L’essentiel
- La fraude dopée à l’IA — deepfakes vidéo, clonage de voix, faux e-mails ultra-personnalisés — est devenue la menace montante de 2026 pour les entreprises de toutes tailles.
- Selon le baromètre Allianz Trade / Odoxa, 60 % des PME et 85 % des ETI et grandes entreprises françaises déclarent avoir subi au moins une tentative de fraude sur les douze derniers mois ; 76 % des dirigeants estiment que l’IA aggrave le risque.
- Le rapport Sumsub fait état d’une hausse de 96 % des deepfakes de fraude en France et d’une progression de ~180 % des fraudes « sophistiquées » dans le monde.
- L’affaire Arup (≈ 25,6 M$ détournés via une fausse visioconférence) illustre la nouvelle « arnaque au président » : il ne s’agit plus d’un simple e-mail, mais d’un dirigeant cloné en vidéo et en voix.
- Depuis le 2 août 2026, l’article 50 de l’AI Act impose des obligations de transparence sur les contenus générés par IA. Mais la vraie protection repose sur trois piliers : procédures, technologie et formation des équipes.
En 2026, la fraude a changé de visage — littéralement. L’escroc qui envoyait jadis un e-mail maladroit au comptable peut aujourd’hui cloner la voix du dirigeant, recréer son visage en visioconférence et orchestrer un scénario crédible de bout en bout, le tout avec quelques outils d’IA grand public. Ce que la cybersécurité appelait « l’arnaque au président » entre dans une nouvelle dimension : celle où voir et entendre ne suffit plus à croire.
Ce guide fait le point sur la fraude par IA et les deepfakes en entreprise : de quoi parle-t-on exactement, quels sont les chiffres et les cas réels de 2026, ce que dit la réglementation européenne, et surtout quel plan d’action concret mettre en place pour protéger votre organisation — sans céder ni à la panique ni au déni.
Qu’est-ce que la fraude par IA ? Définition
La fraude par IA désigne l’ensemble des escroqueries qui utilisent l’intelligence artificielle générative pour tromper une personne ou un système et obtenir un virement, des identifiants, des données sensibles ou un accès. Elle ne crée pas de nouveaux types de fraude : elle industrialise et crédibilise des arnaques déjà connues (faux ordre de virement, hameçonnage, usurpation d’identité), en supprimant les signaux qui permettaient autrefois de les repérer.
Le deepfake (contraction de deep learning et fake) en est l’arme la plus spectaculaire : il s’agit d’un contenu de synthèse — vidéo, image ou audio — généré ou manipulé par IA pour faire dire ou faire faire à une personne réelle quelque chose qu’elle n’a jamais dit ou fait. Appliqué à l’entreprise, le deepfake prend trois formes principales :
- le clonage vocal : quelques secondes d’un enregistrement (interview, visioconférence, message vocal) suffisent désormais à reproduire une voix de façon convaincante ;
- le deepfake vidéo en temps réel : un visage est recréé en direct lors d’un appel, y compris celui de plusieurs « participants » ;
- l’usurpation d’identité synthétique : combinaison de faux documents, de fausses voix et de faux visages pour franchir des contrôles (ouverture de compte, validation KYC, onboarding).
À cela s’ajoute une fraude plus discrète mais massive : des e-mails et messages ultra-personnalisés, rédigés par IA dans un français irréprochable, exploitant des informations publiques (LinkedIn, site web, communiqués) pour rendre l’approche parfaitement crédible.
Les chiffres clés de la fraude par IA en 2026
Les études de 2026 convergent : la menace n’est plus émergente, elle est installée et en forte croissance.
| Indicateur | Chiffre | Source |
|---|---|---|
| PME françaises ayant subi au moins une tentative de fraude (12 mois) | 60 % | Baromètre Allianz Trade / Odoxa |
| ETI et grandes entreprises concernées | 85 % | Baromètre Allianz Trade / Odoxa |
| Dirigeants estimant que l’IA accroît le risque de fraude | 76 % | Baromètre Allianz Trade / Odoxa |
| Hausse des deepfakes de fraude en France | +96 % | Sumsub, Identity Fraud Report |
| Hausse mondiale des fraudes « sophistiquées » (multi-techniques) | ~+180 % | Sumsub, Identity Fraud Report |
Deux enseignements se dégagent. D’abord, la taille n’est plus un bouclier : si les grandes entreprises restent les plus visées, 6 PME sur 10 sont déjà confrontées à des tentatives. Ensuite, l’IA a fait basculer la fraude du volume vers la qualité : moins d’attaques grossières, davantage d’opérations ciblées, préparées et crédibles — donc plus difficiles à détecter par un œil humain non formé.
Ces chiffres proviennent en partie d’éditeurs de solutions de sécurité, qui ont un intérêt à mettre en avant la menace, et de sondages déclaratifs. Ils donnent un ordre de grandeur fiable de la tendance, pas une mesure comptable exacte.
Trois cas réels qui ont marqué les esprits
L’affaire Arup : 25 millions de dollars via une fausse visioconférence
Le cas le plus emblématique reste celui du groupe d’ingénierie britannique Arup. Début 2024, un salarié du bureau de Hong Kong a été invité à une visioconférence avec, en apparence, le directeur financier du groupe et plusieurs collègues. Tous avaient leur visage et leur voix — tous étaient en réalité des deepfakes. Mis en confiance, l’employé a procédé à quinze virements pour un total d’environ 25,6 millions de dollars (200 millions de dollars de Hong Kong). L’entreprise a confirmé la fraude, précisant que ses systèmes internes n’avaient pas été compromis : c’est la confiance humaine, pas la technique, qui a été attaquée.
La leçon est claire : en 2026, une visioconférence n’est plus une preuve d’identité.
Le clonage de voix du dirigeant
Plusieurs cas documentés suivent le même schéma : un collaborateur reçoit un appel de son « patron », reconnaît sa voix, son ton, ses expressions — et exécute un virement urgent et confidentiel. Le clonage vocal ne demande plus qu’un court échantillon audio, facile à collecter à partir d’une interview, d’un webinaire ou d’une simple messagerie vocale. En France, la DGSI a documenté une tentative d’usurpation du visage et de la voix d’un dirigeant pour obtenir un transfert de fonds, déjouée de justesse par un responsable qui a rompu l’échange et alerté sa direction par les canaux habituels.
L’usurpation de personnalités publiques
La menace dépasse les seules directions financières. En avril 2026, la Banque de France a dû alerter publiquement sur des deepfakes usurpant l’identité de son gouverneur pour promouvoir de faux placements. Ce type d’usurpation — dirigeants, institutions, personnalités — sert aussi bien à frauder des particuliers qu’à nuire à la réputation d’une organisation.
Pourquoi la fraude par IA explose maintenant
Trois dynamiques se combinent en 2026.
Des outils devenus accessibles et bon marché. Cloner une voix ou générer un visage demandait hier des compétences et du matériel. Aujourd’hui, des services en ligne le font en quelques clics, pour quelques euros. La barrière technique a disparu.
Une matière première abondante. Visioconférences enregistrées, interviews, podcasts, vidéos LinkedIn, photos de profil : les dirigeants et collaborateurs laissent une empreinte audio et vidéo considérable, qui alimente directement les modèles de clonage.
L’industrialisation par les agents IA. La fraude se « scénarise » : préparation automatisée des cibles, messages personnalisés en masse, enchaînement de plusieurs canaux (e-mail, SMS, appel, visio). Les experts décrivent l’arrivée de « flottes » d’agents capables d’orchestrer une attaque de bout en bout. C’est le prolongement frauduleux de la logique décrite dans notre guide sur les agents IA en entreprise.
Cette explosion est par ailleurs le pendant « offensif » de deux risques que nous avons déjà analysés : le Shadow AI (des outils d’IA non maîtrisés en interne) et les navigateurs IA (des agents capables d’agir à votre place, détournables par injection de prompt).
Ce que dit la réglementation : l’article 50 de l’AI Act
La réponse réglementaire européenne passe d’abord par la transparence. Depuis le 2 août 2026, l’article 50 de l’AI Act impose plusieurs obligations :
- les fournisseurs de systèmes d’IA générative doivent marquer les contenus de synthèse qu’ils produisent (format lisible par machine) et informer l’utilisateur lorsqu’il interagit avec un chatbot ;
- les déployeurs qui diffusent un deepfake (image, son ou vidéo généré ou manipulé artificiellement) doivent divulguer clairement son caractère artificiel.
Un délai supplémentaire court jusqu’au 2 décembre 2026 pour le marquage des systèmes déjà mis sur le marché avant le 2 août. En France, aucune autorité unique n’a encore été formellement désignée pour superviser l’article 50 : la CNIL, la DGCCRF et l’Arcom se répartissent des compétences selon les cas.
Deux limites doivent être comprises. D’une part, cette obligation vise les acteurs de bonne foi — un fraudeur ne marquera évidemment pas son deepfake. D’autre part, le marquage reste contournable. L’AI Act aide à bâtir un écosystème plus traçable, mais il ne remplace pas vos propres défenses. Sur l’articulation complète de vos obligations IA, voir notre guide de mise en conformité à l’AI Act.
Plan d’action en 7 étapes pour protéger votre entreprise
La bonne nouvelle : la quasi-totalité de ces fraudes échouent face à des procédures simples et des équipes sensibilisées. Voici une feuille de route en sept points.
1. Instaurer une procédure de double validation des paiements
Tout virement sensible (montant élevé, nouveau bénéficiaire, changement d’IBAN, caractère urgent ou confidentiel) doit exiger une validation à deux personnes et par un second canal indépendant. C’est la mesure la plus efficace et la moins coûteuse.
2. Définir un canal et un mot de passe de vérification
Convenez en interne d’un canal de rappel de confiance (un numéro connu, jamais celui fourni dans la demande) et, pour les cas critiques, d’un mot de passe verbal ou d’une question de contrôle. Face à un appel ou une visio suspecte : on raccroche et on rappelle par le canal habituel.
3. Se méfier de l’urgence et de la confidentialité
L’urgence et le secret sont les deux leviers psychologiques de toute fraude au virement. Une demande qui presse, interdit d’en parler et contourne les procédures doit déclencher un réflexe de suspicion, quel que soit l’émetteur apparent.
4. Apprendre à repérer les signaux d’un deepfake
Même convaincants, les deepfakes laissent souvent des indices : désynchronisation lèvres/voix, clignements d’yeux anormaux, éclairage ou arrière-plan incohérents, latence, voix légèrement métallique. Demander à l’interlocuteur un geste imprévu (tourner la tête, montrer sa main devant le visage) met encore en difficulté de nombreux systèmes temps réel.
5. Réduire la surface d’exposition
Limitez la diffusion publique d’enregistrements audio/vidéo des dirigeants quand ce n’est pas nécessaire, encadrez les prises de parole et sensibilisez aux informations partagées sur les réseaux — c’est la matière première des fraudeurs.
6. Outiller la détection et l’authentification
Pour les processus exposés (finance, RH, onboarding client), renforcez l’authentification (MFA, vérification d’identité robuste) et évaluez des outils de détection de deepfakes. La technologie ne remplace pas la procédure, elle la complète.
7. Préparer un plan de réponse à incident
Définissez à l’avance qui alerter, comment geler un virement (contact banque, procédure de rappel de fonds), quand déposer plainte et comment communiquer. En cas de doute, cybermalveillance.gouv.fr et l’ANSSI fournissent ressources et points de contact.
Le facteur décisif : la formation des équipes
Aucune technologie ne protège une organisation dont les collaborateurs ignorent la menace. La fraude par IA cible l’humain, pas les serveurs : c’est donc la vigilance des équipes — comptabilité, direction, assistanat, RH, relation client — qui constitue la première et la meilleure ligne de défense.
Former ses équipes à reconnaître une tentative, à appliquer les procédures de vérification et à comprendre ce que l’IA rend désormais possible n’est plus optionnel. C’est aussi l’esprit de l’article 4 de l’AI Act, qui impose depuis 2025 un niveau suffisant de littératie IA chez les collaborateurs.
Bonne nouvelle : cette montée en compétences est finançable. Les dispositifs OPCO, FNE-Formation et CPF couvrent tout ou partie des coûts pédagogiques.
Nos formations certifiées Qualiopi intègrent le volet sécurité et sensibilisation aux risques :
- Formation IA et transformation : les fondamentaux — pour comprendre les capacités réelles de l’IA et ses détournements.
- Formation automatisation de workflows — pour déployer des automatisations sûres et supervisées.
- Formation certifiante : développer son activité avec l’IA — parcours long éligible CPF.
Et pour structurer l’ensemble de votre dispositif, notre accompagnement sécurité et conformité IA outille vos procédures, votre charte d’usage et votre plan de réponse.
Checklist : votre entreprise est-elle protégée ?
- Avez-vous une procédure de double validation pour les virements sensibles ?
- Vos équipes savent-elles qu’il faut rappeler par un canal de confiance en cas de demande urgente ?
- Existe-t-il un mot de passe ou une question de contrôle pour les opérations critiques ?
- Vos collaborateurs exposés sont-ils formés à reconnaître un deepfake et une approche frauduleuse ?
- Avez-vous un plan de réponse à incident (gel de virement, dépôt de plainte, communication) ?
- Limitez-vous la surface d’exposition audio/vidéo de vos dirigeants ?
Un « non » à l’une de ces questions est une porte d’entrée potentielle pour la fraude par IA.
Questions fréquentes
Qu’est-ce qu’un deepfake en entreprise ?
Un deepfake est un contenu — vidéo, image ou audio — généré ou manipulé par IA pour imiter une personne réelle. En entreprise, il sert principalement à usurper l’identité d’un dirigeant (voix clonée, visage recréé en visioconférence) afin d’obtenir un virement, des identifiants ou un accès.
Comment reconnaître une arnaque au président dopée à l’IA ?
Les signaux d’alerte sont les mêmes que pour la fraude classique, amplifiés : urgence, confidentialité imposée, contournement des procédures et nouveau bénéficiaire ou changement d’IBAN. En visio, surveillez les incohérences (synchronisation lèvres/voix, clignements, éclairage) et, surtout, rappelez systématiquement la personne par un canal connu avant toute action.
L’AI Act protège-t-il contre les deepfakes frauduleux ?
En partie seulement. Depuis le 2 août 2026, l’article 50 impose de marquer les contenus générés par IA et de divulguer les deepfakes. Mais ces obligations visent les acteurs de bonne foi : un fraudeur ne s’y conformera pas. La réglementation améliore la traçabilité de l’écosystème, elle ne remplace pas vos procédures internes de vérification.
Les PME sont-elles concernées par la fraude par IA ?
Oui, et de plus en plus : selon le baromètre Allianz Trade / Odoxa, 60 % des PME françaises ont subi au moins une tentative de fraude sur douze mois. Les petites structures sont souvent moins outillées en procédures, ce qui en fait des cibles rentables. Les mesures de protection (double validation, canal de rappel, formation) y sont pourtant simples et peu coûteuses à déployer.
Quelle est la mesure la plus efficace contre la fraude au virement ?
La double validation d’un paiement sensible par deux personnes et via un second canal indépendant. C’est la mesure la moins coûteuse et la plus efficace : elle neutralise la quasi-totalité des scénarios, même les plus crédibles, car elle ne repose pas sur la capacité à détecter le deepfake mais sur un contrôle de procédure.
Conclusion : la confiance ne se délègue pas à vos yeux et vos oreilles
La fraude par IA marque une rupture : pour la première fois, voir et entendre ne suffisent plus. En 2026, un dirigeant peut être cloné en vidéo et en voix, et une visioconférence n’est plus une preuve d’identité. Face à cela, la bonne réponse n’est ni la paranoïa ni l’immobilisme, mais un retour aux fondamentaux : des procédures claires, une vérification systématique par un canal de confiance, et des équipes qui savent ce que l’IA rend désormais possible.
La technologie et la réglementation aident — mais la protection repose avant tout sur l’organisation et la formation. C’est un investissement modeste, finançable, au regard d’un détournement qui peut coûter plusieurs millions.
Vous souhaitez évaluer votre exposition à la fraude par IA et mettre en place vos procédures et la formation de vos équipes ? Dynexio propose un diagnostic gratuit de 30 minutes pour identifier vos risques prioritaires, structurer votre dispositif et estimer les financements mobilisables.