Évaluer votre exposition réelle : 3 outils selon votre profil

Série “IA sous attaque” — Article de conclusion : Les outils d’analyse de risques

Vous avez lu les 9 menaces. Certaines vous ont semblé lointaines. D’autres, peut-être, un peu trop familières. Le data poisoning concerne-t-il vraiment votre entreprise, qui n’a jamais entraîné un seul modèle ? La prompt injection est-elle un risque pour vous si vous utilisez seulement Copilot pour rédiger des emails ? Et quand votre prestataire vous dit que sa solution “intègre de l’IA”, comment évaluez-vous ce que ça implique concrètement pour vos données ?

Ces 9 menaces ne s’appliquent pas de la même façon à tout le monde. Votre exposition dépend de ce que vous faites avec l’IA — pas de ce que l’IA peut faire en théorie.

Trois profils, trois outils différents

Nous avons construit trois outils interactifs correspondant aux trois façons dont les PME utilisent l’IA aujourd’hui.

Vous développez ou intégrez des systèmes IA

Vous avez une équipe technique qui construit des solutions IA pour votre entreprise ou vos clients : un assistant interne basé sur un modèle open source, un pipeline de traitement automatique, une API d’inférence connectée à vos outils.

Votre surface d’attaque inclut : le supply chain (modèles téléchargés), le RAG poisoning (bases documentaires injectées), le cost harvesting (clés API exposées), et l’exfiltration via inférence.

🔗 Évaluez votre exposition — Profil Intégrateur IA →

L’outil vous pose 6 questions sur votre architecture (utilisez-vous des modèles open source ? vos clés API sont-elles dans votre code source ?) et repositionne dynamiquement les menaces sur une heatmap 4×4. Pour chaque menace, un drawer latéral détaille les mitigations disponibles selon votre budget.

Vous utilisez des outils IA grand public ou d’entreprise

Vous n’avez pas d’équipe de développement IA, mais vos collaborateurs utilisent Copilot, ChatGPT, Notion AI, ou d’autres outils IA intégrés à leur quotidien. C’est le cas de la majorité des PME françaises aujourd’hui.

Votre surface d’attaque inclut : les fuites de données (données saisies dans des outils non-conformes), le jailbreak (contournement des règles de l’assistant), la prompt injection (documents externes traités par l’assistant), et la prompt obfuscation (contenu caché dans des fichiers soumis à l’IA).

🔗 Évaluez votre exposition — Profil Consommateur IA →

L’outil adapte les questions à votre réalité : “Un assistant IA a-t-il accès à vos emails ou fichiers ?”, “Vos employés utilisent-ils des outils IA personnels pour des tâches professionnelles ?”. Les menaces sont positionnées selon votre réponse — certaines (comme la fuite de données) partent d’emblée en zone rouge parce qu’elles sont endémiques à l’usage grand public.

Vous évaluez un fournisseur qui vous dit “notre solution intègre l’IA”

Vous êtes en train de choisir un ERP, un CRM, un outil de gestion qui embarque des fonctionnalités IA. L’éditeur vous parle d’IA générative, d’analyse prédictive, d’assistant intelligent. Mais quelles garanties avez-vous sur ce que devient votre donnée une fois confiée à ce système ?

Ce profil est le plus sous-estimé. Quand vous achetez une solution IA, vous n’êtes pas l’opérateur — vous êtes l’utilisateur d’un système que quelqu’un d’autre a construit, avec des dépendances que vous ne voyez pas.

🔗 Évaluez votre fournisseur — Profil Évaluation →

Cet outil fonctionne différemment : c’est un questionnaire à donner à votre fournisseur ou à renseigner après une démo. Chaque question a 4 niveaux de réponse (satisfaisante / partielle / insatisfaisante / refus de répondre — cette dernière étant le pire signal possible). La heatmap se construit selon les réponses obtenues. L’outil génère aussi les clauses contractuelles à inclure dans votre contrat selon les failles identifiées.

Comment utiliser ces outils

Les trois outils sont disponibles sans inscription, directement dans votre navigateur. Ils ne collectent aucune donnée — le calcul se fait entièrement côté client, rien n’est envoyé.

Vous pouvez les utiliser :

• Seul, pour faire un premier état des lieux de votre exposition
• En équipe, pour animer un atelier de sensibilisation (les questions génèrent de bonnes discussions)
• Avec un prestataire, pour structurer un audit ou un appel d’offres IA
• Avec un fournisseur, pour objectiver une évaluation qui serait autrement basée sur sa seule communication commerciale

Ce ne sont pas des outils de certification — ils ne remplacent pas un audit de sécurité. Ils sont conçus pour vous donner une lecture rapide, actionnables, de là où votre entreprise est exposée aujourd’hui. Et pour vous donner le vocabulaire pour en parler avec les bonnes personnes.

Ce que cette série vous a appris à voir

Neuf menaces. Neuf façons différentes pour un attaquant — ou pour une simple négligence — de transformer votre investissement IA en vecteur de risque. La bonne nouvelle, que nous avons essayé de montrer article après article, c’est que la plupart de ces risques ne nécessitent ni budget exceptionnel ni expertise pointue pour être maîtrisés.

Exiger la transparence sur les données d’entraînement. Limiter ce que votre assistant peut faire. Versionner vos documents sources. Configurer une alerte de dépassement. Lire un DPA avant de signer. Ce sont des actions à la portée de n’importe quelle PME — et elles couvrent l’essentiel de la surface d’attaque.

L’IA sous attaque, ce n’est pas une menace abstraite réservée aux grandes entreprises. C’est une réalité documentée, avec des cas réels, des coûts mesurés, et des protections proportionnées. Vous avez maintenant les clés pour en parler — et pour agir.

Retrouvez les 3 outils interactifs sur La Boussole Digitale Marketplace — accès libre, sans inscription.

Relire la série depuis le début : IA sous attaque — Les 9 menaces que toute PME doit connaître