La sécurité informatique à l'ère de l'IA : technologie, règles, formation

En Allemagne, les entreprises traitent quotidiennement des factures, des contrats, des dossiers du personnel et des données clients. Une part croissante de ce travail est assurée par des systèmes d’IA. Avec l’augmentation du nombre total de systèmes, de points d’accès et de personnes, la surface d’attaque par laquelle un pirate peut s’introduire dans l’entreprise ne cesse de s’étendre.

Dans le cadre de l'étude „ Protection économique 2025 “ consacrée à la sécurité des entreprises, l'association Digitalverband a Bitkom entre avril et juin 2025, 1 002 entreprises comptant au moins dix salariés ont été interrogées par téléphone. Résultat : 87 % d'entre elles ont été victimes d'un vol de données, d'espionnage industriel ou de sabotage au cours des douze derniers mois, et 10 % supplémentaires soupçonnaient en avoir été victimes. Le préjudice s'élevait à 289,2 milliards d'euros, dont 70 % étaient imputables à des cyberattaques.

L'intelligence artificielle transforme les deux camps. Les attaquants rédigent des e-mails de hameçonnage sans aucune faute, clonent des voix et identifient plus rapidement les failles. Les défenseurs utilisent l'IA pour détecter les activités inhabituelles au sein de leur propre réseau. Deux tiers des entreprises interrogées (66 %) ont l’impression que l’IA est de plus en plus utilisée dans les attaques dont elles sont victimes. Dans le même temps, seules 6 % d’entre elles utilisent l’IA pour améliorer leur propre sécurité informatique.

Cet article décrit l'évolution du paysage des menaces et les points auxquels les entreprises doivent prêter attention en matière de technologie, de données et de fournisseurs. Il explique également pourquoi la formation des employés est devenue une obligation légale à l'ère de l'IA. L'article fournit un aperçu des outils disponibles en matière de défense dans le cadre de la La cybersécurité sous l'influence de l'IA.

Les menaces à l'ère de l'IA

Plus de vulnérabilités, des cibles plus modestes

L'Office fédéral allemand de la sécurité informatique (BSI) décrit dans son Rapport de gestion 2025 pour la période allant de juillet 2024 à juin 2025, une situation qui „ reste tendue “. En moyenne, 119 nouvelles vulnérabilités dans les systèmes informatiques ont été signalées chaque jour, soit une hausse d'environ 24 % par rapport à la période précédente.

Parmi les attaques signalées aux autorités, notamment celles impliquant des ransomwares (logiciels de chantage qui chiffrent les données), environ 80 % visaient des petites et moyennes entreprises (PME). Selon le BSI, celles-ci manquent souvent des moyens et des connaissances nécessaires pour assurer leur propre protection.

Les pirates choisissent donc la voie la plus facile, qui passe souvent par des systèmes ne disposant pas des dernières mises à jour de sécurité et par des personnes. Le Rapport d'enquête sur les violations de données 2026 Verizon analyse les incidents de sécurité survenus dans le monde entier entre novembre 2024 et octobre 2025. Selon l'entreprise, les failles logicielles constituent le point d'entrée le plus fréquent (31 %), devant le vol d'identifiants, et les ransomwares étaient en cause dans 48 % de toutes les fuites de données examinées.

L'IA des deux côtés

IBM évalue chaque année, en collaboration avec le Ponemon Institute, le coût d'un incident en se basant sur des fuites de données réelles survenues dans des entreprises du monde entier. Dans le Rapport sur le coût d'une fuite de données 2026 Le coût moyen d'une fuite de données à l'échelle mondiale s'élève à 4,99 millions de dollars américains, soit une hausse de 12 % par rapport à l'année précédente et un niveau record.

Selon ce même rapport, le nombre d'attaques basées sur l'IA a augmenté de 56 %, principalement en raison des imitations de type « deepfake » (voix ou vidéos falsifiées à l'aide de l'IA) et des logiciels malveillants basés sur l'IA. Verizon recense 15 techniques d'attaque qui sont désormais renforcées par l'IA générative.

Le président de Bitkom, le Dr Ralf Wintergerst, a déclaré à ce sujet dans le Communiqué de presse concernant l'étude du 18 septembre 2025 : „ L'intelligence artificielle permet des méthodes d'attaque totalement nouvelles, comme les deepfakes, mais elle améliore également les attaques classiques, par exemple grâce à des e-mails de hameçonnage bien plus crédibles. “ Et : „ Il est important de former et de sensibiliser les employés à ce sujet. “

Pour l'instant, les deepfakes ne causent des dommages qu'à 4 % des entreprises interrogées. Cependant, 11 % d'entre elles font déjà état d'attaques par deepfake qui n'ont causé aucun dommage.

Ce à quoi les entreprises doivent prêter attention en matière de sécurité informatique et de protection des données

Les rapports du BSI, de Bitkom et de Verizon dressent un tableau similaire : la plupart des attaques réussies exploitent des failles connues, des points d'accès vulnérables ou des erreurs humaines. Il en résulte six points de contrôle applicables aux entreprises de toutes tailles.

• Gestion des vulnérabilités : Le BSI considère que la protection de ses propres points de vulnérabilité constitue le levier décisif pour 2026 : des mises à jour régulières, une gestion restrictive des accès et un nombre aussi réduit que possible de systèmes accessibles au public.
• Accès selon le principe du minimum : Chaque personne ne dispose que des droits nécessaires à son rôle, et chaque accès est consigné. Ce principe est au cœur de Architectures « zero trust », dans lesquels chaque accès est contrôlé, y compris depuis le réseau interne.
• Stockage des données et choix du fournisseur : Chaque processus d'approvisionnement doit préciser où sont stockées les données, quels sous-traitants (sous-traitants de traitement) interviennent et quelle certification le fournisseur détient, car c'est là que se joue la sécurité des données. 67 % des entreprises interrogées par Bitkom se considèrent dépendantes de solutions de sécurité provenant des États-Unis.
• Plan d'urgence : Selon Bitkom, six entreprises sur dix disposent d'un plan d'urgence en cas d'incident de sécurité, tandis que 39 % ne sont pas préparées. Ce plan définit les procédures de signalement, de reprise des activités et de communication avant même qu'un incident ne se produise.
• Vérification par un tiers : Les tests de pénétration (attaques simulées contre nos propres systèmes) et les revues de code permettent de détecter ce qui reste invisible en interne. Cela vaut tout particulièrement pour les solutions développées en interne par des équipes aidées par l'IA.
• Règles relatives aux outils d'IA : Il convient de définir quelles données peuvent être saisies dans un outil d'IA, quels outils sont autorisés et qui vérifie les résultats. Sans ces règles, les données des clients se retrouvent, à l'insu de tous, dans des modèles tiers.

Cinq des six points peuvent être mis en place, organisés et documentés. En revanche, c'est sur chaque lieu de travail, et donc au niveau des salariés, que se joue chaque jour le respect des règles relatives aux outils d'IA.

Pourquoi la formation des collaborateurs est déterminante

L'être humain, cible de toutes les attaques

L'ingénierie sociale désigne les techniques par lesquelles les pirates exploitent le comportement humain pour obtenir des accès ou des informations, par exemple à l'aide d'e-mails frauduleux ou d'appels téléphoniques trompeurs.

Selon Bitkom, près d'une entreprise sur deux a été confrontée à de telles tentatives au cours des douze derniers mois : 21 % de manière fréquente, 28 % de manière sporadique. Les attaques par hameçonnage ont causé des dommages à 22 % des entreprises, tandis que les attaques visant les mots de passe en ont affecté 21 %.

L'IA générative réduit le coût de ces attaques. Il est aujourd'hui possible de générer en quelques secondes un e-mail de hameçonnage rédigé dans un allemand irréprochable, imitant le ton de son supérieur hiérarchique et faisant référence à un projet réel.

Sur smartphone, la détection est d'autant plus difficile : Verizon fait état de taux de clics supérieurs de 40 % sur les appareils mobiles, ce qui explique pourquoi les pirates se rabattent sur les SMS et les appels téléphoniques. Ce type d'e-mail passe généralement à travers le filtre anti-spam. Il ne reste alors plus qu'aux employés à mettre fin à l'attaque.

Le déficit de formation en chiffres

Selon l'étude de Bitkom, la majorité des entreprises organisent certes régulièrement des formations sur le phishing ou l'ingénierie sociale, mais celles-ci ne sont pas généralisées. 55 % ne forment que certains services ou postes, tandis que 24 % forment l'ensemble de leurs salariés. 20 % renoncent complètement aux formations en sécurité informatique.

En ce qui concerne l'utilisation de l'IA elle-même, le fossé est plus grand. Le Association TÜV Entre janvier et mars 2026, Forsa a interrogé 500 entreprises comptant au moins 20 salariés. 27 % d'entre elles avaient formé leurs salariés à l'utilisation de l'IA, soit plus du double par rapport à 2024 (12 %). 45 % ne voyaient pas la nécessité d'une telle formation.

Une Enquête Bitkom Sur les 603 entreprises interrogées à l'été 2026, 70 % forment désormais leurs salariés à l'utilisation de l'IA. Parmi celles-ci, 37 points de pourcentage correspondent à des entreprises qui ne forment qu'une partie de leurs salariés. L'écart entre ces deux chiffres s'explique par la date plus récente de l'enquête, par le fait que les personnes interrogées étaient différentes et par une définition large de la formation, allant d'une simple séance d'information à un programme comprenant des exercices.

Obligations découlant de la directive NIS 2 et du règlement sur l'IA

La formation est désormais également une obligation légale. La loi de transposition de la directive NIS2 qualifie les entreprises concernées d„“ entités particulièrement importantes et importantes ». Elle impose à leurs directions Article 38 de la loi sur le BSI de participer régulièrement à des formations afin de pouvoir évaluer les cyberrisques et les mesures de prévention.

Conformément au paragraphe 2, les directions sont responsables envers leur établissement des préjudices qu'elles causent par leur faute en omettant de mettre en œuvre ou de contrôler les mesures de gestion des risques visées au paragraphe 1.

Le règlement sur l'IA s'applique à tous ceux qui utilisent des systèmes d'IA. Article 4 Depuis la version du 27 juillet 2026, cette loi oblige les fournisseurs et les opérateurs à prendre des mesures visant à renforcer les compétences de leur personnel en matière d'IA, en fonction de leurs connaissances préalables et du contexte d'utilisation.

Le règlement n'impose pas de niveau de compétence particulier, mais il n'autorise pas non plus l'inaction. Les exigences supplémentaires du règlement sont décrites dans l'article consacré à La loi européenne sur l'IA pour les entreprises.

Voici à quoi ressemble un programme de formation efficace

Formation traditionnelle : une présentation annuelle sur les mots de passe et le phishing, participation confirmée par signature, contenu identique pour tous. Ce format s'avère insuffisant face aux attaques basées sur l'IA, car celles-ci misent sur l'actualité, la personnalisation et la rapidité. Un programme capable de les contrer suit la logique même des attaquants.

• Distinguer les groupes cibles : Direction (formation obligatoire pour les établissements NIS2 conformément à l'article 38 de la loi allemande sur la sécurité des systèmes d'information [BSIG], responsabilité, prise de décision en cas d'urgence), services spécialisés (hameçonnage, appels téléphoniques, transmission de données) et développeurs (utilisation sécurisée des outils d'IA lors de la programmation).
• S'entraîner à faire face aux schémas d'attaque actuels : Appels « deepfake », fausses factures avec des coordonnées bancaires modifiées, messages envoyés au nom de la direction.
• Réglementer l'utilisation des outils d'IA : Mettre en pratique les règles mentionnées dans le point de contrôle ci-dessus à l'aide d'exemples tirés de votre quotidien professionnel, jusqu'à ce qu'elles soient bien assimilées.
• S'entraîner à suivre les procédures de signalement : Un cas suspect doit pouvoir être signalé en une minute, sans que l'on cherche à attribuer la responsabilité à qui que ce soit. Plus le signalement est rapide, moins les dégâts sont importants.
• Répéter et évaluer : De courtes sessions plusieurs fois par an, des simulations de hameçonnage (e-mails de test envoyés par nos soins) suivies d'une analyse par service, et des formations complémentaires là où le taux de clics reste élevé.

Conseil : le taux de clics de votre propre simulation de phishing est l'indicateur le plus pertinent, car il mesure le comportement plutôt que de simplement compter les participations. Au même titre que l'état des mises à jour et le test de sauvegarde, il doit figurer dans chaque rapport de sécurité destiné à la direction.

Exemple : une équipe de développement qui crée une application interne à l'aide de l'IA apprend, dans la Académie Konfuzio à partir d'un cas tiré de notre propre liste de tâches. Il s'agit ici des lignes directrices relatives aux outils d'IA dans la vie quotidienne : quelles données peuvent être intégrées dans quel outil, qui effectue les contrôles, ce qui est consigné. Ensuite, un test d'intrusion permet de vérifier le système en fonctionnement, et le rapport d'audit est renvoyé à cette même équipe.

La sécurité chez le prestataire : l'exemple de Konfuzio

Ces exigences s'appliquent d'autant plus aux prestataires de services de traitement de documents, car ils ont accès aux données les plus sensibles de leurs clients. Konfuzio est développé par la société Helm & Nagel GmbH en Allemagne, exploité conformément à la norme ISO 27001 (la norme internationale relative à la sécurité de l'information) et hébergé dans des centres de données allemands.

Le certificat, les mesures de sécurité et les sous-traitants sont consultables dans le Centre de confiance ; vous trouverez plus de détails sur la page dédiée à ce sujet Sécurité et conformité. Helm & Nagel propose également, sous forme de prestations de services, l'expérience acquise au sein de sa propre entreprise, allant du conseil en conformité aux tests d'intrusion.

Conclusion

À l'ère de l'IA, la nature des menaces a évolué, avec une recrudescence des attaques utilisant des méthodes connues.

119 nouvelles vulnérabilités par jour, 80 % des attaques signalées visant des PME et 87 % des entreprises touchées : les chiffres sont éloquents. Les pirates recherchent les points faibles et utilisent l'IA pour rendre les méthodes connues plus rapides et plus crédibles. La technologie et les règles restent le fondement de la sécurité des entreprises, de la gestion des surfaces d'attaque aux droits d'accès, en passant par le choix des fournisseurs.

Les salariés constituent une cible qui est rarement protégée de manière systématique. Seules 24 % des entreprises dispensent une formation sur la sécurité informatique à l'ensemble de leurs salariés, et en ce qui concerne l'utilisation de l'IA, ce pourcentage varie entre 27 et 70 % selon les enquêtes et les définitions.

Parallèlement, l’article 38 de la loi allemande sur la sécurité des systèmes d’information (BSIG) impose aux directions des entités NIS2 de suivre régulièrement des formations, tandis que l’article 4 du règlement sur l’IA exige des fournisseurs et des opérateurs qu’ils prennent des mesures pour développer les compétences en matière d’IA de toutes les personnes qui utilisent des systèmes d’IA. Un programme ciblant des groupes spécifiques, tenant compte des modes d’attaque actuels et produisant des résultats mesurables constitue donc un investissement dont l’efficacité peut être évaluée, après chaque session, à l’aune du taux de clics.

Vous souhaitez savoir où en sont votre infrastructure informatique et vos équipes, de l'évaluation des fournisseurs aux tests d'intrusion ? Il suffit d'envoyer un message à Konfuzio pour bénéficier des conseils d'experts.