En février 2024, un employé d'Arup, multinationale britannique, participait à une visioconférence avec son directeur financier et plusieurs collègues. Il a effectué 15 virements. Total : 25 millions de dollars transférés à des escrocs. Ses interlocuteurs étaient entièrement générés par intelligence artificielle. Ce n'est pas un scénario de film. C'est le quotidien des deepfakes en entreprise en 2025 — et votre PME n'est pas hors de portée.
Les deepfakes, ces contenus audio et vidéo générés par IA pour imiter une personne réelle avec une précision troublante, ne sont plus réservés aux grandes multinationales. Selon une étude d'Ironscales menée en 2024, 75% des entreprises déclarent avoir subi au moins un incident lié à un deepfake au cours des 12 derniers mois. La question n'est plus "est-ce que ça va m'arriver" mais "est-ce que je suis prêt quand ça arrivera".
Un deepfake est un contenu multimédia — vidéo, audio, image — créé ou altéré par des algorithmes d'intelligence artificielle, et plus précisément par des réseaux antagonistes génératifs (GAN) capables d'apprendre à imiter l'apparence et la voix d'une personne à partir de quelques échantillons.
Ce que les définitions classiques occultent : la démocratisation radicale de ces outils. Avant 2018, créer une vidéo deepfake d'une minute coûtait entre 255 et 17 000 euros et demandait des compétences spécialisées. Aujourd'hui, des applications comme FaceSwap ou DeepFaceLab permettent à n'importe qui de créer un faux contenu en quelques clics, pour quelques euros par minute. La voix de votre dirigeant peut être clonée à partir de quelques dizaines de secondes d'enregistrement — disponibles sur YouTube, LinkedIn, une conférence filmée.
Il existe deux grandes formes d'attaque : les deepfakes asynchrones (un audio ou une vidéo pré-enregistrés puis diffusés) et les deepfakes en temps réel (faceswapping lors d'une visioconférence). C'est cette seconde forme qui rend l'usurpation d'identité quasiment indétectable dans le feu de l'action.
« En France, c'est l'entreprise KPMG SA, spécialisée en audit, qui a été victime de cette tactique d'hypertrucages avec une perte de 7,6 millions d'euros. »
— Bpifrance Big Média, 2024
77% des entreprises ont déjà été ciblées par des attaques deepfake, selon Ivanti. Seuls 30% des professionnels de la sécurité pensent que leur CEO pourrait détecter un deepfake de façon fiable. Selon Deloitte, ce type de fraude pourrait atteindre 40 milliards de dollars d'ici 2027. Pourtant, seules 20% des entreprises disposent d'un plan de communication pour y faire face.
« Selon un sondage IFOP publié en mars 2023, 33% des Français seulement s'estiment capables de discerner un contenu photo ou vidéo généré par une IA d'un contenu réel. »
— IFOP / Bpifrance, mars 2023
Pourquoi les PME et ETI sont-elles particulièrement exposées ? Elles sont plus faciles à atteindre, leurs équipes moins sensibilisées, leurs protocoles de validation moins rigides. Et leurs dirigeants sont souvent très exposés publiquement — conférences filmées, interviews, posts LinkedIn — fournissant involontairement la matière première aux fraudeurs.
La fraude au virement reste la plus documentée. Un employé reçoit un appel vidéo ou audio d'un interlocuteur imitant son dirigeant ou son DAF, demandant un virement urgent et confidentiel. Le cas Arup (25 millions de dollars en 2024) en est l'exemple le plus médiatisé, mais il n'est pas isolé.
Le phishing IA représente la seconde menace montante. Les cybercriminels utilisent l'IA générative pour rédiger des emails parfaits — sans faute, au ton juste, contextualisés — combinés à des appels vocaux clonés pour renforcer la crédibilité. L'IA générative a supprimé le principal signal d'alerte traditionnel : les fautes d'orthographe et le ton approximatif.
Si vous utilisez déjà des outils d'IA générative dans votre entreprise, vous comprenez l'ampleur de ce que ces technologies permettent — et pourquoi les maîtriser est devenu stratégique. C'est précisément ce que nous construisons avec les dirigeants dans le cadre du Programme Productivité IA Maîtrisée — 90 jours : non pas adopter l'IA aveuglément, mais la cadrer pour qu'elle serve votre entreprise sans l'exposer.
L'espionnage industriel constitue le troisième vecteur : des cybercriminels imitent un dirigeant ou un employé autorisé pour obtenir des accès à des systèmes sensibles ou des secrets commerciaux. Cette menace est particulièrement préoccupante dans les secteurs où la propriété intellectuelle représente un avantage stratégique majeur.
Enfin, les faux candidats en recrutement : des fraudeurs utilisent des deepfakes vidéo lors d'entretiens pour infiltrer les organisations, un phénomène en forte hausse depuis la généralisation du recrutement à distance.
Des solutions de détection existent — l'Ircam Amplify en France développe notamment des outils d'analyse vocale. L'AI Act européen, entré en vigueur en août 2024, impose des obligations de transparence sur les contenus générés par IA.
Mais la réalité est plus simple et plus dérangeante : les deepfakes exploitent notre confiance instinctive dans une voix familière, des expressions reconnues, une situation d'urgence simulée. La vigilance humaine reste la première ligne de défense. Ce n'est pas un problème technologique. C'est un problème de protocoles.
Double validation systématique pour tout virement ou accès sensible. Si l'ordre vient par téléphone, confirmez par email sur l'adresse habituelle. Si l'ordre vient par email, appelez sur le numéro enregistré dans vos systèmes — jamais celui fourni dans la demande.
Mot de passe interne ou code de vérification partagé entre dirigeants et équipes financières. Un protocole simple qui court-circuite l'ingénierie sociale la plus sophistiquée.
Limitation de l'empreinte numérique des dirigeants : chaque vidéo publique, chaque interview est de la matière première pour créer un clone vocal ou vidéo.
Formation régulière des équipes : la vigilance humaine demeure indispensable. Former régulièrement les collaborateurs pour identifier les signaux d'un deepfake reste la première ligne de défense.
Un protocole de double validation bien appliqué aurait bloqué la quasi-totalité des fraudes deepfake documentées. Ce n'est pas une question de budget — c'est une question de procédure. Pour savoir où votre entreprise est réellement exposée et quels protocoles mettre en place en priorité, c'est exactement ce qu'on diagnostique dans le cadre du Programme Productivité IA Maîtrisée — 90 jours. 30 minutes d'appel stratégique gratuit pour commencer.
Pour aller plus loin sur les usages réels de l'IA en entreprise : L'IA ne crée pas la désinformation · Comprendre l'IA en entreprise : l'enjeu n'est pas l'outil mais le discernement
