Cybersécurité et IA : protéger votre entreprise des nouvelles menaces en 2026

Article publié le 15 janvier 2026 et entièrement révisé le 5 octobre 2026 à partir des publications de l’ANSSI, de Cybermalveillance.gouv.fr, de la CNIL et de l’OWASP. Les chiffres non sourcés de la première version ont été retirés.

Des attaquants utilisent l’IA générative pour profiler leurs cibles, rédiger des messages d’ingénierie sociale ou développer des programmes malveillants, mais les protections qui comptent pour une PME restent concrètes : procédures de validation des virements, authentification multifacteur, sauvegardes déconnectées et préparation à l’incident. S’y ajoutent des règles pour les outils d’IA que l’entreprise utilise elle-même.

Ce guide distingue ce que disent les sources officielles de notre analyse. Il ne remplace pas un diagnostic de votre système d’information.

Comment les attaquants utilisent-ils l’IA ?

Selon la synthèse de la menace publiée par l’ANSSI le 4 février 2026, des modèles d’IA générative sont utilisés et détournés à différentes étapes d’une attaque : profilage des victimes, conception de contenus d’ingénierie sociale et développement de programmes malveillants. L’ANSSI ajoute qu’à la date de cette synthèse, aucun système d’IA générative, officiel ou débridé, n’avait été en mesure de mener seul toutes les étapes d’une attaque informatique. Elle souligne aussi l’évolution rapide de cette menace et la nécessité de la réévaluer régulièrement. Source : synthèse de la menace de l’ANSSI.

Notre lecture pour une PME, qui relève de notre analyse et non de la synthèse de l’ANSSI :

• Un message bien écrit ne prouve plus rien. Un email sans faute, adapté à votre activité, peut être frauduleux.
• Une voix ou une vidéo ne suffit pas à authentifier une demande. Une demande sensible doit être confirmée par un autre canal.
• Vos informations publiques servent à personnaliser l’attaque. Site, réseaux sociaux et offres d’emploi décrivent souvent l’organisation interne.

Fraude au virement : une procédure plutôt qu’un outil

Cybermalveillance.gouv.fr définit l’escroquerie aux faux ordres de virement (FOVI) comme une arnaque qui, par persuasion, menaces ou pressions, vise à faire réaliser un virement non planifié. La variante dite « au président » se présente comme une demande urgente et confidentielle d’un dirigeant ; d’autres variantes usurpent un fournisseur ou un salarié pour faire changer des coordonnées bancaires. Ces escroqueries passent généralement par téléphone, par messages électroniques, ou les deux.

Le dispositif recommande notamment des procédures claires, une validation hiérarchique interne non dérogeable des virements imprévus et des changements de coordonnées bancaires, la sensibilisation des collaborateurs et la double authentification sur les messageries. Source : fiche réflexe FOVI de Cybermalveillance.gouv.fr.

Notre conseil : écrivez une règle simple. Aucun changement de coordonnées bancaires ni virement inhabituel sans rappel sur un numéro déjà connu, jamais sur celui fourni dans la demande. Cette règle s’applique même lorsque la voix ou le style semblent familiers.

Les mesures de base recommandées par l’ANSSI

Le guide de l’ANSSI « La cybersécurité pour les TPE/PME en 13 questions » (version 2.5 de novembre 2024) détaille des mesures accessibles. Source : guide ANSSI pour les TPE/PME

• Inventaire : connaître son parc informatique et ses actifs métier, c’est la première question du guide.
• Sauvegardes : compléter les sauvegardes en ligne par des sauvegardes hors ligne ou déconnectées, appliquer la règle « 3-2-1 » (3 copies, sur 2 supports différents dont 1 hors ligne) et tester régulièrement la restauration.
• Authentification multifacteur : l’activer dès qu’un service la propose. Pour les PME, le guide recommande idéalement un jeton physique, comme une carte à puce ou une clé USB, pour l’accès aux postes.
• Mises à jour, antivirus, pare-feu et messagerie : chacun fait l’objet d’une question dédiée.
• Sensibilisation et assurance : informer les collaborateurs et faire évaluer la couverture du risque cyber.

Que faire en cas de cyberattaque ?

Le même guide demande de se préparer avant l’incident : identifier des prestataires spécialisés dans la réponse aux incidents et connaître la plateforme Cybermalveillance.gouv.fr, qui propose un diagnostic en ligne et une mise en relation avec des professionnels.

En cas d’incident avéré, l’ANSSI recommande de :

• déconnecter l’équipement ou le système d’information d’Internet ;
• ne pas éteindre ni modifier les machines touchées, utiles aux enquêteurs ;
• ne jamais payer la rançon demandée ;
• tenir une main courante indiquant pour chaque action la date, l’heure, la personne et la description.

Seules des sauvegardes intègres permettent de redémarrer rapidement après un rançongiciel, rappelle le guide.

Sécuriser les outils d’IA de l’entreprise

L’IA crée aussi des risques lorsque l’entreprise l’utilise. Les recommandations de sécurité de l’ANSSI pour un système d’IA générative (avril 2024) comprennent notamment les points suivants. Source : recommandations de l’ANSSI

• proscrire l’usage automatisé de systèmes d’IA pour des actions critiques sur le système d’information ;
• prévoir un mode dégradé des services métier sans système d’IA ;
• filtrer les entrées et les sorties des utilisateurs ;
• limiter les actions automatiques depuis un système d’IA traitant des entrées non maîtrisées ;
• journaliser l’ensemble des traitements réalisés au sein du système d’IA ;
• proscrire l’utilisation d’outils d’IA générative sur Internet pour un usage professionnel impliquant des données sensibles.

La CNIL recommande d’encadrer l’usage de l’IA générative par une charte définissant les usages autorisés et interdits, d’interdire selon le mode de déploiement la fourniture de certaines données confidentielles ou personnelles (par exemple lorsque le fournisseur peut les réutiliser), de former les utilisateurs et de ne jamais reproduire telles quelles les sorties de ces systèmes. Source : questions-réponses de la CNIL.

Pour un chatbot ou un agent connecté à vos outils, le Top 10 2025 de l’OWASP pour les applications de grands modèles de langage cite en tête l’injection de prompt, puis la divulgation d’informations sensibles ; il mentionne aussi l’autonomie excessive. Source : OWASP Top 10 pour les LLM. Notre règle de conception : accès en lecture par défaut, actions sensibles confirmées par une personne, et aucune instruction lue dans un document ou un email ne doit élargir les droits de l’agent.

Réglementation : AI Act, RGPD et NIS 2

• AI Act : selon le calendrier de la Commission européenne, les obligations de transparence s’appliquent depuis le 2 août 2026. Les règles des systèmes à haut risque ont été reportées au 2 décembre 2027 (annexe III) et au 2 août 2028 (produits réglementés). Notre guide de l’AI Act détaille les obligations.
• RGPD : il s’applique à tout traitement de données personnelles par un outil d’IA. La CNIL rappelle que l’AI Act ne remplace pas ses exigences (questions-réponses de la CNIL).
• NIS 2 : la page de l’ANSSI consacrée à la directive évoque des milliers d’entités concernées, parle de « futures » entités essentielles et importantes et rattache encore son référentiel au « projet de loi Résilience ». Dans sa FAQ mise à jour en septembre 2025, l’ANSSI précise que NIS 2 entrera en vigueur en France lorsque l’ensemble des textes de transposition (loi, décrets, arrêtés) auront été promulgués. Source : MonEspaceNIS2, ANSSI. Vérifiez l’état de la transposition et votre situation avant de conclure.

Par où commencer ?

Notre méthode, pour une PME, tient en quatre temps :

1. inventorier les postes, comptes, services en ligne et outils d’IA utilisés ;
2. écrire les procédures sensibles : virements, changements de coordonnées bancaires, accès administrateur ;
3. vérifier les sauvegardes déconnectées par un test de restauration ;
4. encadrer les outils d’IA : charte, données autorisées, droits des agents et journalisation.

La fréquence des audits et des tests dépend de votre exposition et de vos obligations ; elle se fixe après ce premier état des lieux. KADRI AI propose un audit de sécurité IA et un accompagnement en sécurité et conformité IA. Pour un premier échange, demandez un audit de votre projet.

Questions fréquentes

L’IA rend-elle l’hameçonnage plus dangereux ?

Selon l’ANSSI, l’IA générative sert notamment à concevoir des contenus d’ingénierie sociale. Un message bien écrit et personnalisé ne prouve donc plus sa légitimité : vérifiez toute demande sensible par un autre canal.

Faut-il payer une rançon après une attaque ?

Non. L’ANSSI recommande de ne jamais payer la rançon, de déconnecter les équipements d’Internet sans les éteindre et de s’appuyer sur des sauvegardes intègres.

Mon entreprise est-elle concernée par NIS 2 ?

Cela dépend de votre activité. Au 5 octobre 2026, l’ANSSI ne présentait pas la transposition française comme achevée : vérifiez votre situation sur MonEspaceNIS2.

Sources officielles consultées le 5 octobre 2026. Les menaces et la réglementation évoluent : revérifiez ces points avant toute décision.