Deepfake du dirigeant, IA grand public : l’alerte de la DGSI
Dans un flash de décembre 2025, la DGSI décrit trois dérives réelles de l’IA en entreprise, dont un faux dirigeant en visioconférence, et donne ses conseils.
L’essentiel
- La DGSI rapporte trois cas anonymisés : documents confidentiels traduits sur une IA grand public, partenaires évalués par une IA sans contrôle, faux dirigeant en visioconférence.
- Selon elle, les offres gratuites des grands outils d’IA générative se servent souvent des données saisies pour entraîner leurs modèles.
- Elle recommande d’encadrer l’IA dans la charte informatique, de former régulièrement les équipes et de ne pas y saisir de données personnelles.
Trois cas réels, anonymisés
En décembre 2025, la Direction générale de la sécurité intérieure (DGSI) a consacré son « Flash ingérence économique » n° 117 aux risques liés à l’usage de l’intelligence artificielle dans le monde professionnel. Ces notes courtes racontent des situations vécues par des sociétés françaises, sans détail permettant de les identifier, pour aider les entreprises à diffuser une culture de sécurité en interne.
Premier cas : le directeur informatique d’une multinationale a découvert que des salariés traduisaient régulièrement des documents confidentiels avec un outil d’IA « grand public » conçu par une société étrangère, sans l’accord de leur hiérarchie. L’entreprise leur a demandé de passer par une solution payante qu’elle avait achetée, et a lancé un groupe de travail pour fixer une doctrine d’usage.
Deuxième cas : pour se développer à l’étranger, une société a confié l’évaluation de ses partenaires commerciaux à un outil d’IA créé par une entreprise étrangère. Par manque de temps, elle suivait systématiquement ses conclusions, sans aucune vérification.
Troisième cas : le responsable d’un site industriel a reçu un appel en visioconférence d’une personne qui avait le visage et la voix du dirigeant du groupe, et qui lui a vite demandé un transfert de fonds pour un prétendu projet d’acquisition. Intrigué par une demande aussi inhabituelle, il a mis fin à l’appel, puis prévenu sa direction en passant par les circuits ordinaires. Il s’agissait d’un hypertrucage (deepfake) réalisé avec l’IA.
Ce que la DGSI en retient
Sur le premier cas, la DGSI souligne que, dans leurs versions gratuites destinées au grand public, les principaux assistants d’IA générative réutilisent fréquemment les contenus saisis pour entraîner leurs modèles. Certains outils stockent aussi les données sur des serveurs à l’étranger, ce qui peut les soumettre à des lois étrangères. Relier ces outils à des applications externes (extensions, interfaces de programmation) accroît encore le risque de fuite.
Sur le deuxième, elle détaille les biais à connaître : une dépendance qui endort la vigilance, des décisions difficiles à expliquer, des réponses statistiquement probables mais pas forcément exactes, voire des « hallucinations », ces faits inventés de toutes pièces. Sur le troisième, elle note que l’IA sert aussi à personnaliser l’hameçonnage et à fabriquer de faux contenus pour frauder.
Les préconisations de la DGSI
Ses recommandations valent bien au-delà des entreprises stratégiques :
- inscrire le cadre d’usage de l’IA dans la charte informatique, en précisant quelles informations peuvent lui être confiées ;
- favoriser des IA génératives françaises qui hébergent leurs données en France et respectent le RGPD, ou des IA installées en local ;
- former régulièrement les équipes, par exemple au moyen d’ateliers ;
- ne pas saisir de données personnelles, anonymiser les requêtes et éviter ces outils pour les tâches sensibles, comme les comptes rendus de réunions confidentielles ;
- faire vérifier les résultats par des personnes compétentes avant de prendre une décision ;
- signaler tout événement suspect lié à l’IA à la DGSI, à l’adresse securite-economique@interieur.gouv.fr.
Pour votre entreprise
Ce que ça change pour une entreprise en Guadeloupe
Ces situations ne sont pas réservées aux grands groupes. Quand l’équipe, les clients ou les fournisseurs d’une entreprise sont répartis entre la Guadeloupe, la Martinique, la Guyane et l’Hexagone, beaucoup d’échanges passent par la visioconférence et la messagerie. Un faux appel du gérant ou d’un fournisseur y paraît moins inhabituel, alors que c’est justement le caractère inhabituel de la demande qui a alerté le responsable du troisième cas. Pour d’autres exemples, lisez notre article sur les fausses vidéos imitant Wendie Renard et la Banque de France.
Quelques règles simples permettent d’adopter les mêmes réflexes :
- aucune demande de virement ni de changement de coordonnées bancaires n’est exécutée sur la seule foi d’un appel, d’une vidéo ou d’un message : on rappelle la personne à un numéro déjà connu ;
- les paiements inhabituels sont validés par deux personnes ;
- les outils d’IA autorisés et les données qui n’y entrent jamais sont fixés par écrit, à l’aide de notre guide pour rédiger une charte IA ;
- les équipes sont formées aux bons réflexes : le parcours Initiation à l’IA générative aborde les données à ne pas confier à l’IA et la vérification des réponses, en Guadeloupe ou à distance.
Mise en pratique
À tester en 10 minutes
Préparer votre parade contre le faux dirigeant en 10 minutes
- Listez les numéros officiels à rappeler en cas de demande urgente : dirigeant, comptable, banque, principaux fournisseurs.
- Convenez avec vos associés d’une question de vérification que seuls vous connaissez.
- Écrivez la règle en une phrase : aucun paiement urgent sans rappel à un numéro connu.
- Partagez-la avec l’équipe, en particulier avec la personne qui règle les factures.