L’intelligence artificielle en entreprise : un enjeu de sécurité économique avant d’être un enjeu technologique

L’intelligence artificielle s’est imposée en quelques mois comme un outil central de transformation des organisations. Automatisation de tâches, accélération des processus de décision, aide à la rédaction, analyse de données complexes : les promesses sont nombreuses et, pour beaucoup d’entreprises, déjà concrètes. Cette adoption rapide s’est toutefois accompagnée d’un phénomène plus discret, mais potentiellement bien plus structurant : l’utilisation d’outils d’IA sans véritable cadre de gouvernance, sans maîtrise claire des flux de données, et parfois sans conscience réelle des implications en matière de sécurité et de souveraineté.

C’est dans ce contexte qu’une note récente de la Direction générale de la sécurité intérieure (DGSI), relayée notamment par Le Figaro, a retenu l’attention. Le renseignement intérieur français, habituellement associé à la lutte contre le terrorisme ou les ingérences étrangères, a jugé nécessaire d’alerter les entreprises sur les risques que représente une utilisation non maîtrisée de l’IA. Un signal fort. Car lorsque la DGSI s’exprime sur un sujet, ce n’est pas pour commenter une tendance technologique, mais pour pointer un enjeu relevant de la sécurité économique nationale.

Cette prise de position marque une évolution importante : l’intelligence artificielle n’est plus seulement un outil de performance, elle devient un sujet stratégique, au même titre que la protection du patrimoine informationnel, la souveraineté numérique ou la compétitivité des entreprises françaises.

Une alerte institutionnelle sur la perte de contrôle

Dans sa note, la DGSI reconnaît pleinement les gains de productivité et les opportunités offertes par l’IA. Elle ne remet pas en cause l’intérêt de ces technologies, mais souligne les dérives possibles lorsque leur usage échappe à tout cadre. Parmi les exemples cités figurent des pratiques aujourd’hui très répandues : des salariés qui copient-collent des documents internes dans des outils d’IA grand public, sans validation hiérarchique, parfois sans même mesurer la sensibilité des informations transmises.

Le risque est alors double. D’une part, les données quittent l’environnement sécurisé de l’entreprise pour être traitées par des infrastructures externes, souvent situées hors de l’Union européenne. D’autre part, elles peuvent être stockées, analysées, voire réutilisées selon des modalités qui échappent totalement au contrôle de l’organisation. Certaines plateformes précisent que les données peuvent servir à l’amélioration de leurs modèles, d’autres restent volontairement floues. Dans tous les cas, l’entreprise perd la maîtrise de ce qu’elle confie.

La DGSI alerte également sur une autre dérive : la dépendance décisionnelle. Dans l’un des cas évoqués, une entreprise s’appuyait exclusivement sur une IA pour évaluer ses partenaires commerciaux et orienter ses choix stratégiques, sans procéder à aucune vérification complémentaire. Cette situation illustre un glissement progressif, mais préoccupant, où l’outil d’aide à la décision devient un substitut à l’analyse humaine. Or, comme le rappelle la note, l’IA ne produit pas des vérités, mais des résultats statistiquement plausibles. Elle peut se tromper, halluciner, produire des informations fausses ou incomplètes, parfois avec un haut niveau de crédibilité apparente.

Enfin, la DGSI évoque la montée en puissance des usages malveillants de l’IA, notamment les « deepfakes », capables d’imiter une voix ou une apparence avec un réalisme tel qu’ils rendent certaines tentatives de fraude presque indétectables. Dans ce contexte, l’IA devient non seulement un outil productif, mais aussi un vecteur potentiel de manipulation, d’ingérence et d’atteinte à l’intégrité des entreprises.

Le véritable enjeu : la souveraineté des données

Ce que révèle cette alerte, au-delà des exemples concrets, c’est un problème plus profond : l’IA est en train de devenir une couche stratégique du système d’information des entreprises, sans que celles-ci n’aient toujours repensé leur gouvernance des données en conséquence.

Historiquement, les entreprises ont appris à sécuriser leurs serveurs, leurs réseaux, leurs bases de données. Elles savent où sont stockées leurs informations, qui y accède, et dans quelles conditions. L’IA, en revanche, introduit un nouveau type de flux : les données ne sont plus seulement stockées ou échangées, elles sont ingérées, analysées, reformulées et parfois intégrées dans des modèles dont le fonctionnement interne est opaque.

Utiliser une IA publique revient donc à déléguer une partie du traitement de son information stratégique à un tiers, sans toujours disposer d’une vision claire sur :
• la localisation exacte des serveurs,
• la durée de conservation des données,
• leur éventuelle réutilisation,
• les législations applicables, notamment les lois extraterritoriales.

Pour une entreprise, cela ne constitue pas seulement un risque juridique ou réglementaire. C’est un enjeu de compétitivité. Les données internes, les documents contractuels, les stratégies commerciales, les réponses à des appels d’offres ou les méthodes de travail constituent un patrimoine immatériel dont la valeur est considérable. Les exposer, même involontairement, c’est affaiblir sa position sur son marché.

L’IA et les appels d’offres : un cas d’usage critique pour les acheteurs comme pour les soumissionnaires

Les appels d’offres constituent l’un des domaines les plus sensibles à l’usage de l’intelligence artificielle, car ils concentrent des informations stratégiques pour l’ensemble des parties prenantes. Le risque ne se limite pas aux entreprises qui répondent aux consultations. Il concerne tout autant les acheteurs publics et privés qui les émettent et les évaluent.

Côté acheteur, un dossier d’appel d’offres contient des éléments particulièrement sensibles :
• des besoins opérationnels parfois confidentiels,
• des orientations stratégiques,
• des contraintes budgétaires,
• des critères d’évaluation internes,
• des arbitrages organisationnels et techniques.

L’utilisation d’une IA non sécurisée pour analyser, reformuler ou structurer ces documents peut exposer des informations qui relèvent directement de la stratégie d’achat et de la politique industrielle de l’organisation. Dans certains secteurs, ces données peuvent avoir une valeur économique, concurrentielle, voire géopolitique.

Côté soumissionnaire, les risques sont tout aussi élevés. Une réponse à un appel d’offres révèle :
• la structure de coûts,
• la stratégie de positionnement,
• les méthodes de production ou de prestation,
• l’organisation interne,
• les éléments différenciants de l’entreprise.

Confier ces données à une IA publique revient à exposer l’essence même de son avantage concurrentiel. Cela peut fragiliser la compétitivité de l’entreprise, mais aussi remettre en cause la loyauté et l’équité de la procédure. Dans les deux cas, l’enjeu est le même : l’IA devient un point de concentration du risque informationnel. Elle ne traite pas seulement des données administratives, mais des éléments qui conditionnent directement les décisions économiques, contractuelles et stratégiques.

Appliquer l’IA aux appels d’offres sans architecture sécurisée revient donc à déplacer un processus critique dans un environnement dont l’entreprise ne maîtrise ni les règles, ni les infrastructures, ni les usages secondaires potentiels. C’est précisément ce qui rend ce cas d’usage particulièrement sensible, et qui justifie une exigence de sécurité plus élevée que pour la plupart des autres applications de l’IA en entreprise.  

Une réponse technologique alignée avec les exigences de sécurité

C’est précisément pour répondre à ces enjeux que certaines solutions ont été conçues dès l’origine autour d’une exigence de souveraineté et de contrôle. Chez Specgen, la sécurité des données n’a jamais été pensée comme une fonctionnalité optionnelle, mais comme une condition préalable à toute utilisation de l’IA dans le domaine des appels d’offres. Deux modèles de déploiement sont proposés.

Le premier repose sur des installations entièrement on-premises. Dans ce cas, l’ensemble de la plateforme et des modèles d’IA est déployé sur les serveurs du client. L’IA fonctionne en intranet, sans aucune communication avec l’extérieur. Les données restent physiquement et logiquement sous le contrôle exclusif de l’entreprise. Ce modèle répond aux exigences les plus strictes en matière de confidentialité, notamment pour les organisations soumises à des contraintes réglementaires élevées ou manipulant des informations hautement sensibles.

Le second modèle s’appuie sur un cloud privé fortement sécurisé. L’infrastructure est dédiée, l’hébergement est maîtrisé, les données ne sont jamais utilisées pour entraîner les modèles, et l’architecture est conçue pour répondre aux standards de sécurité attendus par des institutions comme l’ANSSI. Il ne s’agit pas d’un accès à une IA publique, mais d’un environnement contrôlé, contractuellement encadré et techniquement isolé. Dans les deux cas, la logique est la même : aucune dépendance aux IA grand public, aucune mutualisation non maîtrisée des données, aucune opacité sur les traitements.

À cela s’ajoute un principe fondamental de conception : l’absence d’« autopilot ». L’IA n’agit jamais de manière autonome. Elle assiste, analyse, propose, mais la décision reste humaine. Cette approche garantit que l’outil renforce l’expertise des équipes sans jamais s’y substituer.

Changer de regard sur l’intelligence artificielle

L’alerte de la DGSI ne doit pas être interprétée comme une remise en cause de l’IA. Elle constitue au contraire une invitation à en repenser l’usage. L’intelligence artificielle n’est ni intrinsèquement dangereuse ni intrinsèquement vertueuse. Tout dépend de l’architecture choisie, du cadre de gouvernance mis en place et du niveau de contrôle conservé par l’entreprise.

À terme, la vraie ligne de fracture ne se fera pas entre les entreprises qui utilisent l’IA et celles qui ne l’utilisent pas, mais entre celles qui l’utilisent sans souveraineté et celles qui l’intègrent dans une stratégie maîtrisée. La première catégorie s’expose à des risques croissants. La seconde transforme l’IA en un avantage compétitif durable. Ce changement de regard est essentiel. Il permet de sortir d’une vision binaire opposant innovation et sécurité. L’enjeu n’est pas de freiner l’innovation, mais de l’inscrire dans un cadre qui protège les intérêts économiques, la confidentialité des données et la souveraineté numérique des entreprises françaises.

Dans ce contexte, l’IA ne doit pas être un facteur de dépendance. Elle doit devenir un outil stratégique, choisi, gouverné et maîtrisé.