// CLUBIC — INTELLIGENZA ARTIFICIALE
IA générative en entreprise : productivité boostée, surface d'attaque élargie
Selon une étude WatchGuard Technologies menée en avril auprès de 684 salariés de PME et d'ETI dans huit pays, dont la France, 64 % des employés recourent à des outils d'intelligence artificielle non validés par leur direction. Moins de 30 % des organisations interrogées tiennent un inventaire de ces logiciels.
Votre entreprise fait donc peut-être partie des 64 % de celles qui ont adopté ChatGPT ou Claude par choix, comme outil de travail. Mais ce que vous savez et maîtrisez moins bien, c'est que vos salariés ou collaborateurs les utilise aussi par la porte de service, dès que l'un d'eux crée un compte personnel ou s'y connecte sur son poste de travail. Ce compte n'est soumis à aucun contrôle technique de votre système d'information.
C'est ainsi que le salarié transmet sans le savoir, un devis ou un fichier client hors de votre zone sécurisée, sans laisser de trace pour votre service informatique, s'il en existe un. Chaque donnée personnelle contenue dans ces échanges est pourtant soumise au RGPD, que l'entreprise l'ait autorisé ou non.
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
L'étude WatchGuard que nous avons relayée sur Clubic nous apprend que moins de 30 % des organisations sont dotés d'un inventaire des outils d'IA utilisés par leurs équipes, et près de quatre entreprises sur dix ignorent quelles applications elles utilisent réellement. 58 % des utilisateurs professionnels d'IA générative travaillent sans charte ni cadre défini par leur employeur, selon une étude Salesforce menée en France en 2025. Par exemple Chez Impact AI, un regroupement d'entreprises françaises du secteur, la proportion est plus faible encore. Seulement 9 % des salariés disposaient cette année-là d'une charte éthique ou d'un interlocuteur dédié.
Une autre étude, celle d'Okta, rapporte que la France est malgré tout le pays où ce phénomène de contournement est le moins répandu au monde, loin derrière la moyenne mondiale de 52 %. Votre ignorez donc souvent par où transitent vos données les plus sensibles.
En cas de piratage de l'ordinateur d'un de vos salariés, l'attaquant peut très bien retrouver dans l'historique du navigateur des mois de conversations avec un assistant IA, même longtemps après son départ.
La CNIL a publié l'an dernier de nouvelles recommandations sur l'intelligence artificielle générative. Elle demande aux entreprises d'informer les personnes concernées quand leurs données personnelles sont susceptibles d'être mémorisées par un modèle, et de leur donner les moyens d'exercer leurs droits d'accès et de rectification, même quand un salarié a utilisé un compte personnel pour l'échange. Ces échanges peuvent aussi intéresser des groupes extérieurs à votre entreprise.
L'ANSSI a recensé en février dernier 42 groupes de pirates informatiques qui exploitaient l'IA pour préparer leurs attaques. Des groupes nord-coréens, Lazarus par exemple, fabriquent de faux profils professionnels sur les réseaux sociaux pour approcher leurs cibles. Des versions détournées, WormGPT ou FraudGPT par exemple, circulent sur des forums clandestins sans aucune limite de sécurité, pour l'équivalent d'une centaine d'euros par mois.
Remontons en 2025. Aim Security a découvert une faille de Microsoft 365 Copilot, EchoLeak, savant mélange de contenu dissimulé dans un e-mail ordinaire et un contournement des filtres de sécurité censés bloquer ce type d'instruction cachée. Un attaquant peut envoyer un courriel piégé, sans qu'aucun clic ne soit nécessaire de la part de la victime, et faire réciter à l'assistant IA le contenu des messages et des fichiers professionnels auxquels il a accès. Microsoft a corrigé cette faille.