Depuis deux ans, chaque sommet sur l’intelligence artificielle produit le même effet dans les organisations : une vague d’inquiétude, quelques articles partagés dans les groupes de gestion, puis le retour au travail comme avant. La peur monte, les gestes ne suivent pas.
Ce n’est pas un problème de volonté. C’est un problème de forme. En psychologie de la santé, on sait depuis longtemps qu’un message qui augmente la peur sans augmenter la capacité d’agir produit surtout de l’évitement. La personne se protège du message, pas du risque. Appliqué à votre organisation, ça donne trois réactions familières.
Les trois réponses du déni
« Ça n’arrivera pas ici. » La plus courante, et la plus confortable. Elle repose sur une idée fausse : que les fraudeurs choisissent leurs cibles. La majorité des attaques ne visent personne en particulier ; elles ratissent.
« On a un fournisseur TI pour ça. » Votre fournisseur gère les systèmes. Il ne peut pas empêcher une personne pressée d’approuver un virement vers un nouveau compte parce que le message avait l’air de venir du patron.
« On va faire une formation cet automne. » Trois heures une fois par année, avec des diapositives, produisent une amélioration mesurable pendant environ trois semaines. Ce n’est pas un défaut des gens ; c’est le fonctionnement normal de la mémoire.
Ce que l’IA a réellement changé
La question n’est pas de savoir si l’IA va « pirater » votre entreprise. Elle a fait quelque chose de plus discret et de plus efficace : elle a supprimé les indices sur lesquels votre équipe se fiait.
- Les fautes d’orthographe et les tournures bizarres, longtemps le premier signal d’alerte, ont disparu des messages frauduleux.
- Le ton d’un fournisseur ou d’un collègue peut être imité à partir de courriels réels ou de publications publiques.
- Une voix peut être clonée à partir de quelques secondes d’audio, ce qui rend l’appel de « confirmation » plus convaincant que le courriel lui-même.
- Le volume a changé d’échelle : une campagne personnalisée pour cent destinataires ne coûte presque plus rien à produire.
Ce qui protégeait vos équipes, c’était un détail visible. Ce qui les protège maintenant, c’est une procédure.
Remplacer le doute par un geste
Un réflexe utile a trois qualités : il est court, il est le même pour tout le monde, et il ne dépend pas du jugement sur la qualité du message.
- La règle des dix secondes. Avant tout clic sur un lien reçu, survoler l’adresse et se demander : est-ce que j’attendais ce message ?
- Le canal différent. Toute demande de paiement, de changement de compte ou d’accès se confirme par un autre canal, avec un numéro déjà connu. Jamais en répondant au message.
- Le mot de passe de la voix. Un mot convenu d’avance dans l’équipe, à demander si un appel urgent semble venir d’un dirigeant. C’est simple, gratuit, et ça neutralise la voix clonée.
- Le signalement sans blâme. Une personne qui a cliqué doit pouvoir le dire dans la minute sans craindre pour son emploi. Le délai de signalement est ce qui sépare un incident mineur d’une crise.
La mesure avant le discours
Avant d’ajouter une formation, il vaut la peine de savoir où se situe votre équipe : ce qu’elle connaît réellement, ce qu’elle fait quand personne ne regarde, et surtout l’écart entre la peur qu’elle ressent et la capacité qu’elle se reconnaît. C’est cet écart, et non la peur elle-même, qui prédit ce qui va se passer un mardi après-midi chargé.