle ne remplace pas votre propre classification.

Qui pilote ? Dans une petite structure, le dirigeant et la personne chargée de l’informatique suffisent. Ailleurs, la CNIL estime que le délégué à la protection des données peut utilement jouer un rôle, en lien avec le responsable de la sécurité des systèmes d’information.

La septième mesure conditionne les six autres. La DGSI demande de « Former régulièrement ses équipes à l’usage de l’IA », et l’ANSSI de former régulièrement le personnel aux risques de sécurité liés à l’IA. D’où notre proposition : former vos équipes à un usage sûr de l’IA générative. Pour un format court, notre article sur la sensibilisation aux risques de l’IA décrit une session de deux heures.

Risques de l’IA générative : les questions fréquentes

Un risque d’usage avant d’être un risque technique

Les risques de l’IA générative ne ressemblent pas à l’image qu’on s’en fait. L’ANSSI n’a identifié aucune IA capable d’attaquer seule, alors que la DGSI décrit des salariés qui traduisent des documents confidentiels avec un outil grand public. Le danger principal est déjà dans vos murs, et il a la forme d’une habitude.

Bonne nouvelle : une habitude se corrige. Un outil validé, une charte lisible, des droits d’accès revus, une procédure pour les paiements et une formation régulière couvrent la plus grande part du risque, sans budget de cybersécurité hors norme. Interdire, à l’inverse, rend seulement l’usage invisible.

Pour installer ces réflexes dans vos équipes, voyez notre formation à l’IA générative centrée sur les bons usages et leurs limites.