L'IA n'a pas de camp : elle protège les entreprises... et arme aussi leurs attaquants

Comment la même intelligence artificielle qui améliore la productivité, accélère l'innovation et renforce la cybersécurité peut également devenir l'alliée des cybercriminels lorsque son utilisation n'est pas gouvernée.

Introduction : Quand le même outil arme les deux camps

Dans mon village, on disait souvent :

"Quand la même gueule du chien qui mord est aussi celle qui joue, il ne faut jamais oublier qu'il reste un chien."

Cette sagesse populaire décrit étonnamment bien l'intelligence artificielle.

Beaucoup découvrent aujourd'hui ChatGPT, Copilot, Gemini ou Claude comme des assistants capables de faire gagner du temps. Un développeur qui débugge son code en trois minutes au lieu de trois heures. Un commercial qui rédige une proposition en quinze minutes. Un chef de projet qui structure un plan de travail automatiquement.

Pourtant, ces mêmes technologies sont également utilisées pour perfectionner des campagnes de phishing, automatiser des fraudes, produire de faux documents, créer des deepfakes, générer des logiciels malveillants ou accélérer des cyberattaques.

À retenir : Le danger n'est donc pas l'intelligence artificielle. Le danger est de croire qu'un outil aussi puissant n'a besoin d'aucune règle.

J'écris cet article après avoir observé, pendant plus de vingt-cinq ans, comment les organisations africaines accueillent chaque nouvelle technologie avec le même mélange d'enthousiasme et d'insouciance. L'IA n'est pas différente. Elle reproduit simplement, à une échelle démultipliée, une question éternelle : qui gouverne l'outil ?

Le paradoxe : la même technologie, deux destinées opposées

Pour comprendre l'IA, il faut d'abord accepter une vérité inconfortable : cette technologie n'a pas d'intention.

Un algorithme de machine learning ne se réveille pas le matin en se demandant s'il sera utile ou nuisible. Il fait exactement ce qu'on lui demande. Ni plus, ni moins. C'est un multiplicateur. Il amplifie la compétence et la rigueur de celui qui l'utilise, mais il amplifie aussi ses négligences, ses raccourcis et ses intentions malveillantes.

Le même jour, à la même heure — deux scénarios opposés

🛡️ Défense : Un RSSI utilise Claude pour analyser les logs d'une tentative de cyberattaque. Il lui fournit les données filtrées, sans informations sensibles. L'IA identifie les motifs de l'attaque en 90 secondes. La vulnérabilité est patchée avant midi.

⚔️ Attaque : Un cybercriminel utilise ChatGPT pour générer une campagne de phishing personnalisée. Il fournit à l'IA les noms des dirigeants, leurs postes, leurs responsabilités. L'IA rédige 500 mails adaptés à chaque cible. Une heure plus tard, les premiers clics arrivent.

La technologie est identique. Les résultats sont diamétralement opposés. La différence vient entièrement de celui qui tient l'outil et des règles qui encadrent son usage.

Conseil du consultant : Comprendre ce paradoxe est la première étape vers une gouvernance mature de l'IA. Ceux qui croient que l'IA est intrinsèquement bonne ou mauvaise n'ont pas compris que c'est un miroir. Elle amplifie ce qui était déjà là.

La génération des "copie-colleurs" : quand l'outil révèle les mauvaises pratiques

Définition

Copie-colleur (nom commun) : Professionnel qui copie sans réflexion du code, une API, une base SQL, un fichier .env, des clés d'accès, des contrats, des procédures, des politiques de sécurité, des CV, des données RH, des rapports d'audit ou des documents stratégiques dans une IA générative, puis réutilise les réponses sans analyse, sans validation et sans compréhension.

Ce terme n'existe pas dans les dictionnaires. Il devrait. Parce que l'IA a transformé un comportement marginal en pratique quotidienne observable dans presque toutes les organisations que j'ai visitées au cours des douze derniers mois.

Important : Ce n'est pas l'IA qui crée ce comportement. L'IA révèle simplement les mauvaises pratiques déjà présentes, mais enfouies sous la friction administrative. Avant ChatGPT, le "copie-colleur" existait — il était juste plus lent et moins visible.

Maintenant, il est partout. Et l'impact est démultiplié.

Situations de terrain : d'où viennent les vrais risques

10 cas réels observés

Cas 1 : Le développeur qui colle une API complète

La situation : Un bug arrive en production vendredi soir. Le développeur va sur ChatGPT, copie le fichier .env complet (avec toutes les clés d'accès), copie le schéma SQL complet, copie l'API endpoint entière, demande "Pourquoi ça ne fonctionne pas ?"

Le risque : Les clés d'accès, les identifiants de base de données, les tokens d'authentification sont maintenant stockés dans les serveurs d'OpenAI. Les données de l'entreprise — architecture, schéma, logique métier — sont hébergées chez un tiers. Si OpenAI est piraté, ou si les données sont revendues, ou si un concurrent a accès aux logs, c'est terminé.

Bon réflexe : Ne JAMAIS copier en bloc. Toujours anonymiser les clés, les identifiants, les données sensibles.

Cas 2 : Le stagiaire qui envoie chaque ticket à ChatGPT

La situation : Un jeune développeur reçoit son premier projet. Chaque ticket Jira, il le copie tel quel dans ChatGPT. Contexte interne, identifiants de client, numéro de serveur — tout y passe.

Le risque : La fuite n'est pas technique, elle est administrative. Les workflows internes, les clients qui utilisent votre infrastructure, les problèmes connus de votre architecture — tout devient accessible.

Cas 3 : Le commercial qui colle un appel d'offres confidentiel

La situation : Un appel d'offres d'un client stratégique arrive. Le commercial copie l'ensemble de l'AOA dans Copilot : "Aide-moi à préparer une réponse."

Le risque : Violation de confidentialité contractuelle. Exposition de la stratégie au concurrent.

Cas 4 : Le comptable qui fait analyser des états financiers

La situation : Un comptable copie les états financiers (complets) dans ChatGPT pour une analyse automatique.

Le risque : Fuite de données financières sensibles.

Cas 5 : Le responsable RH qui dépose des CV

La situation : Un responsable RH copie 200 CV complets (avec adresses, photos) dans une IA pour un tri automatique.

Le risque : Vol de données personnelles. Violation RGPD majeure. Usurpation d'identité des candidats.

Cas 6 : Le consultant qui colle les politiques d'un client

La situation : Un consultant copie les politiques de sécurité complètes d'un client pour amélioration automatique.

Le risque : Violation du secret professionnel. Exposition de la stratégie de sécurité du client.

Cas 7 : Le RSSI qui colle un rapport d'audit

La situation : Un RSSI copie un rapport d'audit complet (tous les défauts, vulnérabilités) pour priorisation automatique.

Le risque : Exposition d'une carte routière complète des failles. L'attaquant connaît exactement où frapper.

Cas 8 : Le chef de projet qui copie les comptes rendus

La situation : Un chef de projet copie les CR de comités (décisions, budgets, noms de sponsors) pour résumé automatique.

Le risque : Exposition de la stratégie d'exécution et des tensions organisationnelles.

Cas 9 : Le technicien qui colle les logs

La situation : Un technicien copie les logs complets (IP, tokens, identifiants) pour diagnostic automatique.

Le risque : Exposition de l'infrastructure. Les tokens peuvent servir à accéder au système en tant qu'utilisateur réel.

Cas 10 : Le dirigeant qui demande à l'IA de rédiger une réponse stratégique

La situation : Un PDG copie un email stratégique d'un partenaire dans une IA pour réponse automatique avec contexte complet.

Le risque : Exposition de la stratégie réelle. Perte d'avantage en négociation.

Pendant que vous utilisez l'IA...

Il faut accepter une réalité difficile : toutes les applications bénignes que vous découvrez avec l'IA, les attaquants les découvrent aussi.

Pendant que vous améliorez votre code : Quelqu'un améliore son malware. À la même seconde : Un cybercriminel obfusque un ransomware.

Pendant que vous rédigez une politique ISO : Quelqu'un rédige un email de phishing hyper-personnalisé. À la même seconde : Le taux de succès des campagnes monte de 30%.

Pendant que vous automatisez votre support client : Quelqu'un automatise une fraude à grande échelle. À la même seconde : Les appels d'arnaque utilisant des deepfakes vocaux arrivent avec accent régional parfait.

À retenir : La technologie est exactement la même. L'asymétrie vient du fait que les défenseurs ont des règles, des processus, une responsabilité légale. Les attaquants n'en ont pas.

Les hallucinations : quand l'IA fabrique une réalité

Il existe un risque qu'aucun cadre juridique n'a anticipé : la "hallucination".

Une hallucination, c'est quand une IA générative invente des informations qui semblent plausibles mais sont totalement fausses. Des réglementations qui n'existent pas, des normes fictives, des études inventées, des données statistiques fausses, des noms de lois, des numéros de téléphone qui mènent nulle part.

Risque critique : Une IA peut vous faire passer des heures à mettre en place des mesures qui ne répondent à aucune exigence légale réelle.

La gouvernance de l'IA en entreprise : par où commencer

1. Shadow AI : la vraie menace

Avant même de parler de gouvernance, acceptez que vous ne savez pas qui utilise l'IA dans votre organisation. Des centaines de collaborateurs utilisent ChatGPT, Copilot, Gemini, Claude, en dehors de tout contrôle.

2. Classification des informations

Vous devez immédiatement classifier vos informations : Publique, Interne, Confidentielle, Très Confidentielle. Et définir ce qui ne part JAMAIS dans une IA.

3. Les normes internationales

ISO/IEC 42001 (management de l'IA), ISO/IEC 27001 (sécurité), NIST AI RMF (risques) existent déjà.

4. Politique interne

Une politique simple couvrant les outils autorisés, les données interdites et les responsabilités.

Les 12 règles d'or avant d'utiliser une IA

1. Vérifier la classification de l'information

2. Anonymiser tous les noms réels en rôles

3. Redacter les identifiants (clés, tokens, IPs internes)

4. Tester la source (demander le numéro de loi exact)

5. Ne pas faire confiance à 100% (l'IA fabrique des réponses)

6. Documenter ton usage (traçabilité)

7. Ne pas automatiser l'envoi (chaque usage manuel et réfléchi)

8. Vérifier les contrats de confidentialité du client

9. Demander à ton RSSI en cas de doute

10. Rappeler à l'équipe régulièrement

11. Évaluer les alternatives sécurisées (outils internes)

12. Reporter les incidents immédiatement

Conclusion : Qui gouverne l'outil gouverne le risque

« L'intelligence artificielle ne fabrique pas des développeurs médiocres. Elle révèle ceux qui l'étaient déjà. Chez les professionnels rigoureux, elle décuple les capacités. Chez les "copie-colleurs", elle décuple les risques. »

Ce qui était vrai en 2005 pour Google reste vrai aujourd'hui pour l'IA : l'outil amplifie ce qui était déjà là.

L'intelligence artificielle n'a pas de camp. Elle n'a pas d'intention. Elle emprunte simplement celui de celui qui la dirige.

Les organisations qui réussiront demain ne seront pas celles qui utiliseront le plus d'IA. Ce seront celles qui auront appris à l'encadrer, à la gouverner et à en faire un levier de confiance plutôt qu'un facteur de risque.

L'IA n'est pas un problème de technologie. C'est un problème de gouvernance. Et la gouvernance, c'est une question humaine.

Niamké Antoine

Expert gouvernance & sécurité IT

Consultant en gouvernance et sécurité IT avec plus de 10 ans d’expérience, Niamké Antoine accompagne les organisations dans le pilotage de leurs projets, l’amélioration de leurs services IT et la sécurisation de leurs systèmes d’information. Certifié PRINCE2® Master, ITIL® Master, ISO/IEC 27001 Lead Implementer, PMP® et COBIT® 5, il transforme les référentiels et les exigences de conformité en démarches concrètes, adaptées aux réalités du terrain et orientées vers des résultats durables.