Tous ne mouraient pas mais tous étaient frappés…

Les alertes ne sont plus théoriques (348 000 atteintes numériques en France sur la seule année 2024), touchant biens, personnes et organisations de toute taille. Près d’une entreprise française sur deux a subi au moins une cyberattaque réussie sur l’année écoulée, avec des conséquences commerciales et financières bien réelles. Dans ces attaques, l’hameçonnage représente une part importante, aux côtés des rançongiciels et des fraudes d’identité. Les escroqueries aux faux prestataires ou aux faux messages de dirigeants exploitent des mécanismes psychologiques connus — urgence, confiance implicite, autorité — pour contourner les défenses formelles et atteindre directement les salariés. Car le numérique est devenu un espace d’interactions où chacun, quel que soit son métier, peut devenir une cible. La preuve : des enquêtes publiques révèlent que plus de quatre personnes sur dix déclarent avoir subi une utilisation frauduleuse de leurs données personnelles dans les trois dernières années. La frontière entre le privé et le professionnel s’estompe. Le risque n’est plus seulement technique. Il est social, cognitif, relationnel. Former sur ces sujets ne relève donc plus d’une démarche IT. C’est une compétence première pour travailler en sécurité dans un environnement numérique devenu systémique.

Puissance créative, puissance de tromperie

L’intelligence artificielle fabrique désormais de la vraisemblance. Des messages internes parfaitement rédigés, contextualisés, sans faute, peuvent être générés en quelques secondes et ressembler à s’y méprendre à une communication officielle. Les deepfakes audio ou vidéo permettent la reproduction convaincante de la voix ou de l’apparence d’un dirigeant demandant une action urgente. Dans certains sondages internationaux, moins de la moitié des professionnels interrogés parvient à distinguer systématiquement un message d’hameçonnage généré par IA d’un message authentique. Autrement dit : la capacité humaine à discerner le vrai du faux est frontalement mise à l’épreuve. Former à l’IA, donc, pour comprendre ses limites, ses biais, ses dérives possibles ; savoir qu’une IA peut inventer des faits avec aplomb ; comprendre que plus un message paraît fluide, crédible, émotionnellement calibré, plus la vigilance devrait être élevée. Des messages générés ou transformés par IA, pris pour argent comptant, peuvent entraîner pertes de temps, erreurs de décision et expositions inutiles. L’IA démultiplie le potentiel productif, mais également le potentiel de tromperie. La formation doit aider les collaborateurs à garder la main.

Informer ne suffit pas

On connaît ces modules obligatoires sur la cybersécurité ou la conformité : un peu de théorie, quelques règles, un quiz final… affaire est classée ! Ce qui n'empêche pas un collaborateur de cliquer, le lendemain, sur un lien piégé. La formation ne doit pas se limiter à dire que faire. Il lui faut transformer la perception du risque. Les simulations de phishing, lorsqu’elles sont bien conçues et suivies d’un débriefing ouvert, font souvent baisser les taux de clic et, surtout, installent un réflexe de vérification. De même, les formations sur l’IA qui confrontent les apprenants à de vrais exemples d’hallucinations, de faux documents ou de contenus biaisés créent des prises de conscience bien plus fortes que de simples rappels de bonnes pratiques. Les témoignages internes sont éclairants : lorsqu’une comptable explique comment elle a failli exécuter un faux ordre de virement, ou quand un manager raconte comment un document « parfait » généré par IA a orienté une décision, toute l’organisation écoute autrement. Parce que l’on parle enfin de la vraie vie, parce qu’une formation qui raconte, qui met en scène, qui contextualise, construit des compétences durables plutôt qu’une mémoire fragile de règles abstraites. Les responsables formation auraient d’ailleurs intérêt à observer les formats pédagogiques populaires sur TikTok ou YouTube : clairs, directs, incarnés, ils montrent qu’une narration simple et structurée peut rendre accessibles des sujets complexes.

Enjeu de société x gestion des risques

Télétravail, appareils personnels, messageries multiples : la surface d’exposition s’est élargie. Sans socle culturel partagé, chacun navigue seul, avec sa propre tolérance au risque. À l’inverse, une entreprise où il est normal de dire “je préfère vérifier par un autre canal” est structurellement plus résiliente. Cela suppose de légitimer la vigilance, de normaliser la vérification, de valoriser le doute constructif. Les organisations qui ouvrent ces espaces de parole constatent que les remontées d’alertes augmentent. Pas par paranoïa. Par maturité collective. La formation joue ici un rôle de catalyseur : elle transforme un geste isolé en pratique partagée ; elle fait passer la sécurité numérique d’un sujet technique à une responsabilité professionnelle commune ; elle réduit aussi l’anxiété latente face à un univers numérique qui va toujours plus vite et paraît toujours plus insaisissable.

Le salarié, acteur clé de la sécurité numérique

Former à l’IA, à la cybersécurité et aux arnaques numériques n’est ni une option ni un supplément d’âme. C’est un investissement stratégique. Un salarié qui comprend les mécanismes de manipulation, qui sait détecter un message suspect, qui s’autorise à douter et à demander confirmation, est un salarié plus autonome, plus sûr, plus efficace. Les organisations qui prennent cette direction observent une augmentation des signalements proactifs, une meilleure coopération entre métiers et fonctions de sécurité, et une baisse mesurable des incidents évitables. La transformation n’a rien de magique. Elle demande une pédagogie exigeante, continue, incarnée, nourrie d’exemples publics et de contextes métiers. Elle demande aussi de reconnaître une évidence : chacun, aujourd’hui, porte une part de responsabilité dans la sécurité numérique de l’organisation. Alors que la tromperie peut être maintenant produite en quelques secondes et diffusée à grande échelle, la maturité numérique doit être considérée comme une compétence cardinale. Aux directions formation‑RH d’en faire un pilier de leur stratégie 2026, au même titre que les compétences métiers classiques.

Par la rédaction d'e-learning Letter