Les nouvelles menaces hybrides : l’entreprise française face à la conflictualité diffuse

Dans ma première vie professionnelle, au Barreau de Paris, j’ai appris que les crises majeures naissent rarement d’un événement isolé. Elles émergent d’une accumulation de signaux faibles que l’on n’a pas voulu voir. Dans ma seconde vie tant en qualité de Lieutenant-Colonel dans la réserve citoyenne au sein de la Gendarmerie Nationale et en qualité d’expert sur l’éthique de l’intelligence artificielle et la gouvernance des risques numériques, je constate une convergence troublante : les entreprises françaises sont confrontées à une forme de conflictualité qui ne dit pas son nom, mais qui produit déjà ses effets. Nous appelons cela des menaces hybrides.

Mais derrière le concept, il y a une réalité simple : l’entreprise est devenue un espace stratégique. Je suis frappée par une évolution silencieuse : les dirigeants que je rencontre ne parlent plus seulement de croissance, d’innovation ou de transformation digitale. Ils parlent d’exposition. De vulnérabilité. D’instabilité. Comme si, sans déclaration formelle, nous avions changé d’époque. La conflictualité ne passe plus nécessairement par les États au sens classique. Elle s’infiltre dans les réseaux, dans les chaînes d’approvisionnement, dans les narratifs numériques. Elle emprunte les canaux du commerce, de la technologie, de l’information. Et au cœur de ce nouvel échiquier : l’entreprise. Pas comme victime collatérale. Comme point d’impact stratégique.

Quand le droit, la sécurité et la technologie se rencontrent

Pendant longtemps, nous avons compartimenté. Le droit traitait la conformité. La sécurité traitait l’intrusion. La communication traitait la réputation. La direction générale traitait la stratégie. Ce découpage n’est plus opérant, car les menaces hybrides combinent :

• cyberattaques sophistiquées,

• exploitation juridique (contentieux, régulation, divulgation),

• campagnes informationnelles,

• manipulation de données,

• instrumentalisation des vulnérabilités humaines.

En tant qu’ancienne avocate, je suis frappée par la judiciarisation croissante des crises cyber. Une fuite de données n’est plus seulement un incident technique : c’est un risque pénal, réglementaire, contractuel et réputationnel simultané. En tant que Lieutenant Colonel dans la RC, je reconnais les logiques d’actions coordonnées, parfois liées à des intérêts étatiques ou para-étatiques. L’ANSSI ne parle plus seulement de cybercriminalité opportuniste, mais de campagnes structurées. En tant qu’experte en éthique de l’IA, j’observe que la technologie amplifie ces dynamiques.

L’hybridation des menaces : un changement de nature

Nous avons longtemps séparé les registres : la cybercriminalité d’un côté, la guerre économique de l’autre, la désinformation ailleurs. Cette segmentation n’opère plus. Les menaces hybrides combinent intrusion technique, captation de données, instrumentalisation médiatique et pression réglementaire. Elles exploitent la dépendance numérique et la vitesse des réseaux sociaux. Elles visent moins la destruction que la déstabilisation. Ce glissement est majeur. Il signifie que la cybersécurité n’est plus seulement un sujet IT. Elle devient un sujet de souveraineté. Et donc, un sujet de gouvernance d’entreprise.

L’entreprise comme infrastructure stratégique

Ce que nous vivons est un basculement conceptuel. Une entreprise industrielle innovante, une scale-up technologique ou un opérateur d’infrastructures n’est plus seulement un acteur économique. Elle devient un nœud critique d’un système national. Énergie, télécoms, santé, finance : ces secteurs structurent la stabilité sociale. Les attaquer, ce n’est pas simplement extorquer une rançon. C’est tester la résilience d’un pays. Dans un environnement interconnecté, la supply chain devient une ligne de front. Une vulnérabilité chez un sous-traitant peut produire un effet domino. L’attaque ne cherche pas forcément le maillon fort, mais le maillon accessible. La géopolitique s’insinue dans les contrats fournisseurs.

L’IA : accélérateur d’asymétrie

Un autre phénomène transforme l’équation : l’intelligence artificielle. Elle démocratise la sophistication. Phishing hyper-personnalisé, deepfakes crédibles, automatisation des intrusions : la barrière technologique s’abaisse. Dans le même temps, les entreprises utilisent l’IA pour détecter, anticiper, corriger. Nous assistons à une course algorithmique permanente.

L’Union européenne a tenté d’anticiper ces dérives avec l’AI Act. C’est un signal politique fort : l’innovation ne peut être dissociée de la stabilité stratégique. La norme ne remplacera jamais la maturité et responsabilité stratégique des dirigeants. La vraie question est ailleurs : sommes-nous prêts à gouverner des systèmes que nous ne maîtrisons qu’imparfaitement ?

La bataille cognitive : le front invisible

La menace la plus insidieuse n’est pas toujours technique. Une campagne coordonnée peut fragiliser une marque, amplifier un conflit social, manipuler un récit industriel sensible. La réputation devient une surface d’attaque. Nous entrons dans l’ère de la conflictualité cognitive.

L’entreprise française parce qu’elle occupe une place centrale dans notre modèle social devient un vecteur symbolique. L’attaquer, c’est parfois chercher à fracturer le débat public. Ce déplacement impose une nouvelle compétence stratégique : comprendre les dynamiques informationnelles autant que les architectures réseau.

Ce que cela dit de notre époque

Nous avons longtemps cru que la mondialisation numérique diluait les tensions. Elle les a transformées. Le pouvoir circule désormais dans les flux de données, dans les dépendances technologiques, dans les récits viraux. L’entreprise, parce qu’elle concentre innovation, capital et information, se retrouve au cœur de ces flux. Elle devient un acteur géopolitique sans mandat politique. C’est une responsabilité nouvelle.

La bataille de la réputation : nouveau front opérationnel

Aujourd’hui, le terrain est aussi numérique et également cognitif. Une entreprise peut être fragilisée par une intrusion technique, mais aussi par une campagne d’influence coordonnée, par une amplification artificielle d’un conflit interne, ou encore par une fuite opportunément exploitée. La réputation est devenue une surface d’attaque. Et la compliance ne suffit plus si elle est purement procédurale. Elle doit être stratégique.

Je rencontre des dirigeants lucides. Mais souvent isolés face à ces enjeux. Ils savent que leur chaîne d’approvisionnement est une vulnérabilité systémique, leur dépendance technologique crée une exposition géopolitique, leur image publique peut être instrumentalisée... Mais les outils de gouvernance restent fragmentés. Or, la menace est transversale. Elle traverse le droit, la cybersécurité, la communication, la stratégie internationale, la culture interne. Nous ne pouvons plus penser ces dimensions séparément.

Vers une gouvernance augmentée

Forte de mes expériences croisées, je suis convaincue d’une chose : la réponse ne sera ni uniquement technique, ni uniquement juridique. Elle sera culturelle.

Elle suppose :

• des COMEX formés aux risques hybrides ;

• une éthique intégrée dans la conception des systèmes d’IA ;

• une coopération renforcée public-privé ;

• une approche réputationnelle pensée comme un enjeu stratégique ;

• et surtout, une gouvernance capable d’anticiper plutôt que de subir.

La résilience ne s’improvise pas le jour de la crise. Elle se construit dans la lucidité.

Quel fil rouge pour les prochains mois ?

Si cette chronique pose un constat, les prochaines devront explorer les réponses :

• Comment intégrer la géopolitique dans la gouvernance d’entreprise ?

• Faut-il créer des comités stratégiques dédiés aux risques hybrides ?

• La souveraineté numérique est-elle compatible avec la compétitivité globale ?

• Comment former les COMEX à la conflictualité cognitive ?

• L’entreprise peut-elle devenir un acteur stabilisateur dans un monde fragmenté ?

Mon intuition est la suivante : les organisations qui survivront ne seront pas les plus protégées, mais les plus lucides. Lucides sur leur exposition. Lucides sur leur rôle sociétal. Lucides sur le fait que la neutralité stratégique n’existe plus vraiment.

De la protection à la posture

La question n’est plus simplement : comment se défendre ? Elle devient : quelle posture adopter dans un monde où économie et géopolitique se superposent ? Les menaces hybrides ne sont pas un accident de parcours. Elles sont le symptôme d’une recomposition du pouvoir. Et si l’entreprise française accepte ce diagnostic, alors la cybersécurité ne sera plus perçue comme une ligne budgétaire contrainte mais comme un pilier de sa crédibilité stratégique. Le mois prochain, je vous proposerai d’explorer un prolongement naturel de cette réflexion : la fin de l’innocence numérique des conseils d’administration.