Faits: A. Y._, domicilié à Genève, est un homme d'affaires actif dans le domaine de l'immobilier. En 1993, il a rencontré pour la première fois A._, qui lui a présenté une personne intéressée à une affaire immobilière. Après une coupure de quelques années, les deux hommes ont repris contact, en 1999, pour traiter à nouveau d'affaires immobilières. A cette occasion, A._ lui a indiqué que sa position au sein de la Banque X._, un établissement bancaire ayant son siège à B._ et une succursale à Genève, lui permettait d'effectuer des placements bancaires à des conditions particulières, réservées à quelques clients privilégiés. A._ lui a remis sa carte de visite et lui a fait visiter les locaux de la banque, notamment l'immeuble des Acacias où il avait son bureau, et l'a présenté à diverses personnes. Le 13 décembre 1999, Y._ a confié à A._ une somme de 110'000 fr. aux fins d'un placement qui devait lui permettre de récupérer le montant de 129'800 fr. au 17 janvier 2000, soit un taux d'intérêt de 18% sur la période concernée. A._ lui a remis un reçu établi par lui-même et attestant le versement effectué en ses mains en vue d'un placement financier auprès de la banque; il lui a également remis un document intitulé "Opération de caisse" portant l'en-tête de la banque, mentionnant le nom de A._ et le numéro de son compte, avec la case "retrait" cochée, ce qui devait permettre à Y._ de récupérer son argent auprès de la banque. Y._ a obtenu le remboursement de la somme remise et les intérêts convenus le jour prévu. L'opération s'est alors répétée trois fois avec des taux d'intérêts variant entre 13,5% et 19,4%. Le 22 février 2001, Y._ a remis à A._ une somme de 450'000 fr. en vue d'un placement à 45 jours devant lui permettre de récupérer le montant de 530'100 fr. le 7 avril 2001, soit un taux d'intérêt de 17,8% pour la période en question. Comme pour les opérations précédentes, A._ lui a remis les deux documents déjà indiqués. La somme promise n'a cependant pas été versée et A._ a proposé à Y._ de reconduire plusieurs fois ce placement. Lorsque tout contact a été rompu, Y._ s'est adressé à la banque pour obtenir le versement des sommes qui lui avaient été promises par A._. Le 12 février 2002, la banque lui a répondu que les sommes d'argent remises à A._ l'avaient été à titre personnel et que ce dernier n'avait aucun pouvoir pour accepter ou gérer de l'argent pour le compte de la banque. B. Entré au service de la banque dans le courant de l'année 1968, A._ était devenu, à partir de 1992, directeur adjoint des équipements et des immeubles. Il disposait de cartes de visite à l'en-tête de la banque sur lesquelles figuraient les mentions suivantes: "Directeur Adjoint Immeubles et Equipements (Administration) International Wealth Management". Il occupait un bureau de grande dimension dans l'immeuble administratif de la banque à Genève et bénéficiait des services d'une secrétaire. Etant directeur adjoint des équipements et des immeubles de la banque, A._ n'était pas chargé de recevoir la clientèle, d'encaisser des fonds ou de gérer des avoirs. Dès 1998 cependant, la banque avait mis en place une politique d'encouragement pour que les employés fournissent de nouveaux clients à la banque contre rémunération. Dans ce cadre, A._ a apporté quelques clients à la banque. Il servait parfois d'intermédiaire entre la banque et ses connaissances. Les huissiers se trouvant à l'entrée de la banque, tant au bâtiment d'exploitation que dans le bâtiment administratif, avaient pour instruction de ne pas laisser entrer dans la banque des personnes qui y étaient étrangères sans s'être assurés au préalable de leur identité, éventuellement du but de leur visite et de la personne qu'ils venaient rencontrer. Ils n'ont cependant pas signalé à leur supérieur les nombreuses visites que recevait A._. L'enquête a révélé que ce dernier s'était livré à des escroqueries à l'investissement pendant près de dix ans portant sur un montant de plus de 12'000'000 fr. Il a dilapidé les fonds, notamment en fréquentant les casinos. L'audit interne effectué à la suite de ces faits par la banque a révélé que plusieurs comportements suspects de A._ avaient été observés, mais que les informations n'avaient pas été réunies; chaque cas étant examiné isolément, aucune suite n'avait été donnée. Entendu devant la juridiction des prud'hommes, l'auteur du rapport d'audit a déclaré: "Mon rapport a mis en évidence des défauts d'organisation graves, des procédures qui n'étaient pas adéquates et qui ne correspondaient pas aux risques. Les huissiers n'ont pas rapporté à leur chef direct les nombreuses visites faites par A._. Ce fait est relevé comme une irrégularité dans mon rapport". Il a également regretté que le directeur général adjoint ait laissé la surveillance de A._ à un supérieur dont la personnalité était trop faible. A la suite de cette affaire, la direction générale de la banque a mis fin au plan d'encouragement créé en 1998 et les deux supérieurs hiérarchiques de A._ ont été licenciés. Par arrêt du 26 mars 2004, la Cour correctionnelle de Genève a condamné A._, notamment pour escroquerie au préjudice de Y._, à une peine de cinq ans de réclusion. Cette décision fut confirmée successivement par la Cour de cassation cantonale, puis par le Tribunal fédéral. C. Estimant que la banque était responsable, Y._ a déposé, le 5 janvier 2006, une demande devant le Tribunal de première instance de Genève, réclamant le remboursement de la somme versée à A._ avec intérêts. Par jugement du 8 mai 2008, le Tribunal de première instance a entièrement fait droit à la demande. Il a estimé que la banque était responsable de l'acte illicite commis par A._, parce que celui-ci avait la qualité d'organe apparent de la banque (art. 55 al. 2 CC) et, de surcroît, parce que les conditions d'une responsabilité de l'employeur (art. 55 CO) étaient réunies. Saisie d'un appel de la banque, la Cour de justice du canton de Genève a confirmé ce jugement par arrêt du 5 décembre 2008, mais réduit le montant des dommages-intérêts de 30% pour tenir compte de la faute concomitante (art. 44 al. 1 CO) du demandeur, qui aurait dû se rendre compte du caractère insolite de l'opération, principalement en raison du taux d'intérêt garanti. D. La banque a déposé un recours en matière civile au Tribunal fédéral contre l'arrêt du 5 décembre 2008. Soutenant que ni les conditions d'une responsabilité pour les actes des organes, ni les conditions d'une responsabilité de l'employeur ne sont réunies, la recourante conclut à l'annulation de la décision attaquée et au rejet de la demande avec suite de frais et dépens. L'intimé a conclu au rejet du recours avec suite de frais et dépens.