Le visage, la voix, le document officiel : longtemps, ces trois preuves ont suffi à établir la confiance à distance. L’IA générative vient de les faire basculer du côté du doute.
En janvier 2024, un employé financier d’Arup à Hong Kong a validé 15 virements pour un total d’environ 25,6 millions de dollars après une visioconférence où plusieurs interlocuteurs semblaient être ses dirigeants. Ils étaient faux. Des visages, des voix, une autorité hiérarchique reconstitués avec assez de précision pour rendre le soupçon presque impoli.
Ce cas a marqué un seuil. Non parce que la fraude serait nouvelle, mais parce qu’elle a déplacé le centre de gravité de la confiance. Jusqu’ici, voir un visage à l’écran rassurait. Entendre une voix confirmait. Recevoir un document complétait le faisceau de preuves. Désormais, chacun de ces signaux peut être synthétisé, cloné, recomposé.
L’identité numérique n’est donc plus une photographie. Elle devient un film.
La fin de la preuve évidente
Le mot de passe avait déjà perdu son statut de rempart. L’empreinte digitale, le selfie vidéo, la pièce d’identité scannée avaient pris le relais. Mais ces outils appartiennent encore à une époque où l’on pensait pouvoir vérifier une personne à l’entrée, puis lui ouvrir la porte.
L’IA rend cette logique insuffisante. Un visage peut être modifié en temps réel. Une voix peut adopter un accent plus crédible. Un document peut être produit avec une facture visuelle impeccable. Même l’entretien d’embauche, moment supposé humain par excellence, devient une zone d’exposition : les autorités américaines alertent depuis plusieurs années sur des travailleurs IT nord-coréens utilisant de fausses identités pour intégrer des entreprises à distance. Des enquêtes récentes décrivent des candidatures massives, des CV générés, des outils vocaux et des relais locaux pour franchir les étapes de recrutement.
Le risque n’est plus seulement l’usurpation d’un dirigeant. Il est l’usurpation comme méthode industrielle.
Le nouveau front : l’identité continue
Face à cette mutation, les entreprises glissent d’une logique déterministe vers une logique probabiliste. On ne se contente plus de demander : « Est-ce bien vous ? » On observe aussi : « Est-ce cohérent avec vous ? »
Adresse e-mail, appareil utilisé, vitesse de frappe, comportement de navigation, horaires d’achat, localisation approximative, historique transactionnel : la preuve se construit par accumulation de signaux faibles. Dans le paiement, cette bascule est déjà engagée. La lutte contre la fraude ne repose plus seulement sur l’ouverture d’un compte ou l’authentification d’une transaction, mais sur la détection d’un changement de comportement.
Ce déplacement est décisif. Le vrai sujet n’est plus uniquement l’identité, mais la continuité de l’identité.
Une personne peut être authentique au départ, puis perdre le contrôle de son compte. Un agent IA peut agir avec des autorisations trop larges. Un collaborateur peut déclencher, sans intention malveillante, une action qu’il n’aurait jamais accomplie seul. Le danger ne vient pas toujours d’un intrus spectaculaire ; il vient souvent d’une permission mal dessinée.
Les agents IA, nouveaux collègues à surveiller
L’arrivée des agents IA dans l’entreprise ajoute une couche d’ambiguïté. Ces systèmes ne se contentent plus de répondre : ils cherchent, exécutent, remplissent des formulaires, déclenchent des actions, interagissent avec des bases de données. Ils héritent parfois des droits de l’utilisateur qui les active.
C’est là que se joue une partie du risque. Un agent relié à une base documentaire interne peut consulter des informations qu’un humain n’aurait jamais pensé à chercher. Un agent mal configuré peut être manipulé par injection de prompt. Un agent trop autonome peut transformer une simple consigne en opération sensible.
Le NIST rappelait dès janvier 2024 qu’il n’existe pas de défense unique contre les attaques adversariales visant les systèmes d’IA ; l’enjeu est de combiner taxonomie des risques, tests, mitigations et gouvernance continue.
Le parallèle avec la cybersécurité classique devient évident : red team, blue team, purple team. Attaquer ses propres agents pour comprendre leurs failles. Réduire leurs permissions. Tester les scénarios d’abus. Ne jamais supposer qu’un assistant IA se comportera comme un collaborateur prudent.
Le Détail
Le changement le plus important n’est pas technologique, mais culturel : une réunion sensible ne peut plus être considérée comme fiable parce que les caméras sont allumées. La vérification doit porter sur les participants, leur environnement, leurs signaux audio-visuels, leurs droits d’accès et la cohérence de leurs actions dans le temps.
La confiance devient une architecture
La tentation serait de répondre par toujours plus de biométrie. Elle aura son rôle. Mais elle ne suffira pas. Car plus l’identité devient mesurable, plus elle devient précieuse, donc attaquable.
L’entreprise doit donc apprendre une nouvelle hygiène : limiter les droits des agents, vérifier les conversations sensibles, interdire certains usages à risque, former les équipes financières et RH, créer des circuits de validation hors canal, et surtout faire dialoguer CFO, DSI, juridique, conformité et métiers.
La fraude prospère dans les silos. L’IA aussi, lorsqu’elle est déployée sans doctrine.
La question n’est plus seulement : « Est-ce vraiment vous ? » Elle devient plus exigeante : « Qui agit, avec quels droits, dans quel contexte, et selon quelle intention ? »
Dans cette nouvelle grammaire de la confiance, l’identité n’est plus un document que l’on présente. C’est une cohérence que l’on maintient.
Cette publication est également disponible en :
