IA et cybersécurité : protéger son entreprise au Maroc et former ses équipes

L'intelligence artificielle ne profite pas seulement aux entreprises qui l'adoptent. Elle profite aussi à ceux qui les attaquent : de faux appels avec la voix d'un dirigeant, des messages d'hameçonnage sans la moindre faute, des vidéos truquées assez réalistes pour tromper un collaborateur prudent. Au Maroc, le phénomène est déjà mesurable. Selon l'AUSIMètre 2026, le baromètre de la cybersécurité réalisé par l'AUSIM et PwC Maroc auprès de 62 organisations, 40 % ont déjà subi des attaques d'ingénierie sociale renforcées par l'IA, alors que seules 30 % ont formalisé une gouvernance de son utilisation.

La réponse courte : une entreprise se protège de l'IA malveillante avec trois choses simples. Des règles écrites sur l'usage de l'IA, des procédures de vérification qui ne reposent jamais sur un seul échange (un appel, un e-mail, une visio), et surtout des équipes formées à reconnaître ces nouvelles arnaques. Voici comment ces menaces se présentent, ce que montrent les cas marocains et internationaux, et le plan à mettre en place.

Ce que l'IA change pour les attaquants

Des arnaques au faux dirigeant presque indétectables

L'arnaque au faux dirigeant existe depuis longtemps : un message urgent, un virement « confidentiel » à faire avant la fin de la journée. L'IA lui donne une voix et un visage. Quelques secondes d'enregistrement suffisent désormais pour cloner une voix, et des vidéos publiques (une interview, une conférence, une publication LinkedIn) suffisent pour animer un visage.

Le cas le plus cité reste celui d'Arup, le groupe britannique d'ingénierie. En janvier 2024, un employé de son bureau de Hong Kong a participé à une visioconférence avec ce qu'il croyait être le directeur financier et plusieurs collègues. Tous étaient générés par l'IA. Convaincu, il a effectué 15 virements pour un total de 200 millions de dollars de Hong Kong, environ 25 millions de dollars américains, comme l'a rapporté CNN. Aucune faille informatique n'a été exploitée : seulement la confiance.

Un hameçonnage sans fautes, en français comme en darija

Pendant des années, les fautes d'orthographe trahissaient les faux messages. Les outils d'IA générative écrivent aujourd'hui un français impeccable, imitent le ton d'une banque ou d'une administration et produisent des centaines de variantes en quelques minutes. Au Maroc, la DGSSI a alerté le 3 avril 2026 sur une campagne de faux SMS d'amendes routières destinée à voler des données personnelles et bancaires. Le 16 septembre 2026, l'AMMC, le régulateur du marché des capitaux, a mis en garde contre la hausse des offres d'investissement frauduleuses diffusées sur les réseaux sociaux puis poursuivies dans des groupes WhatsApp ou Telegram, parfois avec son logo et de faux cachets.

Le schéma ne change pas : un message crédible, un lien vers une fausse page, puis la demande d'un code ou d'un paiement. Une règle simple désamorce la plupart de ces tentatives : une banque ne demande jamais vos codes par SMS ou par téléphone, comme le rappelle régulièrement Bank Al-Maghrib.

Les fuites par les outils d'IA eux-mêmes

Le troisième risque vient de l'intérieur, et sans mauvaise intention. Un commercial colle un fichier client dans un chatbot gratuit pour rédiger une relance, un comptable y dépose un bilan pour le résumer, un développeur y copie du code pour le corriger. Ces données quittent l'entreprise, parfois vers des serveurs à l'étranger, sans contrat ni contrôle. C'est ce qu'on appelle le « shadow AI » : l'IA utilisée en dehors de tout cadre.

Samsung en a fait l'expérience en 2023 : des ingénieurs ont transmis du code source interne à ChatGPT, et le groupe a restreint l'usage des outils d'IA générative sur ses appareils et ses réseaux. Le phénomène est désormais chiffré. Selon le rapport 2025 d'IBM sur le coût des violations de données, mené auprès de 600 organisations, une organisation sur cinq a subi une violation liée à un usage non encadré de l'IA, et celles où cette pratique était répandue ont payé en moyenne 670 000 dollars de plus par incident. 63 % des organisations touchées n'avaient pas de politique de gouvernance de l'IA ou étaient encore en train de l'écrire, et parmi celles dont un modèle ou une application d'IA avait été attaqué, 97 % ne disposaient pas de contrôles d'accès adaptés.

Ce que montrent les incidents au Maroc

Les organisations marocaines ne sont pas une cible secondaire. En avril 2025, la CNSS a été victime d'une cyberattaque d'une ampleur inédite : à partir du 8 avril, des fichiers présentés comme les données de près de deux millions d'affiliés ont circulé sur une chaîne Telegram. La CNSS a suspendu certains services en ligne et indiqué qu'une partie des documents diffusés étaient faux, inexacts ou tronqués. La CNDP a rappelé que consulter, détenir ou diffuser ces données était illicite au regard de la loi 09-08.

Pour une PME, la leçon est double. D'abord, les données qui fuitent quelque part servent ensuite à des arnaques ciblées : un escroc qui connaît le nom de votre comptable, votre banque et vos fournisseurs devient beaucoup plus crédible, surtout avec un message rédigé par l'IA. Ensuite, les attaques visent aussi les outils du quotidien : en octobre 2026, la DGSSI a encore émis une alerte critique sur des failles du langage PHP, qui fait tourner une grande partie des sites web. Les bulletins du maCERT permettent de suivre ces alertes gratuitement.

Le cadre au Maroc, et ce qui se fait ailleurs

Le Maroc n'a pas encore de loi spécifique sur l'intelligence artificielle, mais plusieurs règles s'appliquent déjà :

• La loi 09-08 et la CNDP encadrent toute donnée personnelle confiée à un outil d'IA, y compris son transfert vers un serveur à l'étranger. La CNDP a publié des repères sur l'IA et la protection des données personnelles.
• La loi 05-20 et la DGSSI fixent les obligations de sécurité des administrations, des infrastructures d'importance vitale et de certains opérateurs. Leur directive nationale de sécurité des systèmes d'information (DNSSI) consacre un domaine entier à la sécurité liée aux ressources humaines. Nous détaillons ce cadre dans notre guide cybersécurité et loi 05-20.
• Les deepfakes ne sont pas encore visés nommément par un texte marocain. Selon une tribune publiée par TelQuel en août 2026, les victimes peuvent toutefois s'appuyer sur plusieurs dispositions du Code pénal, notamment celles qui sanctionnent l'usurpation.

La compétence des équipes est aussi devenue une priorité nationale. Le gouvernement nommé le 16 octobre 2026 compte un ministère de l'Intelligence artificielle, et la feuille de route Maroc IA 2030 vise 200 000 talents formés ou certifiés, comme nous l'expliquons dans notre article sur la stratégie IA du Maroc et la loi 09-08.

L'Europe va plus loin. Depuis le 2 février 2025, l'AI Act impose aux entreprises qui fournissent ou utilisent des systèmes d'IA de veiller à ce que leur personnel dispose d'une maîtrise suffisante de l'IA (article 4), une obligation que la Commission européenne détaille dans sa foire aux questions sur la maîtrise de l'IA. Pour une entreprise marocaine qui travaille avec des clients européens, c'est un bon indicateur de ce que ses partenaires attendront d'elle.

Pourquoi la formation des équipes est la première protection

Les attaques assistées par l'IA contournent les outils techniques en visant le jugement humain. Un pare-feu ne bloque pas un appel où la voix du directeur demande un virement, et un antivirus ne voit pas un salarié qui colle un contrat dans un chatbot. C'est pourquoi la formation n'est pas un complément : c'est la ligne de défense principale.

C'est aussi la plus accessible. Selon l'AUSIMètre 2026, 84 % des organisations interrogées peinent à recruter des profils spécialisés. Une PME ne peut pas compter sur une équipe d'experts en cybersécurité ; elle peut, en revanche, rendre chaque collaborateur capable de repérer une demande suspecte et de réagir correctement.

Une formation utile tient en quelques points concrets :

• Reconnaître les signaux d'alerte : urgence inhabituelle, demande de confidentialité, changement de coordonnées bancaires, canal inattendu (WhatsApp personnel, numéro inconnu, nouvelle adresse e-mail).
• Vérifier par un autre canal : rappeler la personne sur un numéro déjà connu, jamais sur celui fourni dans le message.
• Savoir ce qui ne va jamais dans un outil d'IA public : données clients, données de santé, contrats, mots de passe, code source, documents financiers.
• Signaler sans crainte : un salarié qui a cliqué doit pouvoir le dire tout de suite, sans être sanctionné. Les premières minutes comptent.

Le format compte autant que le contenu. Des sessions courtes et régulières, dès l'arrivée d'un nouveau collaborateur, et des exercices concrets (un faux e-mail d'hameçonnage, un faux appel) valent mieux qu'une présentation annuelle de deux heures. Les fonctions les plus exposées, comme la comptabilité, les achats, la direction et les ressources humaines, méritent un module spécifique sur les faux virements.

Pour tenir ce rythme sans y passer des heures, des plateformes de sensibilisation regroupent les deux volets : des contenus courts (vidéos, modules interactifs, quiz) et des simulations d'attaques (faux e-mails, SMS, codes QR ou clés USB piégés), avec un score de risque par collaborateur et par service. C'est par exemple le cas de la plateforme de sensibilisation à la cybersécurité d'Ingefor (page en espagnol), une société de services informatiques présente à Séville, Madrid et Tanger.

Le plan en 8 mesures pour protéger votre entreprise

1. Écrire une charte d'usage de l'IA : quels outils sont autorisés, pour quelles tâches, et quelles données sont interdites. Une page suffit pour commencer.
2. Fournir des outils d'IA encadrés : choisir des offres professionnelles dont le contrat précise que vos données ne servent pas à entraîner les modèles, plutôt que de laisser chacun utiliser un compte gratuit personnel.
3. Imposer la double validation des virements : au-delà d'un montant fixé, deux personnes et un rappel sur un numéro connu, quelle que soit l'urgence affichée.
4. Convenir d'un code de vérification entre la direction et les services financiers pour les demandes inhabituelles.
5. Activer la double authentification sur la messagerie, la banque en ligne, le CRM et les comptes d'administration du site.
6. Tenir les outils à jour et suivre les alertes du maCERT, en particulier pour le site web, ses extensions et les équipements réseau.
7. Sauvegarder hors ligne et tester la restauration au moins une fois par trimestre.
8. Former, tester et recommencer : une courte session par trimestre et un exercice de simulation par semestre.

Scénario type : à quoi ressemble une attaque aujourd'hui

Ce scénario est fictif, mais chacun de ses éléments correspond à des techniques déjà observées. Un mardi à 17 h 40, la comptable d'une PME de Tanger reçoit un message vocal sur WhatsApp. C'est la voix du gérant, en déplacement : un fournisseur attend un acompte avant la fermeture, il faut faire le virement tout de suite, les justificatifs suivront le lendemain. Le numéro est nouveau, « mon téléphone est en panne ». La voix a été clonée à partir d'une vidéo publiée sur les réseaux sociaux de l'entreprise.

Dans une entreprise sans procédure, le virement part. Dans une entreprise formée, la comptable applique la règle : elle rappelle le gérant sur son numéro habituel, et l'arnaque s'arrête là. La différence ne tient ni à un logiciel coûteux ni à une équipe d'experts, mais à une règle connue de tous et appliquée sans exception.

Et si l'incident arrive quand même ?

• Isoler l'appareil ou le compte concerné et changer les mots de passe.
• En cas de virement frauduleux, appeler la banque immédiatement : plus la demande de blocage est rapide, plus les chances de récupérer les fonds augmentent.
• Déclarer l'incident au maCERT et signaler l'escroquerie à la DGSN, sur la plateforme E-Blagh ou par une plainte.
• Si des données personnelles sont concernées, vérifier vos obligations au titre de la loi 09-08 auprès de la CNDP.

Retrouvez nos autres guides pratiques dans le dossier cybersécurité des PME.

Questions fréquentes

Cet article est informatif et ne remplace pas un conseil juridique. Les chiffres et textes cités sont ceux disponibles au 6 novembre 2026.