Une étude révèle que 64 % des salariés de PME françaises utilisent des outils d'IA non validés, tandis qu'EchoLeak et le slopsquatting menacent données et systèmes.
Utilisation non encadrée des outils d'IA dans de nombreuses entreprises
Une étude de WatchGuard Technologies publiée en avril révèle que 64 % des salariés des petites et moyennes entreprises ainsi que des entreprises de taille intermédiaire, dans huit pays dont la France, utilisent des outils d'intelligence artificielle non validés par leur direction. Moins de 30 % des organisations interrogées tiennent un inventaire de ces outils.Absence de règles claires sur l'usage de l'IA
L'étude montre également que près de quatre entreprises sur dix ne savent pas quelles applications d'IA leurs équipes utilisent réellement. Selon une étude Salesforce de 2025 menée en France, 58 % des utilisateurs professionnels de l'IA générative travaillent sans charte ni cadre défini par leur employeur. Chez Impact AI, un groupe d'entreprises françaises du secteur, seuls 9 % des salariés disposaient cette année-là d'une charte éthique ou d'un interlocuteur dédié.Des restrictions sur les outils d'IA variables selon les pays
Une autre étude, réalisée par Okta, indique que la France est le pays où le contournement des restrictions sur les outils d'IA est le moins répandu, très en deçà de la moyenne mondiale de 52 %. Cela laisse penser que les organisations françaises pourraient mieux respecter les politiques internes en matière d'IA que d'autres.Les risques de sécurité liés aux outils d'IA
La CNIL a publié l'an dernier de nouvelles recommandations sur l'intelligence artificielle générative. Elle demande aux entreprises d'informer les personnes lorsque leurs données personnelles risquent d'être mémorisées par les modèles d'IA, et de leur offrir des moyens d'exercer leurs droits d'accès et de rectification, y compris lorsque les salariés utilisent des comptes personnels. L'ANSSI a recensé, en février de l'an dernier, 42 groupes de pirates exploitant l'IA pour préparer des attaques.Des outils d'IA malveillants sur les marchés clandestins
Des groupes nord-coréens, comme Lazarus, créent de faux profils professionnels sur les réseaux sociaux pour approcher leurs cibles. Des versions détournées d'outils d'IA, comme WormGPT ou FraudGPT, circulent sur des forums clandestins, sans aucune limite de sécurité, pour l'équivalent d'une centaine d'euros par mois.Des failles dans les assistants d'IA
En 2025, la société Aim Security a découvert une vulnérabilité dans Microsoft 365 Copilot, baptisée EchoLeak, qui permettait à un attaquant d'envoyer un courriel piégé capable de faire restituer par l'assistant d'IA le contenu de messages et de fichiers professionnels auxquels il avait accès. Microsoft a corrigé cette faille, mais sept mois plus tard, un autre incident a été signalé dans Copilot Chat, intégré à Outlook : en raison d'une erreur de programmation, les courriels confidentiels présents dans les dossiers Éléments envoyés et Brouillons étaient accessibles à l'assistant.Les risques liés aux faux paquets logiciels
Des chercheurs en sécurité ont identifié un mécanisme appelé slopsquatting : un assistant de code peut recommander l'installation d'un paquet logiciel inexistant. Entre le 4 et le 6 août, le chercheur en sécurité Paul McCarty a recensé près de 800 paquets de ce type sur le gestionnaire npm. Un faux module imitant un service légitime de paiement mobile, sous le nom « checkout-mobile-bnpl », déclenchait un logiciel malveillant adapté au système d'exploitation de la victime.Recommandations pour sécuriser les systèmes d'IA
Le guide de l'ANSSI rassemble 35 recommandations pour sécuriser les systèmes d'IA générative. Il conseille aux entreprises de rédiger une charte interne précisant quels outils d'IA les salariés peuvent utiliser et avec quelles données, de la faire signer à chaque nouvel employé, de tenir un inventaire des outils d'IA utilisés, de limiter les droits d'accès des assistants d'IA, de journaliser leur activité, de relire tout code produit par un assistant d'IA avant mise en production, de vérifier les noms des paquets avant toute installation, d'éviter d'automatiser des actions critiques sans validation humaine, de privilégier des hébergeurs qualifiés pour les outils d'IA internes, de organiser des formations avant l'introduction de nouveaux outils, et d'informer les salariés de leurs droits sur les données personnelles confiées aux outils d'IA. La CNIL l'exige depuis le 7 février 2025.
