IA et cybersécurité en France : les grandes entreprises s’équipent, les petites restent à l’écart, selon l’OCDE

En France, l’intelligence artificielle protège de plus en plus les systèmes informatiques des grandes entreprises, mais elle reste presque absente des petites structures. C’est le constat qui ressort d’une série statistique publiée le 26 octobre 2026 par l’Organisation de coopération et de développement économiques (OCDE), qui mesure l’usage de l’IA dans la cybersécurité des entreprises de ses pays membres. D’un côté, plus d’une grande entreprise française sur quatre déclare utiliser l’IA pour défendre ses systèmes. De l’autre, moins de deux petites entreprises sur cent en font autant. Ce contraste mérite qu’on s’y arrête, car les cyberattaques, elles, ne font pas de distinction selon la taille de leur cible.

Ce que dit l’étude de l’OCDE

L’OCDE s’appuie sur sa base de données sur l’accès et l’usage des technologies de l’information par les entreprises, dans son édition d’octobre 2026. Les chiffres décrivent des usages déclarés par les entreprises elles-mêmes, et non une mesure de l’efficacité réelle de ces outils. Premier enseignement : en 2023, 17,7 % des entreprises de la zone OCDE ont subi au moins un incident de sécurité lié aux technologies de l’information, une proportion en hausse par rapport à 2018. Autrement dit, près d’une entreprise sur cinq a déjà été confrontée à un incident.

Deuxième enseignement : en 2025, 5,3 % des entreprises de la zone utilisaient l’intelligence artificielle pour leur sécurité informatique. Cela représente environ un quart des entreprises qui recourent déjà à l’IA d’une manière ou d’une autre. Les usages cités relèvent de deux grandes familles : l’apprentissage automatique pour détecter et prévenir les attaques, et l’authentification des utilisateurs fondée sur l’IA, qui aide par exemple à repérer une connexion inhabituelle.

Les grandes entreprises françaises en avance

La France se place sous la moyenne de l’OCDE pour l’usage global de l’IA de défense, avec 3,16 % des entreprises concernées, contre 5,3 % dans la zone OCDE et 3,9 % dans l’Union européenne. Mais cette moyenne cache un écart considérable selon la taille.

Chez les grandes entreprises, celles de 250 salariés et plus, la France dépasse même la moyenne de l’OCDE : 28,9 % d’entre elles utilisent l’IA pour leur sécurité informatique, contre 26,7 % dans la zone OCDE et 26,1 % dans l’Union européenne. Les grands comptes français disposent d’équipes dédiées et de budgets sécurité conséquents.

Cette avance s’explique aussi par la pression réglementaire. La directive européenne NIS2 impose aux entités qu’elle vise de traiter la sécurité de leur chaîne d’approvisionnement, et l’ANSSI a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui décline les mesures recommandées pour atteindre ces objectifs. Les grandes structures, directement concernées, ont donc de bonnes raisons d’investir dans des outils de détection plus rapides.

Pourquoi les petites entreprises restent à l’écart

Le tableau est très différent pour les petites entreprises, celles de 10 à 49 salariés. En France, seules 1,8 % d’entre elles utilisent l’IA pour leur sécurité informatique. C’est moins que la moyenne européenne, de 2,5 %, et environ deux fois moins que la moyenne de l’OCDE, de 3,7 %. Pour les entreprises de taille moyenne, la proportion tombe à 9,6 % dans la zone OCDE, ce qui montre que le fossé se creuse progressivement avec la taille, mais que le décrochage français concerne surtout les plus petites.

Plusieurs raisons peuvent expliquer ce retard, même si l’étude ne les mesure pas directement. D’abord, le coût et la complexité : un outil de détection fondé sur l’IA demande du temps pour être configuré et surveillé, et une petite équipe n’a pas toujours une personne dédiée à l’informatique. Ensuite, la perception du risque : beaucoup de dirigeants pensent encore que les pirates visent les grandes cibles, alors que les attaques automatisées frappent sans distinction.

À noter : l’IA de défense ne figure dans aucune exigence de la directive NIS2, et rien n’oblige une petite entreprise à s’en équiper. L’écart observé n’est donc pas une infraction, mais souvent une absence de choix, faute de temps et de moyens.

Ce que cela change pour les salariés et les clients

Pour un salarié, la différence se joue au quotidien. Dans une grande entreprise équipée, une connexion suspecte a plus de chances d’être repérée rapidement. Dans une petite structure sans outil de détection, c’est souvent un collaborateur qui doit repérer l’anomalie, parfois trop tard.

Pour un client, l’enjeu est la protection de ses données. Une petite entreprise qui stocke des adresses ou des coordonnées bancaires peut être une cible intéressante, précisément parce qu’elle est moins bien défendue.

Cela ne veut pas dire que l’IA est la seule réponse. Des gestes simples restent les plus efficaces, et l’IA de défense vient en complément de ces bases, elle ne les remplace pas.

Que faire si l’on dirige une petite structure

La première étape consiste à faire un état des lieux simple : quels outils utilise-t-on, qui a accès à quoi, et où sont stockées les données sensibles ?

La deuxième étape, c’est de sécuriser les accès : activer l’authentification à deux facteurs partout où c’est possible, et supprimer les comptes des anciens collaborateurs.

La troisième étape, c’est de former son équipe aux réflexes de base : ne pas cliquer sur un lien inattendu, vérifier l’expéditeur d’un message urgent, signaler tout comportement étrange d’un ordinateur.

Enfin, pour aller plus loin, il existe des solutions de détection adaptées aux petites structures. Avant de signer, demandez une démonstration, vérifiez ce que l’outil détecte réellement, et assurez-vous que quelqu’un pourra réagir en cas d’alerte. Un outil que personne ne surveille n’apporte pas grand-chose.

Le message de l’étude n’est donc pas que les petites entreprises françaises sont négligentes. C’est qu’elles avancent avec moins de moyens, face à des menaces de plus en plus automatisées.

Frequently Asked Questions

Que mesure exactement l’étude de l’OCDE publiée en octobre 2026 ?

Elle mesure la part des entreprises qui déclarent utiliser l’intelligence artificielle pour leur sécurité informatique, à partir de la base de l’OCDE sur l’usage des technologies de l’information par les entreprises.

Pourquoi les grandes entreprises françaises sont-elles en avance ?

Selon les chiffres relayés, 28,9 % des grandes entreprises françaises utilisent l’IA pour leur sécurité, contre 26,7 % en moyenne dans la zone OCDE. Elles disposent d’équipes et de budgets dédiés, et sont davantage concernées par la directive NIS2 et le référentiel ReCyF de l’ANSSI.

Une petite entreprise doit-elle obligatoirement utiliser l’IA pour sa sécurité ?

Non, rien ne l’y oblige : l’IA de défense ne figure dans aucune exigence de la directive NIS2. Les gestes de base restent essentiels avant même d’envisager un outil fondé sur l’IA.