Résumé en 3 points

• Les dangers sont réels, pas imaginaires : des failles officielles de 2025-2026 montrent qu'une IA peut envoyer vos données à un inconnu, parfois sans que vous cliquiez.
• Vos employés utilisent déjà l'IA en cachette : en moyenne, 8,2 Go de données partent chaque mois vers des assistants non contrôlés, souvent via des comptes personnels.
• Le prix affiché trompe et l'endroit où sont stockées vos données décide de votre sécurité : un abonnement pas cher peut cacher 30 $ de plus par personne, et un hébergeur étranger expose vos informations à une autre loi.

CE QU'IL FAUT RETENIR EN 30 SECONDES

À retenir : Avant de payer un abonnement d'IA en 2026, trois vérités comptent vraiment. (1) Les failles de sécurité sont réelles, pas des films de science-fiction. (2) Vos employés utilisent déjà ces outils en cachette, et ils envoient vos documents vers des applis que personne ne contrôle. (3) Le prix affiché est un piège, et l'endroit où sont stockées vos données décide de votre sécurité juridique. Comprenez ces trois points, et vous déciderez en confiance.

PETIT LEXIQUE EN CLAIR (pour comprendre sans être expert)

• IA générative : un logiciel qui écrit du texte, répond à des questions ou fabrique des images à partir de ce qu'on lui demande (ex. ChatGPT, Copilot, Gemini, Claude, Le Chat).
• Faille / CVE : un défaut de sécurité connu, doté d'un numéro officiel (CVE = « faille officiellement enregistrée »).
• Injection d'invites : on cache une consigne dans un mail ou un fichier ; l'IA la suit comme une demande normale et peut agir à votre insu.
• Shadow AI (l'« IA dans l'ombre ») : un employé utilise un assistant d'IA avec son compte personnel, pour des données du travail, sans le dire à l'informatique.
• CLOUD Act : loi américaine qui peut forcer un géant technologique des États-Unis à livrer des données, même stockées hors des USA.
• RGPD : loi européenne qui protège la vie privée et les données personnelles.
• Hébergement : l'endroit (pays, serveur) où vos données sont stockées.
• MFA / SSO : se connecter avec deux preuves d'identité (ex. mot de passe + code reçu) / connexion unique via l'entreprise.
• DPA : contrat qui engage le fournisseur à protéger vos données.

ANALYSE D'OUVERTURE

En 2026, la même question revient dans presque tous les bureaux : « On nous dit d'adopter l'intelligence artificielle, mais quel outil choisir ? » On vous montre ChatGPT, Copilot, Gemini, Claude ou l'assistant français Le Chat. Les démonstrations sont bluffantes, les prix semblent abordables, et la pression d'être moderne se fait sentir.

Mais choisir une IA pour votre travail, ce n'est pas comme acheter une imprimante ou un logiciel de bureautique. Sous une interface qui a l'air innocente, il y a de vrais risques : vos données peuvent partir sans que vous le vouliez, l'outil peut coûter bien plus cher que le prix affiché, et la loi qui protège vos informations dépend d'un détail que personne ne vous explique — l'endroit où vos données sont stockées.

BNTIC News a compilé les faits vérifiables (études, failles officielles, éditeurs, sources gouvernementales) pour vous donner une boussole honnête. Pas de peur inutile, pas de promesse miracle. Juste ce que vous devez savoir avant de signer.

1. Les dangers ne sont plus une fiction.

L'assistant d'IA peut être piégé. Le danger numéro un, selon le groupe OWASP (une référence mondiale en sécurité), s'appelle « l'injection d'invites ». Traduction concrète : une personne malveillante cache une consigne dans un e-mail ou un document. L'IA la lit comme une instruction normale et, sans que vous fassiez le moindre clic, elle peut envoyer vos fichiers à quelqu'un d'autre.

En 2025 et 2026, cela ne relève plus de la théorie. Une faille officielle nommée EchoLeak (numéro CVE-2025-32711, gravité 9,3 sur 10) a permis à un simple courriel d'extraire des données d'entreprise via l'outil Microsoft 365 Copilot, sans aucune action de l'utilisateur. Une autre faille (CVE-2025-53773, gravité 9,6) a montré qu'un message caché dans un code informatique pouvait faire exécuter des commandes à distance sur un ordinateur.

À retenir : un outil mal réglé, ou mal utilisé, peut devenir une porte ouverte sur vos données — sans que personne ne s'en aperçoive.

2. L'« IA dans l'ombre », c'est déjà votre réalité.

Le plus grand danger, ce n'est pas l'outil. C'est la façon dont on l'utilise. Dans votre organisation, des employés copient-colle déjà des documents de travail dans ChatGPT ou un autre assistant, avec leur compte personnel, sans le dire au service informatique. On appelle cela le « Shadow AI ».

L'entreprise de cybersécurité Netskope suit aujourd'hui plus de 1 550 assistants d'IA différents utilisés dans les entreprises (contre 317 début 2025). En moyenne, une organisation envoie 8,2 gigaoctets (Go) de données par mois vers ces outils — l'équivalent d'environ 1 600 photos de documents. Or 47 % des utilisateurs le font avec un compte personnel non protégé, et 40 % des fichiers envoyés contiennent des données personnelles ou bancaires.

À retenir : plus de la moitié de l'usage de l'IA en entreprise échappe au contrôle de votre informatique. C'est votre réalité, même si personne ne vous l'a dite.

3. Le vrai prix dépasse toujours l'étiquette.

Les offres pour le grand public commencent à 0 $ (versions gratuites) ou environ 20 $ par mois. Mais pour une équipe, le prix affiché trompe. Microsoft 365 Copilot Entreprise coûte 30 $ de plus par employé et par mois, en plus d'une licence Microsoft 365 déjà payante. ChatGPT Entreprise n'a pas de prix public et tournerait autour de 60 $ par employé et par mois selon des contrats connus (avec un minimum de 150 personnes). L'assistant français Le Chat, hébergé en France, propose un abonnement Pro à 14,99 € par mois et un abonnement équipe à 24,99 € par personne.

À retenir : multipliez le prix par employé, puis par douze. La facture annuelle peut être salée — et c'est souvent après la signature qu'on découvre les suppléments.

4. Où sont stockées vos données ? C'est une question de loi.

Qui peut lire vos informations ? Les grands fournisseurs disent, pour les formules payantes destinées aux entreprises, qu'ils n'utilisent pas vos données pour entraîner leurs logiciels (OpenAI, Microsoft, Google, Mistral). Mais les versions gratuites ou personnelles peuvent utiliser vos échanges, sauf si vous désactivez l'option.

Surtout, l'endroit où vos données sont stockées compte énormément. Si vous passez par un géant américain, vos données peuvent être concernées par une loi américaine (le CLOUD Act) qui autorise les autorités des États-Unis à y accéder, même si elles sont stockées ailleurs. Si vous choisissez un hébergeur européen comme Mistral (données en France, certifié), vos données sont protégées par la loi européenne sur la vie privée (RGPD).

À retenir : pour une mairie, un hôpital ou une PME qui manipulent les données de citoyens ou de clients, cette différence n'est pas un détail technique : c'est votre responsabilité.

5. La loi sur l'IA : utile, mais pensée pour l'Europe.

L'Europe a adopté une loi sur l'IA appliquée par étapes : interdiction des usages dangereux et formation des équipes depuis février 2025, règles pour les grands modèles depuis août 2025, et règles strictes pour les systèmes à risque élevé à partir du 2 août 2026.

Point important pour notre public : cette loi vise les acteurs du marché européen. Une PME ou une administration burkinabè n'y est pas directement soumise, sauf si elle déploie un système en Europe. Pour nous, l'essentiel reste de protéger nos données et de suivre le cadre en construction au Burkina Faso.

À retenir : ne cherchez pas la protection hors de chez vous. Votre premier bouclier, c'est votre propre usage et le cadre national.

Encadré — Ce qu'on ne sait pas encore et ce qui change selon le pays

• Les prix de ChatGPT Entreprise ne sont pas publiés : les montants cités sont des estimations.

• Les chiffres sur l'« IA dans l'ombre » viennent d'entreprises de cybersécurité qui observent leurs propres clients ; dans les structures sans surveillance, le vrai taux est sans doute plus élevé.

• La loi européenne ne s'applique pas directement au Burkina Faso ; on se réfère au cadre national (SN@DEN, ANSSI, Plan d'action IA).

• Certaines options (stockage des données dans votre région, serveurs certifiés) dépendent des pays couverts ; la connexion Internet limite aussi l'usage (couverture 4G ~46 % au Burkina en 2024).

• Les assistants ne maîtrisent pas encore bien nos langues locales (mooré, dioula, fulfuldé, gulmancema) ; c'est en cours.

ÉTAPES PRATIQUES (avant de signer)

1. Faites l'inventaire de vos données sensibles (citoyens, clients, salaires, finances) et décidez ce qui ne doit jamais partir vers une IA.
2. Interdisez les comptes personnels pour les données du travail ; ne gardez que les outils approuvés par l'informatique.
3. Exigez un engagement écrit : contrat de protection des données (DPA), mention « vos données ne servent pas à l'entraînement », option « aucune conservation » si possible.
4. Regardez où sont stockées vos données : Europe / RGPD (Mistral, données en France) plutôt qu'États-Unis / CLOUD Act, selon la sensibilité.
5. Activez la double vérification (MFA), la connexion unique (SSO) et l'enregistrement des connexions ; donnez le minimum de droits.
6. Formez vos équipes — l'ANSSI BF rappelle que « l'humain est le premier pare-feu » (jusqu'à 90 % des attaques évitées par un bon comportement).
7. Testez avant de déployer : essayez de piéger l'outil par une consigne cachée, vérifiez ses réponses.
8. Tenez à jour : inventaire des usages, revue trimestrielle, alerte sur l'« IA dans l'ombre ».

COÛTS (2026, par personne et par mois — indicatif)

*Conversions approximatives (juillet 2026, à vérifier) : 1 $ ≈ 600 FCFA ; 1 € ≈ 655 FCFA. Pour 50 employés, Copilot Entreprise représente ~1 500 $/mo (hors base M365), soit ~900 000 FCFA/mois.*

LIMITES (ce que l'IA ne fait pas)

• Elle peut se tromper : l'IA invente parfois des faits ; toujours vérifier auprès d'une source fiable.
• Pas de conseil juridique ou fiscal : elle ne remplace pas un expert habilité.
• Dépend de l'Internet et de l'électricité : couverture 4G ~46 % au Burkina (2024) ; usages hors-ligne limités.
• Langues locales encore faibles : mooré, dioula, fulfuldé, gulmancema en phase de ressources (atelier mars 2026).
• Vous enferme chez un fournisseur et les coûts de sortie ne sont pas toujours simples.
• Les versions gratuites sont limitées pour le travail sérieux (quotas, utilisation de vos données).

RISQUES (cybersécurité — restons prudents)

• Injection d'invites : consigne cachée dans un mail, document ou code → fuite de données (CVE-2025-32711, CVE-2025-53773).
• Fuite de données / « IA dans l'ombre » : 8,2 Go/mois en moyenne, 47 % via comptes perso, 40 % de fichiers personnels.
• Chaîne d'approvisionnement & agents : dépendances piégées, outils disposant de trop de droits.
• Exposition légale : CLOUD Act (fournisseurs US), RGPD (Europe), données citoyens non protégées.
• Dépendance & disponibilité : panne, hausse de prix, perte de maîtrise des données.
• Conseil BNTIC : traitez la confiance envers l'IA comme une question de sécurité ; validation humaine obligatoire sur les actes importants.

CONCLUSION

Choisir un outil d'IA en 2026 ne se résume pas à comparer des démos. Les failles sont réelles (CVE 2025-2026), l'usage caché par les employés est massif, les coûts se cumulent par personne, et l'endroit où sont stockées vos données conditionne votre sécurité. Pour un professionnel, un agent public ou une PME au Burkina Faso et en Afrique francophone, la bonne question n'est pas « quel est le meilleur modèle ? » mais « quel outil protège mes données, respecte mon cadre et reste abordable ? ».

À retenir : l'IA peut vous faire gagner un temps précieux — à condition de l'adopter avec lucidité, pas avec naïveté. La fiche de décision BNTIC (voir plus bas) résume ces critères en une page.

SOURCES

9. OWASP — Top 10 des dangers des LLM (2025) : https://owasp.org/www-project-top-10-for-large-language-model-applications/
10. Vectra AI — Injection d'invites : https://www.vectra.ai/topics/prompt-injection
11. Cycode — Vulnérabilités IA 2026 :http://https://cycode.com/blog/ai-security-vulnerabilities/
12. Netskope — Rapport Shadow AI (13 mars 2026) : https://www.netskope.com/resources/cloud-and-threat-reports/cloud-and-threat-report-shadow-ai-and-agentic-ai-2025
13. Cloud Security Alliance — IA dans l'ombre (30 mai 2026) : https://labs.cloudsecurityalliance.org/research/csa-research-note-shadow-ai-apps-enterprise-20260530-csa-sty/
14. OpenAI — Vie privée entreprise (8 janv 2026) : https://openai.com/enterprise-privacy/
15. MTDPCE / Cybersecurity Mag Afrique — Plan d'action IA (27 août 2025) : https://cybersecuritymag.africa/burkina-faso-lance-elaboration-de-son-premier-plan-daction-sur-ia
16. ANSSI Burkina Faso / Cybersecurity Mag Afrique — PSD 2027-2031 (8 juin 2026) : https://cybersecuritymag.africa/anssi-burkina-faso-adopte-un-plan-pour-la-cybersecurite-et-la-gouvernance-numerique/
17. MTDPCE / We Are Tech — Budget numérique 2026 (30 déc 2025) : https://www.wearetech.africa/actualites/fils/actualites/gestion-publique/burkina-faso-109-millions-de-dollars-pour-les-projets-numeriques-en-2026
18. We Are Tech — IA et langues locales (25 mars 2026) : https://www.wearetech.africa/fr/fils/actualites/tech/burkina-faso-vers-une-ia-adaptee-aux-realites-linguistiques-locales
19. Min. Armées (France) / Reuters / Gend.co — Accord Mistral AI (8 janv 2026) : https://www.gend.co/blog/mistral-ai-french-defence-framework
20. UE — Calendrier de la loi sur l'IA : https://artificialintelligenceact.eu/responsibilities-of-european-commission-ai-office/
21. LeFaso.net — ANSSI, Semaine du numérique 2025 (18 nov 2025) : https://lefaso.net/spip.php?article142421