Dans son dernier “Flash Ingérence”, la direction générale de la DGSI se penche sur le cas de trois entreprises françaises ayant été confrontées à des dérives ou des comportements à risque associés ou permis par l’usage de l’IA.
L’occasion de mettre en lumière les angles morts, et les risques opérationnels liés à un usage insuffisamment maîtrisé de l’intelligence artificielle en entreprise. On vous raconte.
Quand un outil d’IA générative expose des documents sensibles
Premier cas étudié par la DGSI : celui d’une entreprise multinationale dont certains salariés ont pris l’habitude d’utiliser une IA générative “grand public” pour traduire des documents confidentiels.
C’est le directeur des services informatiques qui découvre la situation, presque par hasard. En interrogeant les équipes, il réalise que cet outil, développé par une société étrangère, est utilisé régulièrement, sans validation hiérarchique, dans un souci d’efficacité et de gain de temps.
Le problème n’est pas l’intention, mais la conséquence : les versions gratuites et grand public de ces outils réutilisent souvent les données saisies pour entraîner leurs modèles. Autrement dit, des informations internes, parfois sensibles, peuvent être stockées sur des serveurs situés à l’étranger, soumis à des législations extraterritoriales.
Face au risque, l’entreprise réagit rapidement : consignes immédiates, bascule vers une solution payante encadrée, et lancement d’un groupe de travail pour définir une doctrine d’usage de l’IA. Un rappel salutaire : la facilité d’accès ne doit jamais se substituer à la sécurité.
L’évaluation des partenaires commerciaux confiée à l’IA
Deuxième situation : une société française en pleine expansion internationale met en place une procédure de due diligencepour évaluer ses partenaires commerciaux.
Pour gagner du temps, elle confie cette tâche à un outil d’IA développé par une entreprise étrangère, capable de produire des rapports d’évaluation détaillés. Problème : les résultats fournis par l’outil sont suivis à la lettre, sans vérification complémentaire.
Par manque de temps, mais aussi par méconnaissance des biais potentiels, l’entreprise finit par orienter systématiquement ses décisions sur la base de recommandations automatisées. Une dépendance qui pose plusieurs risques : perte de contrôle, décisions opaques, biais non détectés, voire erreurs factuelles ou “hallucinations” de l’IA.
La DGSI le rappelle : l’IA fournit une réponse statistiquement probable, mais pas nécessairement pertinente ou exacte. Et lorsqu’elle devient une “boîte noire” impossible à questionner, c’est toute la chaîne de décision qui se fragilise.
Deepfake : une tentative d’escroquerie imitant le visage et la voix du dirigeant
Troisième cas, sans doute le plus spectaculaire. Le responsable d’un site industriel reçoit un appel en visioconférence d’une personne se présentant comme le dirigeant du groupe. Visage, voix, posture : tout semble authentique.
Très vite, l’interlocuteur demande un transfert de fonds urgent, présenté comme nécessaire à un projet d’acquisition confidentiel. Un détail interpelle néanmoins le responsable, qui met fin à l’échange et alerte sa hiérarchie via les canaux habituels.
Bonne intuition : il s’agissait d’une tentative d’escroquerie par deepfake, combinant imitation visuelle et vocale grâce à l’IA. Un exemple frappant de la manière dont les technologies d’hypertrucage peuvent aujourd’hui exploiter la confiance, l’autorité et l’urgence pour manipuler les organisations.
Ce que la DGSI recommande aux entreprises
Face à ces usages à risque, la DGSI ne plaide pas pour un rejet en bloc de l’IA, mais plutôt pour un encadrement lucide et structuré.
Parmi les principales recommandations :
- Formaliser les règles d’usage de l’IA dans la charte informatique, en précisant clairement ce qui est autorisé ou non, notamment en matière de données sensibles.
- Privilégier des solutions françaises ou européennes, hébergeant les données en France et conformes au RGPD.
- Favoriser les IA locales, fonctionnant directement sur le système d’information de l’entreprise, afin de garder la maîtrise des données.
- Former régulièrement les équipes, non seulement à l’utilisation des outils, mais aussi aux enjeux de cybersécurité et aux biais de l’IA.
- Ne jamais soumettre de données personnelles ou confidentielles à des outils grand public, et anonymiser systématiquement les requêtes.
- Vérifier les résultats fournis par l’IA, sans jamais fonder une décision stratégique uniquement sur une recommandation automatisée.
- Signaler tout événement suspect lié à l’usage de l’IA à la DGSI, qui se mobilise face aux nouvelles formes d’ingérence économique.
En filigrane, un message clair
Ces trois situations racontent une même histoire : l’IA amplifie les pratiques existantes. Lorsqu’elle est utilisée sans cadre, elle accélère les risques : fuite de données, décisions biaisées, manipulation. Lorsqu’elle est pensée, expliquée et contrôlée, elle devient un véritable levier de performance.
Le sujet n’est donc pas l’outil, mais la manière dont l’entreprise organise ses usages, ses responsabilités et ses garde-fous. Autrement dit : un enjeu de gouvernance bien plus que de technologie.
IA et RH : reprendre la main sur les usages avant qu’ils ne s’imposent
C’est précisément là que les ressources humaines ont un rôle central à jouer. Car l’IA ne s’installe pas d’abord dans les process : elle s’installe dans les pratiques quotidiennes des équipes, pour recruter, rédiger, analyser, comparer, décider.
Notre baromètre sur l’adoption de l’IA par les recruteurs le montre : ces usages se diffusent souvent avant même que des règles ne soient formalisées. Et ce cadrage devient d’autant plus incontournable que l’Europe fixe désormais des règles du jeu avec l’AI Act, qui vise à encadrer notamment certains usages de l’IA en entreprise.
L’enjeu pour les RH n’est donc pas de freiner l’innovation, mais de poser un cadre lisible et partagé : ce qui peut être automatisé, ce qui doit rester du ressort du jugement humain, et comment garantir la transparence lorsque l’IA influence une décision.
Car une IA mal encadrée ne crée pas seulement des failles techniques. Elle peut fragiliser la confiance, diluer la responsabilité et déplacer insidieusement le pouvoir de décision. À l’inverse, intégrée dans une politique RH claire et assumée, elle devient un outil d’augmentation des compétences, au service de décisions plus éclairées.
