Deepfake du PDG : la formation qu'on valide, la procédure qu'on repousse

Le Journal du Net revient sur le cas Arup : un employé de Hong Kong a viré 25,6 millions de dollars après une visioconférence où le directeur financier et plusieurs collègues étaient entièrement générés par IA. Le règlement européen sur l'IA impose désormais la signalisation des deepfakes, et 60 % des PME françaises déclarent avoir subi au moins une tentative de fraude au cours des douze derniers mois. Ce fait divers cache une décision plus banale, et plus gênante, prise dans chaque comité de direction confronté au sujet.

Un budget qu'on signe sans hésiter

Former les équipes à reconnaître un deepfake, c'est une session, un intervenant, une ligne de plus dans le plan de formation. Aucune direction n'y oppose de résistance. Le sujet est visible, il se raconte bien en comité, il ne remet en cause aucune organisation existante. C'est le type de dépense qu'on approuve pour se sentir agir.

La procédure qu'on ne touche pas

Revoir la validation des virements urgents par un second canal implique de ralentir un processus que la direction a elle-même construit pour aller vite. Cela suppose d'admettre qu'un ordre venu d'un dirigeant doit pouvoir être contesté par un collaborateur. C'est cette friction-là, organisationnelle et hiérarchique, que la formation permet d'éviter d'affronter.

• La formation change la vigilance individuelle, pas le circuit de décision.
• Seule la procédure aurait arrêté le virement chez Arup.
• Le règlement IA européen déplace la contrainte sur la détection, pas sur l'organisation interne.

La question à se poser n'est pas si vos équipes sauraient reconnaître un faux appel, mais si un virement urgent peut aujourd'hui passer sans second canal de validation. Sur les choix d'organisation qui protègent réellement l'entreprise, notre article pilier détaille l'automatisation IA en PME : par où commencer, ce que ça coûte, et pourquoi la plupart des projets n'arrivent jamais en production.