Les notifications de fuites de données ont déjà dépassé en quelques mois le total cumulé de l’année 2025, selon les relevés de l’Identity Theft Resource Center, et l’intelligence artificielle générative porte une responsabilité écrasante dans cette accélération. Le phénomène n’a rien d’une anomalie statistique. Il forme une courbe que les spécialistes de la cybersécurité redoutaient depuis deux ans et demi, celle d’une industrialisation des attaques rendue possible par des outils que n’importe quel acteur malveillant peut désormais manipuler sans compétence technique avancée.
L’IA générative a profondément reconfiguré l’arsenal des cybercriminels au cours des dix-huit derniers mois. Les campagnes de phishing, jadis repérables à leurs fautes de syntaxe et à leur grossièreté graphique, sont aujourd’hui rédigées dans un anglais (ou un français) impeccable, personnalisées à partir de données volées, puis déployées à une échelle que les équipes de sécurité peinent à contenir. Les deepfakes vocaux permettent de contourner les procédures d’authentification par téléphone. Les modèles de langage open source, détournés de leur usage initial, génèrent du code malveillant sur commande. L’attaquant moyen dispose aujourd’hui d’un laboratoire que seuls les services de renseignement possédaient il y a cinq ans.
Le facteur humain reste pourtant bien présent au cœur de cette hémorragie de données. Les « malicious insiders », ces employés ou sous-traitants qui exfiltrent délibérément des informations sensibles, représentent une part croissante des incidents recensés en 2026. L’IA leur facilite aussi la tâche, en automatisant le tri et le transfert de fichiers volumineux, en dissimulant les traces dans les journaux d’activité. Les entreprises investissent massivement dans la détection comportementale, du moins celles qui en ont les moyens, tandis que les PME demeurent largement exposées.
James Lee, président de l’Identity Theft Resource Center, a souligné l’anomalie statistique des « malicious insiders » : « Le chiffre brut ne paraît pas énorme, mais quand on regarde la tendance historique, les insiders n’ont jamais été une grande source de fuites de données. On n’a jamais vu plus de trois fuites par an liées à un insider malveillant, et là on en a 21 en six mois. » Un bond largement attribué à des employés licenciés qui exfiltrent des données « sur le pas de la porte », mais aussi à l’infiltration d’employés IT nord-coréens, une arnaque signalée par le FBI qui repose sur des identités volées, des deepfakes vidéo lors des entretiens et des CV générés par l’IA.
Les consommateurs, eux, se retrouvent pris dans un étau familier. Les experts recommandent désormais le gel systématique du crédit auprès des bureaux d’évaluation, l’activation de l’authentification multifactorielle sur tous les comptes sensibles et la surveillance régulière des relevés bancaires. Des gestes de bon sens, certes, qui ressemblent toutefois à des parapluies face à un ouragan technologique. Car la vitesse à laquelle les données volées sont exploitées a elle aussi été dopée par l’automatisation, les identités compromises pouvant être revendues et utilisées en quelques heures seulement.
Les législateurs américains et européens s’activent, sans parvenir pour l’instant à imposer un cadre contraignant aux développeurs de modèles d’IA susceptibles d’être détournés. Le règlement européen sur l’intelligence artificielle (AI Act), entré progressivement en application, ne couvre que partiellement les usages offensifs dérivés de modèles à usage général. Washington hésite entre régulation sectorielle et approche fédérale globale, paralysé par un débat idéologique sur l’innovation. Pendant ce temps, les attaquants, eux, n’attendent pas de consensus politique.
La trajectoire de 2026 pose une question que l’industrie technologique préférerait sans doute esquiver. Peut-on continuer à démocratiser des outils d’IA toujours plus puissants sans accepter que leur potentiel destructeur croisse à la même vitesse que leurs promesses commerciales ? Les chiffres, implacables, suggèrent que la réponse est déjà écrite.
