En janvier 2026, le responsable d’un site industriel d’un groupe français reçoit un appel en visioconférence. En face de lui, le visage et la voix de son PDG, tous deux clonés par intelligence artificielle, réclament un virement urgent pour financer une acquisition confidentielle. Le ton lui paraît étrange. Il raccroche et prévient la vraie direction, qui confirme la tentative d’escroquerie quelques minutes plus tard, un cas documenté par Ayi Nedjimi Consultants. Cette scène n’a rien d’isolé : elle décrit une menace désormais installée dans le quotidien des entreprises françaises.
L’ampleur de la menace en France
30% des entreprises françaises déclarent avoir déjà affronté une cyberattaque impliquant directement l’intelligence artificielle. Le détail par technique est parlant : 44% évoquent des tentatives de phishing générées ou amplifiées par IA, 35% des attaques vocales par clonage de voix, 31% des logiciels malveillants et 29% des deepfakes ou attaques automatisées.
L’ANSSI recense en moyenne 12 incidents par semaine, un chiffre en hausse de 45% par rapport à 2025. Le coût agrégé de la cybercriminalité pour l’économie française a atteint 118 milliards d’euros en 2024, soit environ 4% du PIB national.
Côté défense, les entreprises ne restent pas les bras croisés : 77% des DSI et RSSI ont déjà intégré l’IA générative dans leur dispositif de cyberdéfense. Cette course à l’armement profite pour l’instant davantage aux attaquants, dont le coût d’entrée a chuté au moment même où leur efficacité grimpait.
L’ANSSI recense en moyenne 12 incidents par semaine, un chiffre en hausse de 45% par rapport à 2025.
Pourquoi les entreprises françaises sont particulièrement exposées
Pendant longtemps, la langue française a fonctionné comme une barrière naturelle contre les campagnes de phishing de masse. Les kits d’attaque conçus pour l’anglo-saxon, traduits à la va-vite ou passés dans un traducteur automatique, produisaient des emails truffés de tournures étranges que même un salarié peu formé finissait par repérer. Cette barrière a disparu. Un modèle de langue générative rédige aujourd’hui un email en français impeccable, avec les formules de politesse et le jargon métier attendus dans un secteur donné, en quelques secondes et sans coût marginal significatif.
Cette disparition de la barrière linguistique touche en priorité les PME et ETI qui n’étaient pas des cibles rentables pour un attaquant humain devant rédiger chaque message manuellement. Automatiser la rédaction change ce calcul : cibler mille PME françaises coûte désormais à peine plus cher que cibler dix grands comptes, ce qui explique pourquoi la menace ne se limite plus aux grands groupes dotés d’équipes de sécurité dédiées.
Le phishing nouvelle génération
Le phishing reste la porte d’entrée numéro un dans les systèmes d’entreprise, mais son visage a changé. 82,6% des emails de phishing s’appuient désormais sur l’IA générative pour produire un texte sans faute, calibré sur le ton et le vocabulaire de l’entreprise ciblée. Fini les fautes d’orthographe et les formulations maladroites qui servaient jusqu’ici de premier signal d’alerte aux salariés formés.
Le résultat se mesure au taux de clic : un email de phishing rédigé par IA obtient un taux de clic de 54%, contre 12% pour un message rédigé à la main. Un salarié formé à repérer les fautes de français reste désarmé face à un message parfaitement écrit et cohérent avec le reste de sa boîte de réception.
Un email de phishing rédigé par IA obtient un taux de clic de 54%, contre 12% pour un message rédigé à la main — la barrière linguistique qui protégeait les entreprises françaises a disparu.
La fraude au deepfake, anatomie d’une arnaque
Les tentatives de fraude par deepfake ont progressé de 700% en un an en France. Ces attaques ont coûté plus de 863 millions d’euros aux organisations touchées en 2025.
Ce qui a changé, c’est l’accessibilité de la technique. Le coût de production d’une attaque par clonage vocal ou vidéo est tombé sous la barre des 50 euros, et le volume de deepfakes en circulation a été multiplié par plus de dix entre 2023 et 2025. À l’échelle mondiale, 49% des entreprises déclarent avoir déjà subi une tentative d’escroquerie par deepfake audio ou vidéo, selon une étude Regula relayée par la DGSI dans son flash ingérence de janvier 2026.
En France, le baromètre fraude 2026 réalisé par Allianz Trade avec Odoxa chiffre à 60% la part des PME et 85% celle des ETI et grandes entreprises ayant subi au moins une tentative de fraude au cours des douze derniers mois. Le 27 avril 2026, la Banque de France et l’ACPR ont lancé une alerte conjointe sur des vidéos de dirigeants circulant en ligne, utilisées sans leur accord pour crédibiliser des propositions d’investissement frauduleuses.
Ce que recommandent l’ANSSI et la CNIL
L’ANSSI a publié un guide de référence, Sécuriser les systèmes intégrant de l’intelligence artificielle, attendu depuis l’entrée en vigueur de l’AI Act européen. Il couvre l’architecture des pipelines IA, le cloisonnement des environnements d’inférence et la supervision des sorties de modèles. Une section dédiée aux structures de moins de 250 salariés propose un sous-ensemble de 12 mesures prioritaires, pensées pour des équipes qui n’ont ni le temps ni le budget pour appliquer l’intégralité du référentiel.
La CNIL détaille trois risques propres aux systèmes d’IA : l’empoisonnement des données d’entraînement, l’extraction d’informations personnelles par inversion de modèle, et la manipulation des résultats par injection de prompt. Elle recommande le chiffrement des données au repos et en transit, un contrôle d’accès strict aux modèles et aux jeux de données, ainsi qu’une journalisation systématique des requêtes.
Six mesures concrètes à mettre en place
- Instaurer un code verbal ou une double validation humaine pour tout virement inhabituel demandé par téléphone ou visioconférence, même si l’interlocuteur semble être un dirigeant connu.
- Mettre en place un rappel systématique sur un numéro déjà enregistré, jamais celui communiqué pendant l’appel suspect, avant d’exécuter un virement.
- Former les équipes comptables et financières au clonage vocal, avec des exemples concrets plutôt que des consignes théoriques.
- Limiter la diffusion publique de vidéos et enregistrements audio longs des dirigeants, qui fournissent la matière première du clonage.
- Auditer les accès aux modèles d’IA utilisés en interne et journaliser les requêtes, conformément aux recommandations de la CNIL.
- Retirer la faute d’orthographe de la liste des signaux d’alerte transmis aux salariés : un email de phishing généré par IA n’en contient généralement plus aucune.
Aucun outil ne remplace une procédure de double validation humaine sur tout virement urgent, même après vérification par visioconférence — le clonage vocal et vidéo en temps réel est déjà opérationnel.
Ces six mesures ne demandent ni budget technique conséquent ni recrutement d’un expert en sécurité. Elles reposent sur un changement de réflexe : la voix et le visage d’un dirigeant, longtemps considérés comme la preuve ultime d’identité, ne suffisent plus. Une entreprise qui forme ses équipes finance à ce principe simple, avant même de penser à un outil de détection technique, bloque déjà la majorité des scénarios de fraude documentés en France depuis le début de l’année.
Une défense qui reste avant tout organisationnelle
Aucune de ces mesures ne relève de la prouesse technique. Dans le cas du site industriel évoqué en ouverture, c’est un simple rappel téléphonique sur un numéro connu qui a évité la fraude, pas un outil de détection de deepfake. Pour une PME qui ne peut pas déployer les douze mesures ANSSI d’un coup, la priorité tient en une phrase : traiter toute demande de virement urgent par téléphone ou visio comme suspecte par défaut, jusqu’à vérification sur un canal indépendant.
Le point de départ le plus simple reste souvent le moins coûteux : fixer avec chaque banquier et chaque partenaire financier un canal de confirmation qui n’implique jamais le téléphone ni la visioconférence seuls. C’est ce détail de procédure, pas la sophistication de l’attaque, qui a déterminé l’issue de la plupart des tentatives recensées cette année.
Pour aller plus loin : notre guide complet, Ce que l’IA rapporte vraiment aux PME françaises en 2026 (chiffres à l’appui), IA au travail 2026 : quels métiers transforme-t-elle vraiment (et lesquels menace-t-elle) ?, Claude, GPT ou Gemini : comment choisir (et pourquoi la question ne se pose plus comme avant).