Les chiffres qui préparent le terrain
Commencez ici : le coût mondial de la cybercriminalité devrait atteindre 10,5 billions de dollars par an en 2025, selon Entreprises de cybersécurité. Ce chiffre est supérieur au PIB de tous les pays, à l'exception des États-Unis et de la Chine.
Au niveau de chaque organisation, Rapport d'IBM sur le coût d'une violation de données en 2025 place le coût moyen d'une violation à 4,44 millions de dollars dans le monde. Aux États-Unis, ce chiffre atteint un record 10,22 millions de dollars. Pour les violations spécifiquement liées à des attaques pilotées par l'IA, la moyenne s'élève à 5,72 millions de dollars, soit une prime de 13 % par rapport aux incidents classiques.
Et les dépenses de cybersécurité répondent à cette tendance : Prévisions Gartner les dépenses mondiales en matière de sécurité de l'information atteindront 213 milliards de dollars en 2025 et 240 milliards de dollars en 2026, soit une hausse de 12,5 % par rapport à l'année précédente. Le principal moteur de croissance au cours des deux années : l'IA, utilisée à la fois de manière offensive et défensive.
Le Sparagus disait : Ce sont des chiffres mondiaux qui peuvent sembler abstraits. Mais les mécanismes qui les sous-tendent, à savoir le phishing à grande échelle, l'exploitation automatisée, la fuite de données internes via des outils d'IA, ne sont pas du tout abstraits. Ils se produisent dans des organisations de toutes tailles, y compris la vôtre.
La Belgique en particulier : la menace n'est pas théorique
Le Centre pour la cybersécurité de Belgique (CCB) a rapporté un Augmentation de 165 % des cyberattaques en Belgique en 2025, atteignant une moyenne de 275 attaques par jour. Le CCB a enregistré 635 notifications d'incidents en 2025, soit près de 70 % de plus que l'année précédente, les incidents liés à la cybersécurité ayant augmenté de 58 % par rapport à l'année précédente.
Cette accélération n'est pas un hasard. Le CCB lui-même l'attribue à l'automatisation accrue et à l'adoption de l'IA par les attaquants. Le délai moyen entre la divulgation d'une vulnérabilité et son exploitation active est tombé à cinq jours. Près d'un tiers des vulnérabilités sont exploitées dans les 24 heures de découverte.
Pour les entreprises belges qui souhaitent se conformer à la norme NIS2, la pression réglementaire s'intensifie également. Les entités essentielles et importantes étaient tenues de soumettre leur auto-évaluation CyberFundamentals ou leur documentation ISO 27001 au CCB avant avril 2026. Selon Étude sur la cybersécurité 2025 de KPMG Belgium, de nombreuses entreprises belges de taille moyenne abordent cette exigence de conformité sans une architecture de sécurité interne adéquate.
Le Sparagus disait : Le chiffre de 275 attaques par jour ne concerne pas les acteurs de l'État-nation qui ciblent les infrastructures gouvernementales. La majorité de ces attaques visent des organisations ordinaires, notamment des sociétés de services professionnels, des fabricants de taille moyenne et des sociétés de conseil. La question n'est pas de savoir si votre organisation sera confrontée à une tentative. Il s'agit de savoir si vos défenses sont proportionnées au niveau de menace actuel.
Les trois types d'attaques qui augmentent le plus rapidement
1. Hameçonnage généré par l'IA : volume et précision combinés
82,6 % des e-mails de phishing sont désormais créés à l'aide de l'IA, en hausse de 53,5 % par rapport à l'année précédente. Le second semestre de 2024 a été marqué par une Hausse globale de 202 % des e-mails de phishing, alors que les attaques de phishing liées aux informations d'identification se multiplient 703 %.
Ce qui différencie le phishing généré par l'IA sur le plan qualitatif, c'est la personnalisation à grande échelle. Alors que le phishing traditionnel reposait sur des messages génériques de masse, les outils d'IA peuvent désormais générer des messages contextuellement précis et personnalisés en quelques secondes, faisant référence à de vrais collègues, à de vrais projets et à un langage d'entreprise réel extrait de sources publiques.
2. Deepfakes et clonage vocal : le problème de l'identité
Les fichiers Deepfake sont issus de 500 000 en 2023 à 8 millions en 2025, selon Deepstrike. Rien qu'au premier trimestre 2025, plus d'incidents de deepfake ont été enregistrés que sur l'ensemble de 2024.
Les attaques par clonage vocal, principalement utilisées pour compromettre la messagerie professionnelle et autoriser des paiements frauduleux, ont augmenté 81 % en 2025. Rien qu'entre janvier et septembre 2025, les deepfakes pilotés par l'IA ont causé plus de 3 milliards de dollars de pertes aux États-Unis.
Le modèle de risque a changé. Alors que la vérification reposait auparavant sur la reconnaissance d'une voix ou d'un style de communication, cette hypothèse n'est plus sûre.
3. Exploitation automatisée : la vitesse comme nouvelle arme
Les cyberattaques basées sur l'IA ont augmenté de 72 % d'une année sur l'autre dans le monde, avec des activités de numérisation automatisées atteignant 36 000 scans par seconde. Conséquence : le délai entre la vulnérabilité d'un système et son exploitation s'est réduit de plusieurs semaines à plusieurs heures.
87 % des organisations signalent avoir été la cible d'attaques basées sur l'IA au cours des 12 derniers mois. Il ne s'agit plus d'une menace spécialisée. C'est la base de référence.
La menace à l'intérieur du bâtiment : l'IA fantôme
Voici le résultat de Rapport d'IBM sur le coût d'une violation de données en 2025 qui mérite bien plus d'attention qu'il n'en reçoit :
20 % des organisations ont connu des violations de données directement liées à l'IA fantôme, c'est-à-dire aux outils d'IA utilisés par les employés sans connaissances ni approbation informatiques. Ces violations coûtent en moyenne 4,63 millions de dollars, 670 000 dollars de plus que les violations classiques.
L'ampleur du comportement sous-jacent est frappante :
Le Sparagus disait : La plus grande lacune en matière de cybersécurité dans la plupart des entreprises belges à l'heure actuelle n'est pas un pare-feu manquant ou une vulnérabilité non corrigée. C'est l'absence de politique d'utilisation de l'IA claire et pratique. Chaque employé qui colle un brief client, une projection financière ou un document RH dans un outil d'IA non autorisé est susceptible d'exfiltrer des données sensibles vers une infrastructure tierce que votre équipe informatique n'a jamais évaluée. C'est ce qui se passe aujourd'hui, à grande échelle, dans les organisations qui se considèrent soucieuses de leur sécurité.
Pourquoi les PME restent exposées de manière disproportionnée
75 % des cyberattaques ciblent les PME et les micro-entreprises. Parmi les PME victimes d'une attaque grave, 60 % clôturent dans les six mois. Ces chiffres sont de plus en plus difficiles à expliquer à mesure que les outils mis à la disposition des attaquants deviennent moins chers et plus puissants.
D'après État de la cybersécurité des entreprises de taille intermédiaire selon Jimber en Belgique en 2026:
- La plupart des entreprises belges du marché intermédiaire n'ont pas de politique officielle d'utilisation de l'IA
- Les budgets de sécurité augmentent (les PME consacrent désormais 10 à 15 % de leurs dépenses informatiques à la cybersécurité) mais les investissements dans la formation restent disproportionnés
- La conformité à la norme NIS2 crée une pression structurelle pour formaliser la posture de sécurité, mais nombreux sont ceux qui l'abordent comme un exercice de documentation plutôt que comme un exercice opérationnel
L'ironie de 2026 est la suivante : les outils d'IA rendent certaines opérations de sécurité plus accessibles que jamais, mais le risque d'IA parallèle introduit par ces mêmes outils crée simultanément de nouvelles surfaces d'attaque que la plupart des PME ne gèrent pas.
À quoi ressemble une réponse crédible en 2026
Les entreprises dotées d'une IA et d'une automatisation poussées dans leur système de sécurité paient 3,62 millions de dollars par violation contre 5,52 millions de dollars sans, soit une réduction de 34 % d'une valeur de 1,9 million de dollars par incident en moyenne, selon IBM. Les arguments en faveur du retour sur investissement de l'IA dans la défense sont clairs. La condition préalable est la gouvernance.
Le Sparagus disait : Vous ne pouvez pas parler d'IA dans votre organisation sans parler de cybersécurité, et vous ne pouvez pas parler de cybersécurité en 2026 sans tenir compte de l'IA. C'est la même conversation maintenant.
À quoi cela ressemble en pratique :
- Une politique d'utilisation de l'IA qui définit quels outils sont approuvés, avec quelles données et par qui. Il ne s'agit pas d'un document juridique de 40 pages, mais d'un guide pratique et lisible que les employés peuvent réellement suivre.
- Classification des données qui indique aux employés quelles informations peuvent et ne peuvent pas être partagées avec des systèmes d'IA externes. Données sur les clients, projections financières, dossiers RH : ces catégories nécessitent des règles explicites.
- Responsabilité au niveau du manager pour l'adoption d'outils d'IA au sein de leurs équipes. La sécurité ne peut pas se limiter à l'informatique. Le comportement du manager façonne le comportement de l'équipe.
- Entraînement régulier qui est spécifique et basée sur des scénarios, et non des sessions annuelles de conformité génériques. Les employés doivent reconnaître le phishing généré par l'IA, comprendre pourquoi la vérification vocale ne suffit plus et savoir quoi faire en cas de doute.
- Outils de visibilité qui donnent au service informatique une image réelle des applications d'IA utilisées au sein de l'organisation. Vous ne pouvez pas contrôler ce que vous ne pouvez pas voir.
En bref
L'IA a fondamentalement modifié l'économie et la mécanique des cyberattaques. Le coût du lancement d'une attaque sophistiquée, personnalisée et à volume élevé a chuté. La vitesse d'exploitation s'est accélérée. Et une part importante du risque provient désormais de l'intérieur des organisations, des employés utilisant des outils d'IA sans supervision.
La Belgique fait face à 275 attaques par jour et ce chiffre augmente. L'environnement réglementaire se resserre dans le cadre du NIS2. Et les données sont sans ambiguïté : les organisations qui ne disposent pas de cadres de gouvernance liés à l'IA paient une prime mesurable en cas de problème.
La solution n'est pas d'interdire l'IA en interne. C'est pour le gouverner. Les entreprises qui le feront bien seront à la fois plus sûres et plus productives que celles qui considèrent la cybersécurité et l'adoption de l'IA comme des problèmes distincts. Ils ne sont pas séparés. Ils ne l'ont jamais été.
Ressources
