Aller au contenu
audit-ia-pme.frPré-audits IA pour les TPE et PME

Pré-audit · Sécurité : les gestes qui protègent une PME

Pré-audit PME : les gestes de sécurité quand l’IA arrive

Messagerie, comptes, départs, faux virements, outils reliés à vos fichiers : dix gestes simples à vérifier.

Une PME n’a pas toujours de service informatique. Ce pré-audit reprend les gestes de sécurité les plus simples, ceux que l’IA rend plus nécessaires : protéger la messagerie, fermer les accès, se méfier des demandes urgentes. Il ne remplace pas votre prestataire informatique.

10 questions. Pas de compte à créer, rien d’enregistré : vos réponses ne quittent pas votre ordinateur ou votre téléphone. Vous gardez le fichier, et vous seul décidez de le transmettre.

Avant de commencer

10 questions, une par écran, en mots simples. Répondez oui, non ou je ne sais pas ; si vous ignorez ce que font vos équipes, dites-le : c’est souvent le premier point à éclaircir.

Aucun compte, aucune sauvegarde : si vous quittez la page, tout s’efface. Téléchargez la synthèse avant de partir.

Le nom de votre organisation, ou un simple repère. Il n’apparaît que dans votre fichier.
  1. Question 1 sur 10

    Un second code, reçu sur le téléphone ou dans une application, est-il demandé pour ouvrir la messagerie de l’entreprise et les outils d’IA (double authentification) ?

    Pourquoi on vous demande ça. La messagerie ouvre presque tout le reste : banque, logiciels, outils d’IA. C’est le premier compte à protéger.

    Pour comprendre : Mots de passe et authentification : la double authentification (Formation gratuite)

  2. Question 2 sur 10

    Votre prestataire informatique, s’il y en a un, sait-il quels outils d’IA l’équipe utilise ?

    Pourquoi on vous demande ça. Il ne peut protéger que ce qu’il connaît. Un outil d’IA ajouté sans le prévenir échappe à ses contrôles.

    Pour comprendre : Gestion des risques liés à l’IA : par où commencer (Agence IA Toulouse) ; Le kit gratuit à télécharger : charte d’usage, registre des usages… (Formation gratuite)

  3. Question 3 sur 10

    Lors d’un départ, la liste des accès à fermer comprend-elle les outils d’IA et les espaces de fichiers partagés ?

    Pourquoi on vous demande ça. Un compte oublié garde l’historique des échanges, et parfois des documents. Une liste de départ évite l’oubli.

    Pour comprendre : La gestion des accès en équipe (Formation gratuite)

  4. Question 4 sur 10

    Chaque personne a-t-elle son propre identifiant, plutôt qu’un compte partagé à plusieurs (comptes nominatifs) ?

    Pourquoi on vous demande ça. Avec un compte partagé, impossible de savoir qui a fait quoi, ou de fermer l’accès d’une seule personne.

    Pour comprendre : La gestion des accès en équipe (Formation gratuite) ; Le gestionnaire de mots de passe (Formation gratuite)

  5. Question 5 sur 10

    La règle « tout changement de RIB se vérifie par téléphone, à un numéro déjà connu » est-elle connue de ceux qui paient les factures ?

    Pourquoi on vous demande ça. L’IA rend les faux courriels de fournisseurs plus crédibles. Un appel de vérification, à un numéro déjà connu, arrête ce type de fraude avant le virement.

    Pour comprendre : La fraude au faux ordre de virement (Cybermalveillance.gouv.fr)

  6. Question 6 sur 10

    L’équipe sait-elle qu’une voix au téléphone, ou un message vidéo, peuvent être imités par l’IA ?

    Pourquoi on vous demande ça. Une demande urgente « du dirigeant », par téléphone ou en vidéo, peut être fabriquée. Une question de contrôle convenue à l’avance aide à déjouer l’imitation.

    Pour comprendre : Les menaces courantes à reconnaître (Formation gratuite) ; L’hameçonnage : la fiche réflexe (Cybermalveillance.gouv.fr)

  7. Question 7 sur 10

    Les outils d’IA reliés à vos boîtes de messagerie, à vos fichiers partagés ou à vos logiciels ont-ils été autorisés par une personne responsable ?

    Pourquoi on vous demande ça. Un outil relié à vos systèmes peut tout lire, parfois agir. Ses autorisations se donnent en connaissance de cause, et se retirent quand elles ne servent plus.

    Pour comprendre : Recommandations de sécurité pour un système d’IA générative (ANSSI) ; Les agents IA, dans un cadre strict (Agence IA Toulouse)

  8. Question 8 sur 10

    Vos devis, vos marges, vos contrats et les données de vos clients sont-ils tenus à l’écart des outils d’IA grand public ?

    Pourquoi on vous demande ça. Ce qui est collé dans un outil grand public peut être conservé ou réutilisé, selon ses conditions. Vos secrets d’affaires méritent un outil adapté.

    Pour comprendre : Ce qu’il ne faut jamais confier à une IA (Guide des outils)

  9. Question 9 sur 10

    Les extensions de navigateur et les applications « avec IA » installées sur les postes de travail sont-elles validées avant installation ?

    Pourquoi on vous demande ça. Une extension peut lire les pages ouvertes, y compris la messagerie ou la banque en ligne. Mieux vaut savoir ce qui est installé.

    Pour comprendre : Recommandations de sécurité pour un système d’IA générative (ANSSI) ; Les signaux d’alerte face à un vendeur (Diagnostic IA)

  10. Question 10 sur 10

    En cas de compte piraté ou de fuite de documents, savez-vous qui appeler en premier ?

    Pourquoi on vous demande ça. Les premières heures comptent. Une fiche affichée, avec les bons numéros, évite d’improviser.

    Pour comprendre : Cybermalveillance.gouv.fr : assistance et prévention (Cybermalveillance.gouv.fr)

Les dix points en bref

En bref, ce que ce pré-audit vérifie dans une PME, point par point :

  1. La messagerie et les outils d’IA sont protégés par une double authentification.
  2. Votre prestataire connaît les outils d’IA utilisés.
  3. Les départs ferment aussi les accès aux outils d’IA.
  4. Chaque personne a son propre compte.
  5. La vérification des RIB est une règle connue.
  6. L’équipe sait qu’une voix ou une vidéo peuvent être imitées.
  7. Les outils reliés à vos comptes sont autorisés en connaissance de cause.
  8. Vos documents confidentiels restent hors des outils grand public.
  9. Les extensions et applications « avec IA » sont validées.
  10. Vous savez qui appeler en cas d’incident.

Les sources officielles

Les textes officiels et les fiches publiques, pour ceux qui veulent vérifier ; pour votre cas précis, votre conseil habituel.

Adresses relevées le 10 novembre 2026.

Et après ?

Pour la suite, une seule chose : lancer la première action de la synthèse avec votre équipe. Puis, quand vous aurez un moment :

Pré-audit PME : par où commencer avec l’IA