Les marques de luxe accélèrent l'adoption de l'IA alors que les risques de sécurité s'intensifient

Les maisons de luxe investissent massivement dans l'intelligence artificielle au moment même où les cyberattaques pilotées par l'IA réduisent à quelques heures le délai entre la divulgation d'une vulnérabilité et son exploitation. Une enquête 2026 de Bain & Co. auprès de 35 dirigeants de 23 groupes de luxe montre que 22 % classent désormais l'adoption de l'IA parmi leurs trois priorités stratégiques, un bond par rapport à 5 % deux ans plus tôt, tandis que 61 % la placent dans leur top dix. Cette poussée d'investissement vise à relancer l'efficacité opérationnelle et la croissance après une reprise de la demande fragile, mais les spécialistes de la sécurité avertissent que la précipitation à déployer des outils d'IA grand public et internes ouvre des portes que les criminels apprennent à exploiter.

Le secteur a déjà absorbé une série de violations médiatisées. En 2025, des pirates ont dérobé les données privées de potentiellement des millions de clients de Gucci, Balenciaga et Alexander McQueen lors d'une attaque contre leur maison mère française Kering, qui a signalé l'incident aux autorités de protection des données. Dior, Harrods et Marks & Spencer ont également été touchés durant la même période. Ces intrusions reposaient sur des tactiques conventionnelles, mais la vague suivante est accélérée par la technologie même que les entreprises de luxe adoptent.

Les criminels weaponisent l'IA à des points précis

Cynthia Kaiser, vice-présidente principale de la société anti-rançongiciel Halcyon et ancienne directrice adjointe du cyber au FBI, affirme que les groupes criminels établis ne confient pas l'ensemble de leurs opérations à des agents d'IA autonomes. Ils insèrent la technologie à des étapes spécifiques : concevoir des leurres d'hameçonnage plus convaincants, automatiser des scripts d'ingénierie sociale et scanner les vulnérabilités plus vite que ne le peuvent des opérateurs humains. « Ils utilisent l'IA à des points vraiment précis pour attaquer », dit-elle. La fenêtre entre la publication d'une faille et son exploitation par les criminels s'est dramatiquement raccourcie, et les campagnes de rançongiciel peuvent désormais se dérouler en moins d'une heure.

Kari Koskinen, maître de conférences à l'École de commerce de l'Université Aalto, trace une distinction que bien des conseils d'administration n'ont pas encore intégrée. La sûreté de l'IA demande si un système se comporte comme prévu dans des conditions normales ; la sécurité de l'IA demande s'il peut résister à une manipulation délibérée, à des tentatives d'accès non autorisé ou à être retourné contre son opérateur. Pour les marques, cela signifie décider précisément quels outils chaque modèle peut appeler, quelles actions il peut exécuter et avec quelle rapidité ces permissions peuvent être révoquées en cas de problème.

Le règlement européen sur l'IA redéfinit le paysage de la responsabilité

Charles Kerrigan, associé au cabinet d'avocats CMS spécialisé dans les technologies émergentes, explique que la responsabilité pour dommage causé par l'IA se répartit généralement en trois catégories. La responsabilité contractuelle régit la relation entre une maison de mode et ses fournisseurs technologiques. La responsabilité envers les tiers couvre le préjudice causé à des personnes ou entités sans lien contractuel, où les juges apprécieront la prévisibilité. La responsabilité réglementaire découle du règlement européen sur l'IA, des directives sur la cybersécurité et du droit de la protection des données. Les cas les plus contentieux, selon Kerrigan, impliqueront des dommages à des tiers en l'absence de contrat.

Pour les entreprises de luxe qui achètent des modèles à usage général plutôt que d'entraîner les leurs, le règlement sur l'IA apporte un degré de clarté. La législation s'inspire des principes de sécurité des produits et « repousse délibérément la responsabilité vers les fournisseurs de modèles », explique Kerrigan, car des fournisseurs tels qu'OpenAI, Anthropic ou Google possèdent l'expertise pour évaluer leurs propres systèmes. Cela n'accorde pas aux utilisateurs en aval un bouclier total. Une défaillance peut provenir de données propriétaires de mauvaise qualité fournies par la maison de mode ou du déploiement d'un modèle pour une tâche pour laquelle il n'a jamais été conçu.

Kerrigan ajoute que les groupes multinationaux aux opérations substantielles dans l'UE adopteront probablement le règlement sur l'IA comme base de conformité mondiale, appliquant ses normes dans toutes les juridictions pour simplifier la supervision. La Commission européenne a signalé que l'application cohérente dans les États membres sera une priorité une fois les principales dispositions du règlement pleinement en vigueur.

Vestiaire Collective modèle un accès circonscrit

Chez la plateforme de revente Vestiaire Collective, le directeur technique Rémi Bouchez a mis en œuvre un principe de moindre privilège pour chaque déploiement d'IA. Les outils sont confinés aux informations que l'employé ou le système concerné était déjà autorisé à voir. « L'objectif n'est pas un accès large », dit-il. « Il s'agit de permettre des cas d'usage utiles et bien délimités, tout en maintenant les mêmes standards que nous attendons de tout autre système. » Bouchez sépare la permission d'un agent de lire des données de sa capacité à effectuer des actions significatives, passer une commande, modifier un prix, expédier un produit, et traite chaque connecteur tiers comme un point d'exposition supplémentaire : plus de données en mouvement, plus d'identifiants, plus de dépendance aux fournisseurs, plus de modes de défaillance potentiels.

Les équipes sécurité doivent être associées plus en amont

Kaiser soutient que les directeurs de la sécurité de l'information sont systématiquement intégrés aux projets d'IA trop tard, après que les décisions d'architecture ont verrouillé le risque. Une implication précoce force des arbitrages explicites entre fonctionnalité et sécurité avant que le code n'atteigne la production. « Il faut simplement avoir la sécurité à la table dès le premier jour », dit-elle. L'hygiène de base reste le socle : correctifs en temps voulu, authentification forte, segmentation du réseau et surveillance continue des comportements anormaux. Ironie du sort, se défendre contre les attaques accélérées par l'IA requiert aussi de l'IA, des outils de sécurité capables d'opérer à la vitesse machine pour détecter et contenir les intrusions avant qu'elles ne se propagent.