Faits: A. Au mois d'octobre 2001, Y._, médecin travaillant pour un laboratoire pharmaceutique à C._, a fait la connaissance, par l'intermédiaire de l'une de ses relations professionnelles, de A._. Celui-ci lui a expliqué qu'en raison de la position qu'il occupait à la Banque X._, établissement bancaire ayant son siège à B._ et une succursale à Genève, il lui était possible d'effectuer des placements bancaires à des conditions particulières, réservées à quelques clients privilégiés. A._ lui a remis sa carte de visite. Les deux hommes se sont rencontrés plusieurs fois. Y._ a vu A._ dans son bureau à la banque. Le 23 octobre 2001, Y._ a accepté de transférer un montant de 170'000 fr. sur un compte ouvert auprès de la banque au nom de A._. Il était convenu que trois mois plus tard, le 23 janvier 2002, il recevrait en retour la somme de 263'840 fr. Y._ déclara par la suite qu'il n'avait pas été surpris par cet intérêt pour le motif qu'il avait déjà participé à une opération plus ou moins analogue au Liban dans les années 1979-1980. A._ a remis à Y._ deux documents, l'un établi en son nom et l'autre à l'en-tête de la banque, destinés à permettre à Y._, en cas de décès de A._, de récupérer l'argent auprès de la banque sur le compte de ce dernier. A l'échéance convenue, soit le 23 janvier 2002, A._ a proposé à Y._ de reconduire son placement pour une durée de 45 jours. Ce dernier a toutefois souhaité retirer une somme de 43'840 fr. et replacer le solde de 220'000 fr. A._ a établi deux documents semblables aux précédents prévoyant la restitution de 255'860 fr. le 7 mars 2002. Par ailleurs, il a remis à Y._, le 29 janvier 2002, un chèque de 43'840 fr. tiré sur un compte au nom de lui-même et de son épouse auprès de la banque. Quelques jours plus tard, Y._ s'est présenté au guichet de la banque pour encaisser le chèque. La banque a refusé de payer. Y._ n'a plus pu joindre A._. S'étant adressé à la banque, celle-ci lui a répondu, le 13 février 2002, que les sommes d'argent remises à A._ l'avaient été à titre personnel et que ce dernier n'avait aucun pouvoir pour accepter ou gérer de l'argent pour le compte de la banque. B. Entré au service de la banque dans le courant de l'année 1968, A._ était devenu, à partir de 1992, directeur adjoint des équipements et des immeubles. Il disposait de cartes de visite à l'en-tête de la banque sur lesquelles figuraient les mentions suivantes: "Directeur Adjoint Immeubles et Equipements (Administration) International Wealth Management". Il occupait un bureau de grande dimension dans l'immeuble administratif de la banque à Genève et bénéficiait des services d'une secrétaire. Etant directeur adjoint des équipements et des immeubles de la banque, A._ n'était pas chargé de recevoir la clientèle, d'encaisser des fonds ou de gérer des avoirs. Dès 1998 cependant, la banque avait mis en place une politique d'encouragement pour que les employés amènent de nouveaux clients à la banque contre rémunération. Dans ce cadre, A._ a fourni quelques clients à la banque. Il servait parfois d'intermédiaire entre la banque et ses connaissances. Les huissiers se trouvant à l'entrée de la banque, tant au bâtiment d'exploitation que dans le bâtiment administratif, avaient pour instruction de ne pas laisser entrer dans la banque des personnes qui y étaient étrangères sans s'être assurés au préalable de leur identité, éventuellement du but de leur visite et de la personne qu'ils venaient rencontrer. Ils n'ont cependant pas signalé à leur supérieur les nombreuses visites que recevait A._. L'enquête a révélé que celui-ci s'était livré à des escroqueries à l'investissement pendant près de dix ans portant sur un montant de plus de 12'000'000 fr. Il a dilapidé les fonds, notamment en fréquentant les casinos. L'audit interne effectué à la suite de ces faits par la banque a révélé que plusieurs comportements suspects de A._ avaient été observés, mais que les informations n'avaient pas été réunies; chaque cas étant examiné isolément, aucune suite n'avait été donnée. Entendu devant la juridiction des prud'hommes, l'auteur du rapport d'audit a déclaré: "Mon rapport a mis en évidence des défauts d'organisation graves, des procédures qui n'étaient pas adéquates et qui ne correspondaient pas aux risques. Les huissiers n'ont pas rapporté à leur chef direct les nombreuses visites faites par A._. Ce fait est relevé comme une irrégularité dans mon rapport". Il a également regretté que le directeur général adjoint ait laissé la surveillance de A._ à un supérieur dont la personnalité était trop faible. A la suite de cette affaire, la direction générale de la banque a mis fin au plan d'encouragement créé en 1998 et les deux supérieurs hiérarchiques de A._ ont été licenciés. Par arrêt du 26 mars 2004, la Cour correctionnelle de Genève a condamné A._, notamment pour escroquerie au préjudice d'Y._, à une peine de cinq ans de réclusion. Cette décision fut confirmée successivement par la Cour de cassation cantonale, puis par le Tribunal fédéral. C. Estimant que la banque était responsable, Y._ a déposé, le 5 janvier 2006, une demande devant le Tribunal de première instance de Genève, réclamant le remboursement de la somme versée à A._ avec intérêts. Par jugement du 8 mai 2008, le Tribunal de première instance a entièrement fait droit à la demande. Il a estimé que la banque était responsable de l'acte illicite commis par A._, parce que celui-ci avait la qualité d'organe apparent de la banque (art. 55 al. 2 CC) et, de surcroît, parce que les conditions d'une responsabilité de l'employeur (art. 55 CO) étaient réunies. Saisie d'un appel de la banque, la Cour de justice du canton de Genève a confirmé ce jugement par arrêt du 5 décembre 2008, mais réduit le montant des dommages-intérêts de 30% pour tenir compte de la faute concomitante (art. 44 al. 1 CO) du demandeur, qui aurait dû se rendre compte du caractère insolite de l'opération, principalement en raison du taux d'intérêt garanti. D. La banque a déposé un recours en matière civile au Tribunal fédéral contre l'arrêt du 5 décembre 2008. Soutenant que ni les conditions d'une responsabilité pour les actes des organes, ni les conditions d'une responsabilité de l'employeur ne sont réunies, la recourante conclut à l'annulation de la décision attaquée et au rejet de la demande avec suite de frais et dépens. L'intimé a conclu au rejet du recours avec suite de frais et dépens.