Cybersécurité en entreprise : pourquoi le vendredi après-midi est-il un risque majeur avec l'IA ?

Lors d’une conférence internationale organisée à Sydney mi-mars 2026, Dennis Xu, vice-président de la recherche chez Gartner, a formulé une recommandation aussi simple qu’inattendue : interdire l’accès à l’intelligence artificielle Copilot de Microsoft 365 les vendredis après-midi. Cette suggestion, présentée lors d’un événement consacré aux « cinq principaux risques de sécurité liés à Microsoft 365 Copilot », n’est pas une mesure anodine. Elle s’inscrit dans un constat plus large : l’IA, en démocratisant l’accès à des outils puissants, amplifie les risques structurels de la cybersécurité, bien au-delà des failles techniques.

Comme le rapporte Numerama, cette prise de position intervient alors que les entreprises accélèrent leur adoption de l’IA générative en milieu professionnel. Selon les dernières estimations de Gartner, près de 60 % des grandes entreprises dans le monde utilisent déjà des outils comme Copilot en 2026, un chiffre qui a doublé en seulement deux ans. Pourtant, cette adoption massive s’accompagne d’une réalité préoccupante : 80 % des incidents de sécurité impliquant l’IA ne sont pas liés à des attaques externes, mais à des erreurs humaines, souvent commises sous la pression du temps ou de la fatigue. Dennis Xu le rappelle avec une formule percutante : « L’humain reste le maillon faible, bien plus que l’IA elle-même. »

Une recommandation née d’un constat alarmant sur la sécurité de l’IA

Lors de la conférence tenue à Sydney, Dennis Xu a détaillé les cinq risques majeurs identifiés par son équipe concernant l’intégration de Copilot à Microsoft 365. Premier point, et non des moindres : l’exposition de documents confidentiels. Le système d’indexation de Copilot peut restituer des fichiers hébergés sur SharePoint, même lorsque les droits d’accès n’ont pas été correctement configurés. « Ce n’est pas une faille technique inédite, mais une amplification des risques existants », a expliqué Xu. Les entreprises utilisant des solutions de gestion de contenu comme SharePoint doivent donc revoir en profondeur leurs politiques d’accès avant d’activer Copilot, sous peine de voir des données sensibles devenir accessibles à des employés non autorisés.

Les autres risques identifiés par Gartner couvrent un spectre large : de l’injection de prompts malveillants (via des requêtes formulées en langage naturel) à l’utilisation involontaire de données sensibles via des applications tierces connectées à Copilot. Par exemple, un employé pourrait, sans s’en rendre compte, transmettre des informations financières à un outil tiers en utilisant un prompt ambigu. « La surface d’attaque s’élargit moins par des vulnérabilités techniques que par la multiplication des usages et des utilisateurs », a souligné Xu. En 2026, le nombre d’applications connectées à Copilot a été multiplié par trois depuis 2024, passant de 5 000 à plus de 15 000 intégrations validées par Microsoft.

L’erreur humaine, accélérateur invisible des cybermenaces

Le cœur du problème réside dans le décalage entre la facilité d’utilisation de l’IA et la conscience des risques associés. Dennis Xu a rappelé que des mécanismes comme le partage de fichiers mal configurés ou l’escalade de privilèges via un tiers existent depuis des décennies en informatique. « Ce que Copilot change, c’est la vitesse et la simplicité avec laquelle un employé lambda peut déclencher ces risques, souvent sans en avoir l’intention », a-t-il précisé. Un cas emblématique ? Celui d’un cadre pressé qui valide automatiquement une proposition générée par Copilot pour son rapport hebdomadaire, sans vérifier que les données incluses ne proviennent pas d’un fichier confidentiel partagé par erreur.

Les chiffres parlent d’eux-mêmes : selon une étude récente de PwC, 72 % des employés admettent utiliser l’IA générative au moins une fois par semaine en entreprise, mais seulement 28 % ont suivi une formation spécifique sur les risques liés à ces outils. Pire, 45 % des utilisateurs déclarent ne jamais relire les réponses générées par l’IA avant de les valider. « On ne peut pas reprocher aux employés de faire confiance à l’outil, mais c’est exactement ce qui rend la situation dangereuse », a commenté Xu. Les entreprises qui déploient Copilot à grande échelle sans accompagnement adapté risquent donc de créer des failles bien plus rapidement que des cybercriminels ne pourraient en exploiter.

Pourquoi le vendredi après-midi cristallise-t-il tous les risques ?

La recommandation de Dennis Xu concernant le vendredi après-midi n’est pas anodine. Elle s’appuie sur un phénomène bien documenté en psychologie du travail : l’effet de fin de semaine. En fin de semaine, la fatigue s’accumule, la concentration baisse, et l’urgence de boucler les tâches avant le week-end pousse à des raccourcis. Or, Copilot, comme tout outil d’IA générative, repose sur une validation humaine systématique. « Un vendredi après-midi, le risque de valider négligemment une production IA est multiplié par deux », estime Xu. Ce constat rejoint d’ailleurs les observations de Microsoft, qui a enregistré une hausse de 35 % des incidents de sécurité les vendredis entre 14h et 18h en 2025.

Pire encore, les cybercriminels ont bien compris ce pattern. Une analyse des attaques récentes par IBM Security montre que 60 % des tentatives d’exploitation de failles liées à l’IA se concentrent sur les périodes de faible vigilance, comme les fins de semaine ou les périodes de congés. « Les attaquants ne cherchent plus à cibler directement les systèmes, mais à profiter des comportements humains », explique un expert en cybersécurité sous couvert d’anonymat. La recommandation de Xu s’inscrit donc dans une logique de « défense en profondeur », où les entreprises doivent anticiper les comportements humains autant que les attaques techniques.

Quelles solutions pour sécuriser l’IA en entreprise ?

Face à ces risques, les experts s’accordent sur une réponse en trois volets : formation, restriction et filtrage. Premier axe, la formation des utilisateurs. Selon Gartner, 70 % des incidents de sécurité liés à l’IA pourraient être évités avec une sensibilisation minimale. Des modules comme ceux proposés par Cybrary ou SANS Institute commencent à se généraliser, mais leur déploiement reste inégal. « Former ne suffit pas, il faut aussi tester », précise Xu. Des simulations d’attaques (phishing, prompts malveillants) permettent d’évaluer la réactivité des équipes.

Deuxième axe, la restriction des accès. Les entreprises doivent adopter une approche « zero trust » pour l’IA : limiter les droits d’accès aux données sensibles, segmenter les environnements, et auditer régulièrement les permissions. Microsoft a d’ailleurs renforcé ses politiques en 2026, exigeant désormais une validation manuelle pour l’accès à certains types de données via Copilot. Troisième axe, le filtrage des requêtes. Des outils comme Darktrace ou Vectra permettent de détecter en temps réel les prompts suspects ou les tentatives d’extraction de données non autorisées. « L’idéal ? Combiner ces trois leviers avant même de déployer l’IA à grande échelle », souligne Xu.

Un enjeu qui dépasse Copilot : l’IA comme accélérateur de risques existants

Si la recommandation de Dennis Xu cible spécifiquement Copilot, le problème est bien plus large. L’IA générative agit comme un « accélérateur de risques », transformant des vulnérabilités anciennes en menaces critiques. Prenons l’exemple du phishing : avant l’IA, les emails de phishing étaient souvent truffés de fautes d’orthographe et de formulations maladroites. Aujourd’hui, des outils comme Copilot peuvent générer des messages quasi parfaits, personnalisés et adaptés au contexte professionnel de la victime. Résultat ? Le taux de clics sur les emails de phishing a augmenté de 40 % depuis 2024, selon Proofpoint.

Autre exemple, les fuites de données. Avant l’IA, un employé devait manuellement copier-coller des données sensibles pour les exfiltrer. Aujourd’hui, un simple prompt comme « Résume les contrats clients pour mon rapport » peut déclencher l’envoi de milliers de documents à un outil tiers. « L’IA a abaissé la barrière technique pour les attaques, mais elle a aussi abaissé celle des erreurs humaines », explique un consultant en cybersécurité. En 2026, 68 % des fuites de données en entreprise impliquent désormais un usage involontaire d’outils d’IA, selon une enquête de Verizon.

Ce qui est certain, c’est que l’IA n’est pas une menace en soi : elle est le miroir des failles que les entreprises n’ont pas su ou voulu corriger. Comme le résume Dennis Xu : « Copilot ne crée pas de risques, il les révèle. » La vraie question n’est donc plus de savoir si l’IA doit être utilisée, mais comment les organisations peuvent en tirer profit sans en subir les conséquences.