Avec 40 % des TPE-PME qui utilisent désormais l’intelligence artificielle et 39 % qui déclarent avoir été confrontées à un incident de cybersécurité au cours des douze derniers mois, les entreprises doivent accompagner leurs nouveaux usages numériques par des mesures de protection adaptées, à leur échelle et selon leurs risques.
Des usages de l’IA en forte croissance, une protection des entreprises encore perfectible
L’intelligence artificielle s’installe rapidement dans les usages professionnels des TPE-PME. Selon le baromètre France Num 20261, 40 % d’entre elles utilisent désormais au moins une solution d’IA, contre 26 % en 2025 et 13 % en 2024. En deux ans, cette proportion a ainsi été multipliée par trois.
Dans le même temps, 39 % des TPE-PME déclarent avoir été confrontées à un incident de cybersécurité au cours des douze derniers mois. Si 84 % disposent d’au moins une mesure de protection, seules 39 % utilisent l’authentification multifacteur et 32 % déclarent former ou sensibiliser leurs collaborateurs.
Si ces données ne permettent pas d’établir un lien direct entre l’utilisation de l’IA et la survenue d’incidents, elles soulignent toutefois la nécessité d’accompagner la progression des usages numériques par une meilleure maîtrise des systèmes, des données et des accès.
« L’IA ne crée pas à elle seule le risque cyber, mais elle accélère les usages numériques, facilite l’automatisation et la personnalisation de certaines attaques et peut amplifier les conséquences de pratiques insuffisamment maîtrisées. Pour les entreprises, le principal risque ne réside pas nécessairement dans l’outil d’IA lui-même, mais dans son utilisation sans cadre clair : recours à des services non validés, saisie d’informations sensibles dans des outils publics, droits d’accès trop étendus ou confiance excessive accordée à un contenu généré. » déclare Johan Klein, responsable de la sécurité des systèmes d’information chez Meritis
Des réflexes à renforcer face aux fraudes assistées par l’IA
Les risques évoluent également pour les utilisateurs, avec des contenus frauduleux plus faciles à produire, à personnaliser et à diffuser. Le National Privacy Test 2026 de NordVPN2 relève notamment des difficultés à reconnaître certaines menaces : seuls 15 % des participants français ont correctement identifié le scénario de phishing présenté dans le test, tandis que 41 % ont repéré le contenu deepfake.
Pour Meritis, la sensibilisation doit s’appuyer sur des situations concrètes. L’objectif n’est pas de faire reposer toute la sécurité sur la capacité individuelle à détecter un deepfake, mais de donner aux équipes des réflexes simples et de renforcer les contrôles organisationnels : suspendre une opération inhabituelle, respecter les circuits de validation et vérifier une demande par un canal connu et indépendant.
Quatre priorités pour les TPE-PME
Meritis recommande aux petites et moyennes entreprises d’intégrer la cybersécurité à leurs projets numériques dès leur conception, notamment lors du déploiement d’outils d’IA. Plusieurs mesures peuvent être mises en œuvre progressivement.
- Connaître les usages de l’IA et les données utilisées. Les entreprises doivent identifier les services employés par leurs équipes, les utilisateurs concernés, les finalités poursuivies et les informations qui leur sont confiées. Elles doivent également préciser quelles données ne doivent pas être saisies dans des outils publics. Pour les solutions connectées au système d’information, il est essentiel de définir les données, les fonctions et les actions auxquelles chaque système d’IA peut accéder. Les entreprises souhaitant structurer davantage leur démarche peuvent notamment s’appuyer sur les principes de la norme ISO/IEC 42001 et sur les recommandations de sécurité de l’ANSSI pour les systèmes d’IA générative.
- Sécuriser les identités et les accès. L’activation de l’authentification multifacteur, la limitation des droits aux besoins de chaque fonction et la revue régulière des comptes disposant d’accès sensibles constituent des mesures prioritaires. Cette maîtrise doit couvrir l’ensemble du cycle de vie des identités, de l’arrivée d’un collaborateur à son départ, en passant par les changements de fonction. Les habilitations doivent également être réexaminées périodiquement afin d’éviter l’accumulation progressive de droits devenus inutiles.
- Préparer la continuité et la réaction à l’incident. Il ne suffit pas de vérifier que des sauvegardes existent. Les entreprises doivent s’assurer qu’elles peuvent effectivement restaurer leurs données et leurs actifs essentiels, au moyen de tests réalisés à intervalles réguliers. Elles doivent également identifier les premiers contacts et les premières actions à mobiliser en cas d’incident, puis préparer un dispositif de reprise d’activité proportionné à leurs risques, à leurs moyens et à leurs activités essentielles.
- Entraîner les équipes. Les entreprises peuvent organiser des mises en situation face au phishing, à l’usurpation d’identité, aux demandes urgentes ou aux deepfakes. Ces exercices doivent couvrir différents canaux : courriels, SMS, QR codes, appels frauduleux, usurpation de voix, demandes de changement de coordonnées bancaires ou transmission urgente de données. La sensibilisation est plus efficace lorsqu’elle est régulière, adaptée aux fonctions exposées et fondée sur des situations variées.
« Une TPE-PME n’a pas besoin de reproduire l’organisation ou les dispositifs complexes d’un grand groupe pour progresser. Elle doit commencer par connaître ses usages numériques et ses outils d’IA, protéger les comptes sur l’ensemble de leur cycle de vie, vérifier qu’elle peut réellement restaurer ses données et préparer ses équipes à réagir face à des sollicitations de plus en plus crédibles. Ces mesures sont accessibles, mais elles doivent être adaptées aux risques de l’entreprise, réellement appliquées et régulièrement testées. La cybersécurité n’est pas l’apanage des grands groupes : elle doit progressivement devenir un réflexe pour tous. » conclut Johan Klein, responsable de la sécurité des systèmes d’information chez Meritis
À propos de Meritis
Meritis est une société́ de conseil, pilotage et développement IT fondée en 2007 par Sébastien Videment. Installée initialement à Paris, elle a su développer un réseau national et assure une présence dans les plus grandes villes de France : Sophia-Antipolis, Montpellier, Nantes, Bordeaux, Aix-en-Provence, Lille et plus récemment à Lisbonne (Portugal) depuis 2023. Leurs experts accompagnent les clients dans l’intégralité de leurs besoins de transformations numériques à travers de nombreux domaines d’expertise : Finance & Risques, Software Engineering, Cloud & DevOps ; Cybersécurité ; Data & IA et Projet & Agilité. Fort de ses valeurs d’exigence, d’humilité, de bienveillance et de proximité, le cabinet de 1 000 collaborateurs primé à 5 reprises en tête du palmarès Great Place To Work connait toujours une forte croissance pour un chiffre d’affaires supérieur à 100M€ en 2024. Principaux clients : Société Générale, BNP Paribas, Crédit Agricole, Natixis, BPCE, AXA, RTE, Amadeus, Banque Populaire, Caisse d’Epargne, Euronext, Groupama, Airbus, CMA CGM, CNP Assurances, Essilor International, Engie, Kering, RATP, L’Oréal, Orange, La Poste, Schneider, SNCF.