Avec 40 % des TPE-PME qui
utilisent désormais l’intelligence artificielle et 39 % qui déclarent avoir été
confrontées à un incident de cybersécurité au cours des douze derniers mois,
les entreprises doivent accompagner leurs nouveaux usages numériques par des
mesures de protection adaptées, à leur échelle et selon leurs risques.
Des usages de l’IA en
forte croissance, une protection des entreprises encore perfectible
L’intelligence
artificielle s’installe rapidement dans les usages professionnels des TPE-PME.
Selon le baromètre France Num 20261, 40 % d’entre elles utilisent désormais au
moins une solution d’IA, contre 26 % en 2025 et 13 % en 2024. En deux ans,
cette proportion a ainsi été multipliée par trois.
Dans le même temps, 39
% des TPE-PME déclarent avoir été confrontées à un incident de cybersécurité au
cours des douze derniers mois. Si 84 % disposent d’au moins une mesure de
protection, seules 39 % utilisent l’authentification multifacteur et 32 % déclarent
former ou sensibiliser leurs collaborateurs.
Si ces données ne
permettent pas d’établir un lien direct entre l’utilisation de l’IA et la
survenue d’incidents, elles soulignent toutefois la nécessité d’accompagner la
progression des usages numériques par une meilleure maîtrise des systèmes, des
données et des accès.
« L’IA ne crée pas à
elle seule le risque cyber, mais elle accélère les usages numériques, facilite
l’automatisation et la personnalisation de certaines attaques et peut amplifier
les conséquences de pratiques insuffisamment maîtrisées. Pour les entreprises,
le principal risque ne réside pas nécessairement dans l’outil d’IA lui-même,
mais dans son utilisation sans cadre clair : recours à des services non
validés, saisie d’informations sensibles dans des outils publics, droits
d’accès trop étendus ou confiance excessive accordée à un contenu généré. » déclare Johan
Klein, responsable de la sécurité des systèmes d’information chez Meritis
Des réflexes à
renforcer face aux fraudes assistées par l’IA
Les risques évoluent
également pour les utilisateurs, avec des contenus frauduleux plus faciles à
produire, à personnaliser et à diffuser. Le National Privacy Test 2026 de
NordVPN2 relève notamment des difficultés à reconnaître certaines menaces :
seuls 15 % des participants français ont correctement identifié le scénario de
phishing présenté dans le test, tandis que 41 % ont repéré le contenu deepfake.
Pour Meritis, la
sensibilisation doit s’appuyer sur des situations concrètes. L’objectif n’est
pas de faire reposer toute la sécurité sur la capacité individuelle à détecter
un deepfake, mais de donner aux équipes des réflexes simples et de renforcer
les contrôles organisationnels : suspendre une opération inhabituelle,
respecter les circuits de validation et vérifier une demande par un canal connu
et indépendant.
Quatre priorités pour les TPE-PME
Meritis recommande aux
petites et moyennes entreprises d’intégrer la cybersécurité à leurs projets
numériques dès leur conception, notamment lors du déploiement d’outils d’IA.
Plusieurs mesures peuvent être mises en œuvre progressivement.
1. Connaître les usages de l’IA et les données
utilisées.
Les entreprises doivent identifier les services employés par leurs équipes, les
utilisateurs concernés, les finalités poursuivies et les informations qui leur
sont confiées. Elles doivent également préciser quelles données ne doivent pas
être saisies dans des outils publics. Pour les solutions connectées au système
d’information, il est essentiel de définir les données, les fonctions et les
actions auxquelles chaque système d’IA peut accéder. Les entreprises souhaitant
structurer davantage leur démarche peuvent notamment s’appuyer sur les
principes de la norme ISO/IEC 42001 et sur les recommandations de sécurité de
l’ANSSI pour les systèmes d’IA générative.
2. Sécuriser les identités et les accès. L’activation de
l’authentification multifacteur, la limitation des droits aux besoins de chaque
fonction et la revue régulière des comptes disposant d’accès sensibles
constituent des mesures prioritaires. Cette maîtrise doit couvrir l’ensemble du
cycle de vie des identités, de l’arrivée d’un collaborateur à son départ, en
passant par les changements de fonction. Les habilitations doivent également
être réexaminées périodiquement afin d’éviter l’accumulation progressive de
droits devenus inutiles.
3. Préparer la continuité et la réaction à
l’incident.
Il ne suffit pas de vérifier que des sauvegardes existent. Les entreprises
doivent s’assurer qu’elles peuvent effectivement restaurer leurs données et
leurs actifs essentiels, au moyen de tests réalisés à intervalles réguliers.
Elles doivent également identifier les premiers contacts et les premières
actions à mobiliser en cas d’incident, puis préparer un dispositif de reprise
d’activité proportionné à leurs risques, à leurs moyens et à leurs activités
essentielles.
4. Entraîner les équipes. Les entreprises
peuvent organiser des mises en situation face au phishing, à l’usurpation
d’identité, aux demandes urgentes ou aux deepfakes. Ces exercices doivent
couvrir différents canaux : courriels, SMS, QR codes, appels frauduleux,
usurpation de voix, demandes de changement de coordonnées bancaires ou
transmission urgente de données. La sensibilisation est plus efficace
lorsqu’elle est régulière, adaptée aux fonctions exposées et fondée sur des
situations variées.
« Une TPE-PME n’a pas besoin de reproduire l’organisation ou les dispositifs complexes d’un grand groupe pour progresser. Elle doit commencer par connaître ses usages numériques et ses outils d’IA, protéger les comptes sur l’ensemble de leur cycle de vie, vérifier qu’elle peut réellement restaurer ses données et préparer ses équipes à réagir face à des sollicitations de plus en plus crédibles. Ces mesures sont accessibles, mais elles doivent être adaptées aux risques de l’entreprise, réellement appliquées et régulièrement testées. La cybersécurité n’est pas l’apanage des grands groupes : elle doit progressivement devenir un réflexe pour tous. » conclut Johan Klein, responsable de la sécurité des systèmes d’information chez Meritis.