La DGSI alerte sur les risques liés à l’utilisation inconsidérée de l’IA en entreprise
IA en entreprise : la DGSI alerte sur un enjeu de gouvernance, de donnée et de sécurité économique
La Direction générale de la Sécurité intérieure a publié un Flash ingérence consacré aux risques liés à l’usage de l’intelligence artificielle dans le monde professionnel. Le document, daté de décembre 2025, présente trois situations réelles rencontrées par des entreprises françaises.
Ces cas illustrent un sujet désormais central pour les organisations : l’IA transforme les pratiques quotidiennes, accélère certains usages métiers et expose les entreprises à de nouveaux risques de sécurité économique lorsque son déploiement échappe à un cadre clair.
Traduction de documents confidentiels, analyse automatisée de partenaires commerciaux, visioconférence falsifiée par deepfake : les exemples présentés par la DGSI montrent que le risque IA se situe autant dans les usages ordinaires que dans les attaques sophistiquées.
Pour les directions générales, digitales, IT, data, juridiques et métiers, l’enjeu consiste à intégrer l’IA dans une gouvernance opérationnelle : données autorisées, outils validés, responsabilités définies, contrôle humain, formation des équipes et procédures de vérification.
Un premier cas centré sur l’exposition de documents confidentiels
Le premier cas évoqué par la DGSI concerne une entreprise française stratégique. Des salariés utilisaient un outil d’IA générative grand public développé par une société étrangère pour traduire des documents professionnels.
Contrats, notes internes et rapports techniques étaient copiés dans l’outil afin de gagner du temps. L’usage semblait pratique, rapide et efficace. Il créait pourtant une exposition directe de données sensibles hors du périmètre de contrôle de l’entreprise.
Ce cas met en évidence un mécanisme fréquent dans les organisations : les usages réels avancent plus vite que les règles internes. Les collaborateurs cherchent des gains immédiats de productivité, tandis que l’entreprise découvre ensuite que certaines informations ont circulé dans des environnements techniques externes.
La DGSI rappelle ici l’importance des conditions d’utilisation, de l’hébergement, du traitement des données, de la localisation des serveurs et des cadres juridiques applicables. Une information stratégique confiée à un outil tiers devient un actif exposé.
La réponse de l’entreprise a consisté à acquérir une solution d’IA sécurisée et à formaliser des règles internes. Cette réaction montre l’importance d’un cadre d’usage disponible, compréhensible et réellement applicable par les équipes.
Un deuxième cas centré sur la décision automatisée
Le deuxième cas concerne une société française en développement à l’international. Pour évaluer la fiabilité de futurs partenaires étrangers, l’entreprise a confié une partie de sa due diligence à un outil d’intelligence artificielle développé par une société étrangère.
Les résultats fournis par l’outil étaient utilisés pour orienter les décisions de la direction. La DGSI souligne ici un risque majeur : transférer une partie du jugement stratégique à un système automatisé dont le fonctionnement, les sources, les biais et les limites restent difficiles à apprécier.
Ce cas concerne directement les entreprises qui utilisent l’IA pour qualifier des prospects, analyser des partenaires, produire des scores, résumer des documents, hiérarchiser des risques ou préparer des décisions commerciales.
L’IA peut accélérer l’analyse. La décision exige un cadre de validation. Plus l’impact métier, juridique, financier ou réputationnel est élevé, plus le contrôle humain doit être explicite, documenté et assumé.
Ce point est essentiel : une IA produit une réponse, une organisation prend une décision. La responsabilité reste portée par l’entreprise, ses dirigeants, ses métiers et ses fonctions de contrôle.
Un troisième cas centré sur le deepfake et l’ingénierie sociale
Le troisième cas présenté par la DGSI concerne une tentative d’escroquerie par deepfake. Le responsable d’un site industriel a reçu un appel en visioconférence présenté comme provenant de son PDG.
Le visage, la voix et les intonations semblaient correspondre à ceux du dirigeant. L’interlocuteur demandait un transfert de fonds urgent dans le cadre d’une opération d’acquisition. Le responsable a identifié le caractère inhabituel de la demande et a utilisé les circuits habituels pour vérifier la situation.
Ce cas illustre la montée en puissance de l’IA dans les attaques d’ingénierie sociale. Les contenus audio et vidéo générés par IA permettent de rendre une tentative de fraude plus crédible, plus personnalisée et plus difficile à détecter dans l’instant.
La réponse repose sur des principes simples : validation par canal secondaire, séparation des rôles, contrôle renforcé des opérations sensibles, culture du signal faible, formation régulière et procédures connues des équipes.
Dans ce type de situation, la maturité de l’entreprise se mesure à la qualité des réflexes collectifs. La technologie crée le leurre. L’organisation protège la décision.
Ce que ces trois cas révèlent
Les trois situations décrites par la DGSI ont une valeur opérationnelle forte. Elles correspondent à des usages déjà présents dans les entreprises : traduction, résumé, analyse, due diligence, visioconférence, décision urgente, partage de documents, automatisation de tâches.
Elles montrent que le risque IA dépasse la cybersécurité au sens strict. Il touche la gouvernance de la donnée, la confidentialité, la conformité, la fiabilité des décisions, la dépendance fournisseur, la sécurité économique et la continuité opérationnelle.
Trois vulnérabilités ressortent clairement :
- Les données sensibles peuvent sortir du périmètre de contrôle par des usages quotidiens.
- Les décisions stratégiques peuvent être influencées par des systèmes opaques.
- La confiance accordée à la voix, à l’image et aux échanges numériques peut être exploitée à des fins de manipulation.
Ces risques appellent une réponse structurée. L’entreprise doit connaître ses usages IA réels, qualifier ses données, sélectionner ses outils, formaliser ses règles et former ses équipes avec des exemples concrets.
La maturité IA repose donc sur une combinaison de gouvernance, d’architecture, de sécurité, de méthode et de culture interne.
Enjeu performance digitale
Ce sujet s’inscrit directement dans la performance digitale. Une organisation mature sait intégrer l’IA dans un cadre maîtrisé, mesurable et compatible avec ses enjeux de donnée, de conformité, de sécurité et de continuité opérationnelle.
L’IA peut améliorer la productivité, accélérer l’analyse, enrichir les parcours clients, automatiser certaines tâches et renforcer la capacité de décision. Cette valeur apparaît lorsque les usages sont cadrés, les données qualifiées, les responsabilités établies et les résultats vérifiés.
La performance digitale repose alors sur cinq dimensions :
- La gouvernance des données utilisées par les outils d’IA.
- La maîtrise des environnements techniques et des fournisseurs.
- La formation des équipes aux usages autorisés et aux réflexes de sécurité.
- La validation humaine des décisions à impact métier, financier ou juridique.
- La capacité à tracer, mesurer et améliorer les usages dans la durée.
L’IA devient un levier de performance lorsqu’elle s’intègre dans une architecture claire : données maîtrisées, outils sélectionnés, règles explicites, contrôle humain, indicateurs de suivi et responsabilités identifiées.
Ce cadre permet aux entreprises de bénéficier des gains de productivité tout en protégeant leurs actifs stratégiques : contrats, données clients, savoir-faire, informations financières, décisions commerciales, réputation et confiance interne.
Une question de gouvernance avant une question d’outil
Les cas présentés par la DGSI rappellent une réalité simple : l’adoption de l’IA avance par les usages. Les collaborateurs testent, contournent, accélèrent, copient, traduisent, résument et automatisent. Cette dynamique peut produire de la valeur, à condition d’être structurée.
La première étape consiste à cartographier les usages déjà présents dans l’entreprise. Les directions doivent savoir quels outils sont utilisés, par quelles équipes, pour quels types de données et avec quels objectifs.
La deuxième étape consiste à qualifier les données. Toutes les informations professionnelles n’ont pas le même niveau de sensibilité. Un brief public, un contrat client, une note stratégique, un document RH, une donnée financière ou une information industrielle appellent des niveaux de protection différents.
La troisième étape consiste à sélectionner les outils selon des critères opérationnels : hébergement, sécurité, conditions d’utilisation, politique de réutilisation des données, intégration au système d’information, gestion des accès, conformité, traçabilité et capacité de contrôle.
La quatrième étape consiste à formaliser des règles simples. Les équipes doivent comprendre ce qui est autorisé, ce qui doit être validé, ce qui doit être anonymisé et ce qui relève d’un outil sécurisé.
La cinquième étape consiste à garder une validation humaine sur les décisions critiques. L’IA peut préparer, accélérer, comparer, synthétiser et détecter. La décision finale engage l’entreprise.
Ce que les entreprises peuvent mettre en place
Une doctrine IA interne efficace peut reposer sur des actions concrètes :
- Cartographier les usages IA existants par direction, métier et type d’outil.
- Classer les données selon leur niveau de sensibilité.
- Définir les usages autorisés pour les outils grand public, internes ou contractualisés.
- Mettre à disposition des solutions validées pour les tâches courantes.
- Former les équipes avec des cas pratiques proches de leur quotidien.
- Mettre en place une validation humaine pour les décisions sensibles.
- Créer un circuit de vérification pour les demandes inhabituelles, urgentes ou financières.
- Documenter les incidents, arbitrages et règles d’usage.
- Suivre les usages dans le temps avec des indicateurs simples.
- Réviser régulièrement le cadre interne selon l’évolution des outils et des risques.
Cette approche transforme l’IA en dispositif piloté. Elle permet d’articuler productivité, sécurité économique, conformité et performance opérationnelle.
Conclusion
Le Flash ingérence de la DGSI met en lumière une évolution majeure : l’IA devient un sujet de gouvernance d’entreprise. Elle touche les outils, les données, les processus, les décisions, les fournisseurs et les comportements quotidiens.
Les trois cas présentés montrent que les risques émergent dans des situations très concrètes : traduire un document, analyser un partenaire, répondre à une demande urgente en visioconférence.
La réponse adaptée repose sur un cadre clair : données maîtrisées, outils sélectionnés, règles simples, équipes formées, validation humaine et capacité de contrôle.
L’IA peut devenir un puissant accélérateur de performance digitale. Sa valeur dépend de la capacité de l’entreprise à l’intégrer dans un environnement fiable, gouverné et aligné avec ses enjeux métier.
Sources
Direction générale de la Sécurité intérieure, Flash ingérence, « Les risques associés à l’usage de l’intelligence artificielle dans le monde professionnel », décembre 2025.
Clubic, Alexandre Boero, « La DGSI exhibe les erreurs de 3 entreprises françaises piégées par des outils d’intelligence artificielle », publié le 3 janvier 2026.
L’Usine Digitale, Célia Séramour, « Risques liés à l’IA : Trois cas d’entreprises françaises racontés par la DGSI », publié le 5 janvier 2026.