Cyberattaques par IA : mesurer votre exposition réelle

Une statistique circule depuis quelques mois dans la presse spécialisée : une proportion précise d’entreprises qui auraient déjà subi une cyberattaque « pilotée par l’intelligence artificielle ». Vous l’avez peut-être vue passer dans un courriel commercial, ou entendue dans la bouche d’un prestataire. Elle ne figure dans aucune des pages archivées du dossier de sources de cet article. Elle n’est donc reprise ni dans le titre, ni dans le corps, ni dans la conclusion.

Cet article ne vous donnera pas de chiffre spectaculaire. Il vous donnera une méthode pour juger ceux qu’on vous présente, et une grille d’évaluation que vous pouvez remplir vous-même en une demi-journée.

Une convention de lecture, avant de commencer : les nombres écrits en chiffres dans ce texte proviennent tous d’une source publique citée en note dans la même phrase. Les nombres qui relèvent d’un calcul ou d’une hypothèse de travail sont écrits en toutes lettres. Vous saurez ainsi, d’un coup d’oeil, ce qui est mesuré et ce qui est proposé.

Le chiffre qui circule, et ce qu’il vaut vraiment

La chaîne de citation d’une statistique cyber suit presque toujours le même trajet. Un éditeur de solutions commande une enquête à un institut, publie un communiqué qui en retient la valeur la plus frappante, un média spécialisé reprend le communiqué, un billet de blogue reprend le média, et un consultant reprend le billet. À la cinquième reprise, la valeur a perdu son échantillon, son pays, sa date et sa définition. Personne, dans la chaîne, n’a lu le questionnaire d’origine.

Trois questions suffisent à trier. Qui a mesuré, et pour le compte de qui. Sur quel échantillon, dans quel pays, auprès de quelles tailles d’entreprise. Et surtout : quelle définition de l’incident a été retenue.

C’est cette troisième question qui fait tout le travail dans le cas qui nous occupe. L’expression « attaque impliquant de l’intelligence artificielle » peut désigner deux réalités qui n’ont ni le même coût, ni le même traitement. D’un côté, un courriel de hameçonnage dont le texte a été rédigé par un modèle de langage : l’attaque reste une attaque classique, seule la qualité de la rédaction a changé. De l’autre, une intrusion dont la reconnaissance, l’exploitation et la latéralisation seraient automatisées de bout en bout. Une enquête qui additionne les deux dans une même case produit un nombre élevé et inutilisable.

Le rapport de l’Organisation de coopération et de développement économiques consacré à la mesure de la cybersécurité figure au dossier de sources de cet article. La version archivée dont nous disposons n’est pas exploitable en citation littérale : nous le signalons donc comme lecture de fond, sans en tirer la moindre valeur chiffrée¹. C’est exactement la discipline que nous vous demandons d’appliquer à votre tour.

Ce que mesurent réellement les organismes publics

Quatre sources publiques sont accessibles gratuitement à un dirigeant francophone. Aucune ne publie de série sur les attaques spécifiquement pilotées par l’intelligence artificielle. Ce point mérite d’être posé clairement : absence de mesure ne veut pas dire absence de risque, cela veut dire absence de chiffre.

L’agence européenne ENISA publie chaque année un panorama des menaces. L’édition parue le 1er octobre 2025 annonce analyser « 4875 incidents over a period spanning from 1 July 2024 to 30 June 2025 »². C’est un travail qualitatif sur les familles d’attaques observées, pas un sondage sur les entreprises. Vous y cherchez des tendances, pas des taux.

Eurostat mesure les incidents de sécurité liés aux technologies de l’information déclarés par les entreprises de l’Union. Le communiqué du 8 octobre 2025 est titré « 21.5% of EU enterprises had ICT security incidents in 2023 »³. Un peu plus d’une entreprise sur cinq, donc, mais avec une dispersion entre pays qui rend la moyenne européenne assez peu parlante pour votre cas particulier.

Regardez l’écart entre le haut et le bas de ce graphique. Il ne dit pas que les entreprises finlandaises sont quatre fois moins bien protégées que les autrichiennes. Il dit d’abord que les pratiques de déclaration, la sensibilisation et les obligations réglementaires diffèrent d’un pays à l’autre. Une moyenne européenne recouvre cela.

Statistique Canada conduit l’Enquête canadienne sur la cybersécurité et le cybercrime, dont le champ exclut les entreprises de moins de dix employés⁴. Sa diffusion du 21 octobre 2024 indique : « In 2023, about 1 in 6 (16%) Canadian businesses were impacted by cyber security incidents »⁵. Notez que la même publication signale une proportion en baisse depuis plusieurs années, ce qui devrait suffire à calmer tout discours sur une explosion généralisée et mesurée des incidents.

France Num, le portail de la direction générale des entreprises, relaie les travaux qui visent spécifiquement les très petites et moyennes entreprises, c’est-à-dire une population beaucoup plus proche de la vôtre que les panoramas tous secteurs confondus. Le baromètre de maturité cyber relayé le 13 octobre 2025, réalisé auprès de 588 entreprises, indique que 44 % des dirigeants interrogés estiment être fortement exposés, contre 38 % l’année précédente⁶.

Une mise en garde de méthode s’impose ici. Ces séries ne se croisent pas. Le fait que l’adoption de l’intelligence artificielle progresse en entreprise et le fait que des incidents de sécurité surviennent sont deux mesures indépendantes. Les rapprocher dans une même phrase pour suggérer une causalité est précisément l’erreur que nous vous demandons de repérer chez les autres.

Ce que l’intelligence artificielle change concrètement pour un attaquant

Cette section ne contient aucun pourcentage, aucun multiplicateur, aucun coût moyen d’incident, parce qu’aucune source publique sérieuse n’en publie à ce jour sur ce périmètre. Elle décrit des techniques.

Le hameçonnage change de visage. Pendant vingt ans, votre meilleur signal d’alerte a été la faute d’orthographe, la tournure bancale, le vouvoiement approximatif. Un texte généré par un modèle de langage fait disparaître ces marqueurs. Il écrit dans un français correct, dans le registre de votre secteur, avec le vocabulaire de votre métier. Le baromètre relayé par France Num place d’ailleurs l’hameçonnage en tête des causes déclarées, à 43 %, devant les failles de sécurité à 18 % et la consultation de sites vérolés à 11 %⁷.

L’usurpation vocale et vidéo devient crédible. La fraude dite au président ne repose plus sur une imitation approximative au téléphone. Une voix synthétique correcte suffit à faire douter un comptable pressé un vendredi après-midi.

La reconnaissance se fait toute seule. Vos annonces d’emploi, l’organigramme sur votre site, les publications de vos dirigeants sur les réseaux professionnels, la liste de vos fournisseurs dans une plaquette commerciale : tout cela se collecte et se trie automatiquement.

Le volume augmente parce que le coût baisse. Une PME de trente personnes n’était pas une cible rentable quand chaque attaque demandait des heures de travail humain. Elle le devient quand la préparation coûte quelques minutes.

Et maintenant, la nouvelle qui devrait orienter votre budget : rien de tout cela ne change la porte d’entrée. Le point de départ reste, dans l’immense majorité des cas, un identifiant volé, une pièce jointe ouverte, ou un correctif non appliqué. L’attaquant écrit mieux, il cherche plus vite, mais il entre par les mêmes portes.

Regardez cette arborescence sous l’angle du retour sur investissement. Les points d’arrêt les plus efficaces se situent aux étapes trois et cinq, et aucun d’eux ne suppose l’achat d’un outil fondé sur l’intelligence artificielle.

Évaluer votre exposition en une demi-journée

Voici une grille de cotation en dix points. Elle se remplit avec votre prestataire informatique, autour d’une table, sans audit externe et sans devis préalable.

Cotez chaque ligne à un si la preuve existe, à zéro si la réponse est « je crois que oui ». Le doute vaut zéro. C’est la seule règle qui rend l’exercice utile.

Le calcul est volontairement trivial, et vous devez pouvoir le refaire sans nous. Votre score sur dix est égal à la somme des dix réponses, chacune valant zéro ou un. Rien d’autre.

En dessous de six sur dix, votre exposition ne vient pas de l’intelligence artificielle : elle vient de l’hygiène de base. Ce seuil de six est un seuil de lecture que nous proposons, et non une valeur mesurée. Il ne provient d’aucune enquête et ne prétend à aucune validité statistique. Il sert à trancher une question simple : faut-il d’abord réparer les fondations, ou peut-on discuter d’outillage.

Le piège classique du dirigeant pressé consiste à acheter une solution de détection avant d’avoir testé une restauration de sauvegarde. C’est un investissement qui rassure le comité de direction et ne change rien au scénario le plus probable. Si vous souhaitez explorer ensuite ce que l’outillage moderne apporte réellement, notre article sur l’intelligence artificielle et la cybersécurité pour les PME traite la question de l’équipement, une fois les fondations posées.

Cinq mesures qui coûtent peu et ferment beaucoup

Un. L’authentification à deux facteurs, généralisée. Sur la messagerie et sur les accès distants, sans exception pour la direction. Elle neutralise l’essentiel de la valeur d’un identifiant volé, y compris volé par un courriel de hameçonnage parfaitement rédigé. C’est la mesure au meilleur rapport entre effort et effet.

Deux. La sauvegarde hors ligne et la restauration testée. Une sauvegarde qui n’a jamais été restaurée est une hypothèse, pas une sauvegarde. Écrivez la date du dernier test dans un endroit que n’importe qui peut consulter.

Trois. La double validation humaine des coordonnées bancaires. Tout changement de compte fournisseur se vérifie par un canal différent de celui de la demande : si la demande arrive par courriel, on appelle un numéro connu à l’avance. C’est la seule parade réelle à l’usurpation vocale, et elle ne coûte rien d’autre qu’une décision de votre part.

Quatre. Les correctifs. Un calendrier mensuel, et surtout un inventaire des équipements que plus personne ne met à jour : le vieux serveur d’impression, le routeur de l’agence, la caméra de l’entrepôt.

Cinq. Une personne nommée. Quelqu’un qui décide en cas d’incident, dont le numéro est connu, avec la liste des contacts imprimée sur papier. Le jour où les systèmes sont chiffrés, votre annuaire en ligne ne s’ouvrira pas.

La sensibilisation des équipes reste la mesure la moins chère de toutes, et celle qui vieillit le mieux ; notre article sur la formation et la montée en compétences des équipes explique comment l’organiser sans immobiliser toute l’entreprise.

Le volet conformité : RGPD, Loi 25 et notification

Un incident de sécurité n’est pas seulement un problème technique. Dès que des données personnelles sont concernées, c’est une obligation déclarative assortie d’un délai.

Côté européen, le règlement général sur la protection des données impose de notifier à l’autorité de contrôle une violation de données à caractère personnel dans un délai de soixante-douze heures, et d’informer les personnes concernées lorsque le risque pour elles est élevé. Ces délais sont des dispositions réglementaires, pas des statistiques : ils se lisent dans le texte du règlement. Pour situer l’intensité de l’activité de contrôle, la CNIL indique avoir rendu 331 mesures correctrices en 2024, dont 87 sanctions pour un montant total de plus de 55 millions d’euros d’amendes⁸.

Côté québécois, la Loi 25 impose de tenir un registre des incidents de confidentialité et de déclarer ceux qui présentent un risque de préjudice sérieux. Au niveau fédéral canadien, c’est la LPRPDE qui s’applique. La logique est la même : consigner, qualifier, déclarer.

Ce qui bloque en pratique dans une PME n’est presque jamais le formulaire. C’est que personne ne sait quelles données personnelles sont stockées, où, depuis combien de temps, ni qui y a accès. Sans cette connaissance, il est impossible de qualifier un incident dans le délai imparti, et l’entreprise se retrouve à déclarer trop, trop tard, ou pas du tout.

L’action préalable coûte du temps et pas d’argent : la cartographie des traitements. Quelles données, dans quel outil, pour quelle finalité, avec quelle durée de conservation. Elle sert la conformité et l’évaluation du risque en même temps, ce qui en fait l’un des rares travaux de gouvernance à double rendement. Notre guide pratique sur l’éthique et la responsabilité de l’intelligence artificielle pour les PME détaille la démarche quand des outils d’intelligence artificielle entrent dans le périmètre.

Ce que vous faites lundi matin

Résumons la position de cet article. Le risque augmente, les techniques d’attaque se raffinent, et la mesure publique du risque spécifiquement lié à l’intelligence artificielle n’existe pas encore. Vous n’avez pas besoin de ce chiffre pour agir, parce que les portes d’entrée n’ont pas changé.

Trois actions, dans cet ordre.

D’abord, remplissez la grille des dix points avec votre prestataire. Comptez une demi-journée, pas davantage.

Ensuite, testez une restauration de sauvegarde, sur un fichier réel, et écrivez la date du test.

Enfin, activez l’authentification à deux facteurs sur la messagerie de toute l’entreprise, direction comprise.

Et gardez la discipline de lecture. La prochaine fois qu’un fournisseur ouvre sa présentation par un pourcentage, demandez l’organisme, la date, l’échantillon et la définition retenue avant d’écouter la suite. Si les quatre éléments ne viennent pas, vous savez déjà quelle valeur accorder au reste du discours. La même exigence s’applique aux promesses de rendement des projets d’intelligence artificielle, sujet que nous traitons dans notre article sur la mesure du retour sur investissement des investissements en intelligence artificielle.