Faits:
A. Y._, qui est domiciliée en France et exploitait une boutique de prêt-à-porter à Saint-Tropez, est entrée en contact, par l'intermédiaire d'amis, avec A._ en 1997. Ce dernier était directeur adjoint des équipements et des immeubles à la succursale genevoise de Banque X._, établissement bancaire britannique dont le siège se trouve à ... (ci-après: la banque).
A._ a expliqué à Y._ qu'il fallait disposer d'au moins un million de francs pour pouvoir ouvrir un compte auprès de cette banque. Néanmoins, il pouvait recevoir de plus petits montants et les verser sur son propre compte auprès de la banque, où il regroupe les avoirs de plusieurs petits épargnants, ce qui permettrait à Y._ de bénéficier des services de la banque.
Entre le 6 décembre 1997 et le 22 novembre 2000, Y._ a remis diverses sommes à A._, représentant un total de 215'945 fr. et 2'850'000 FF. Il s'agissait des économies de Y._, retirées des avoirs qu'elle avait auprès du Credit Suisse et non déclarées au fisc français.
Lors des premiers versements en décembre 1997, A._ lui a remis un document indiquant que les fonds étaient déposés sur son propre compte et que s'il décédait, Y._ ou sa mère pourrait retirer les fonds à l'aide de bulletins établis par lui. A chaque remise de fonds, A._ a ensuite délivré à Y._ un document à l'en-tête de la banque destiné à lui permettre de retirer le capital investi avec les intérêts.
A._ disposait de cartes de visite à l'en-tête de la banque sur lesquelles figuraient les mentions suivantes:
"Directeur Adjoint
Immeubles et Equipements
(Administration)
International Private Banking".
Il occupait un bureau de grande dimension dans l'immeuble administratif de la banque à Genève et bénéficiait des services d'une secrétaire. Il y a reçu Y._ et ses autres clients.
Les huissiers se trouvant à l'entrée de la banque, tant au bâtiment d'exploitation de la place ... que dans le bâtiment administratif, avaient pour instruction de ne pas laisser entrer dans la banque des personnes qui y étaient étrangères sans s'être assurés au préalable de leur identité, éventuellement du but de leur visite et de la personne qu'ils venaient rencontrer. Ils se montraient toutefois moins stricts avec l'enregistrement des visites de A._.
Etant directeur adjoint des équipements et des immeubles de la banque, A._ n'était pas chargé de recevoir la clientèle, d'encaisser des fonds ou de gérer des avoirs. Dès 1998, la banque a cependant mis en place une politique d'encouragement pour que les employés amènent de nouveaux clients à la banque contre rémunération. Les employés qui amenaient des clients ne devenaient cependant pas gestionnaires ou intermédiaires entre les nouveaux clients et la banque. A._ a fournis quelques clients à cette dernière.
En mai 2001, les avoirs de Y._ ont dépassé la limite de 1'000'000 fr. et elle a décidé d'ouvrir un compte à son nom auprès de la banque. Elle y a rencontré le directeur, dans le bâtiment de la place ..., et le compte a été ouvert par une gestionnaire. Il est alors apparu que A._ n'était pas en mesure de restituer les sommes que lui avait remises Y._.
L'enquête a révélé que A._, qui avait dilapidé les fonds en fréquentant notamment les casinos, s'était livré à des escroqueries à l'investissement pendant près de dix ans portant sur plus de 11'000'000 fr. Par arrêt du 26 mars 2004, la Cour correctionnelle de Genève l'a condamné, notamment pour l'escroquerie commise au préjudice de Y._, à une peine de cinq ans de réclusion. Cette décision fut confirmée successivement par la Cour de cassation cantonale, puis par le Tribunal fédéral.
B. Estimant que la banque était responsable, Y._ a déposé devant le Tribunal de première instance de Genève, le 22 mars 2006, une demande en paiement, réclamant les sommes qu'elle n'avait pas pu recouvrer.
Statuant par jugement du 31 janvier 2008, le Tribunal de première instance, considérant que A._ avait la qualité d'organe apparent, a accordé à la demanderesse l'entier de ses conclusions.
Saisie d'un appel de la banque, la Cour de justice du canton de Genève a confirmé ce jugement par arrêt du 17 octobre 2008.
C. La banque a déposé un recours en matière civile auprès du Tribunal fédéral contre l'arrêt du 17 octobre 2008. La recourante conclut, sous suite de frais et dépens, à l'annulation de la décision attaquée et au déboutement de Y._ de toutes ses conclusions. L'effet suspensif sollicité a été accordé par décision du 4 décembre 2008.
L'intimée a conclu au rejet du recours sous suite de dépens.

Considérant en droit:
1. 1.1 Interjeté par la partie qui a succombé dans ses conclusions libératoires (<ref-law>) et dirigé contre un jugement final (<ref-law>) rendu en matière civile (<ref-law>) par une autorité cantonale de dernière instance (<ref-law>) dans une affaire pécuniaire dont la valeur litigieuse atteint le seuil de 30'000 fr. (<ref-law>), le recours est en principe recevable, puisqu'il a été déposé dans le délai (art. 45 al. 1 et 100 al. 1 LTF) et la forme (<ref-law>) prévus par la loi.
1.2 Le recours peut être interjeté pour violation du droit, tel qu'il est délimité par les art. 95 et 96 LTF. Le Tribunal fédéral applique le droit d'office (<ref-law>). Il n'est donc limité ni par les arguments soulevés dans le recours, ni par la motivation retenue par l'autorité précédente; il peut admettre un recours pour un autre motif que ceux qui ont été invoqués et il peut rejeter un recours en adoptant une argumentation différente de celle de l'autorité précédente (<ref-ruling> consid. 1.1 p. 104). Compte tenu de l'exigence de motivation contenue à l'art. 42 al. 1 et 2 LTF, sous peine d'irrecevabilité (<ref-law>), le Tribunal fédéral n'examine en principe que les griefs invoqués; il n'est pas tenu de traiter, comme le ferait une autorité de première instance, toutes les questions juridiques qui se posent, lorsque celles-ci ne sont plus discutées devant lui (<ref-ruling> consid. 1.1 p. 105). Il faut observer ici que l'arrêt attaqué est fondé sur une double motivation. La cour cantonale a considéré que la responsabilité de la banque était engagée sur la base de l'<ref-law>, son directeur adjoint ayant revêtu la qualité d'organe apparent; si ce chef de responsabilité n'existait pas, la cour a considéré que la banque devait alors être condamnée sur la base de l'<ref-law> (responsabilité de l'employeur). Se conformant à l'exigence de recevabilité posée par la jurisprudence (<ref-ruling> consid. 6.3 p. 120 s.), la recourante a attaqué chacune de ces deux motivations alternatives.
Le Tribunal fédéral ne peut pas entrer en matière sur la violation d'un droit constitutionnel ou sur une question relevant du droit cantonal ou intercantonal si le grief n'a pas été invoqué et motivé de manière précise par la partie recourante (<ref-law>).
1.3 Le Tribunal fédéral conduit son raisonnement juridique sur la base des faits établis par l'autorité précédente (<ref-law>). Il ne peut s'en écarter que si les faits ont été établis de façon manifestement inexacte - ce qui correspond à la notion d'arbitraire: <ref-ruling> consid. 4.3 p. 63 - ou en violation du droit au sens de l'<ref-law> (<ref-law>).
La partie recourante qui entend s'écarter des constatations de l'autorité précédente doit expliquer de manière circonstanciée en quoi les conditions d'une exception prévue par l'<ref-law> seraient réalisées, faute de quoi il n'est pas possible de tenir compte d'un état de fait qui diverge de celui contenu dans la décision attaquée (cf. <ref-ruling> consid. 1.4 p. 140). Aucun fait nouveau ni preuve nouvelle ne peut être présenté à moins de résulter de la décision de l'autorité précédente (<ref-law>).
En l'espèce, la recourante invoque sur plusieurs points, en se référant à des pièces du dossier, une constatation arbitraire des faits. Les points soulevés n'étant pas de nature à modifier la décision - comme cela ressortira de l'analyse sur le fond -, il n'y a pas lieu d'entrer en matière puisque la correction de l'état de fait ne peut être demandée que si elle est susceptible d'influer sur le sort de la cause (<ref-law>).
1.4 Le Tribunal fédéral ne peut aller au-delà des conclusions des parties (<ref-law>). Toute conclusion nouvelle est irrecevable (<ref-law>).
2. 2.1 Le recours concerne une action en responsabilité extracontractuelle formée par une personne domiciliée en France à l'encontre d'une banque ayant son siège en Grande-Bretagne. Il se pose donc la question du droit applicable, qui doit être examinée d'office (<ref-ruling> consid. 2 p. 39). Lorsque l'action est fondée sur un acte illicite de nature patrimoniale, la jurisprudence, interprétant l'<ref-law>, a admis qu'il fallait appliquer le droit du lieu où se trouve la valeur patrimoniale au moment de l'acte illicite (<ref-ruling> consid. 3b p. 107). En l'espèce, la succursale de la banque est située à Genève et les fonds ont été déposés dans cette ville en main du directeur adjoint, qui les a détournés de leur destination en ce lieu. Le droit suisse est donc applicable.
2.2 Que l'intimée invoque exclusivement devant le Tribunal fédéral l'application de l'<ref-law> ou de l'<ref-law> permet une clarification liminaire. Comme il lui avait été expliqué qu'elle ne pouvait pas ouvrir un compte en son nom auprès de la banque, mais qu'elle ne pouvait déposer ses fonds auprès de celle-ci que par l'intermédiaire du directeur adjoint, lequel agissait en son propre nom mais pour son compte à elle (représentation indirecte), l'intimée ne tente pas de soutenir qu'un rapport contractuel serait né directement entre elle et la banque. Il en résulte qu'il n'y a pas lieu d'introduire dans l'analyse juridique les règles qui pourraient conduire à admettre l'existence d'un rapport contractuel sur la base des actes accomplis par un prétendu représentant qui pourrait avoir des pouvoirs apparents (<ref-law>).
2.3 La cour cantonale a admis que le directeur adjoint avait la qualité d'organe apparent et que la responsabilité de la banque devait donc être retenue sur la base de l'<ref-law>.
Il n'y a pas lieu de se référer ici à l'<ref-law>, cité par l'intimée, puisqu'il s'agit d'une disposition spéciale et répétitive conçue pour les sociétés anonymes au sens des <ref-law> et que la recourante d'espèce n'est pas une société anonyme de droit suisse.
La qualité d'organe, au sens de l'<ref-law>, peut découler de trois sources différentes:
- l'organe est tout d'abord la personne ou le groupe de personnes qui, à l'instar des membres du conseil d'administration dans une société anonyme, sont chargés par la loi ou par les statuts de gérer et de représenter la personne morale; on parle alors d'un organe formel (<ref-ruling> consid. 5a p. 435);
- est aussi un organe celui qui, sans en porter le titre, exerce effectivement la fonction de l'organe, à l'instar de l'actionnaire unique d'une société anonyme qui dirige lui-même sa société; on parle alors d'un organe de fait (<ref-ruling> consid. 3 p. 571);
- est également organe celui qui a été désigné par la personne morale comme disposant des pouvoirs de l'organe, alors même que ce n'est pas le cas; on parle alors d'un organe apparent (<ref-ruling> consid. 3 p. 571).
En l'espèce, la cour cantonale a considéré que le directeur adjoint n'avait pas la qualité d'organe en vertu de la loi ou des statuts. On considère généralement que cette qualité ne peut être reconnue à des employés que s'ils dépendent directement de l'organe suprême chargé de la gestion et de la représentation, à savoir le conseil d'administration dans le cas d'une société anonyme (<ref-ruling> consid. 3a p. 31; <ref-ruling> consid. 3 p. 571). Un directeur adjoint, qui est lui-même subordonné à un autre employé, se trouve dans une position par trop subalterne pour que la qualité d'organe formel lui soit reconnue. Il a été ensuite admis que le directeur adjoint n'avait pas la qualité d'un organe de fait. Il n'a en effet pas été constaté que son pouvoir de décision autonome excédait la gestion d'affaires courantes dans un domaine strictement délimité, son activité étant par ailleurs soumise au contrôle et à la surveillance de ses supérieurs. Il n'y a pas lieu de revenir sur ces points, qui ont été tranchés conformément au droit.
En revanche, la cour cantonale a retenu que le directeur adjoint avait la qualité d'organe apparent. Elle semble avoir perdu de vue qu'en parlant d'apparence on vise seulement l'élément d'où on tire la qualité d'organe, mais sans que cela ne change en rien le contenu de la notion d'organe. Est un organe celui qui participe effectivement et d'une façon décisive à la formation de la volonté sociale, durablement et dans un vaste domaine dépassant les affaires courantes (<ref-ruling> consid. 3a p. 31; <ref-ruling> consid. 4b p. 227). La question est donc de savoir si la banque a créé l'apparence que son directeur adjoint avait la qualité d'organe formel ou les pouvoirs d'un organe de fait qu'il ne possédait pas en réalité.
Sur ce point, la cour cantonale s'est manifestement fourvoyée. Elle a attaché une importance décisive à la carte de visite émise par la banque. Or, cette carte montre expressément que son employé n'a que la qualité de directeur adjoint, c'est-à-dire une position subordonnée dans la hiérarchie. Que l'on ait pu penser qu'il s'occupait de gestion de fonds est absolument sans pertinence, puisque les gestionnaires sont normalement des employés. Que l'on ait pu croire qu'il était chargé de la gestion de comptes de clients ne lui donne en aucun cas la qualité d'organe, mais seulement d'employé avec un certain domaine de compétence. Qu'il ait eu un grand bureau et une secrétaire à sa disposition ne permet en rien de le qualifier d'organe, plutôt que d'employé exerçant une fonction de cadre. Une banque peut parfaitement, pour des raisons de prestige, attribuer de vastes bureaux à ses cadres, sans que cela ne permette en aucune façon de déduire qu'ils ont les pouvoirs d'un organe. L'inscription d'une signature au registre du commerce ne suffit pas pour créer l'apparence d'un organe (<ref-ruling> consid. 4a p. 573). Des explications données sur l'ouverture d'un compte propre et de l'exemple d'une amie, il semble même que l'intimée avait compris que le directeur adjoint n'avait même pas le pouvoir d'accomplir lui-même un acte de gestion courante comme ouvrir un compte à une cliente. En tout cas, on ne voit pas que la banque, par son fait, ait donné l'apparence que le directeur adjoint était davantage qu'un employé subordonné exerçant une fonction de cadre. Rien ne permet de penser qu'il avait le pouvoir d'exercer lui-même une influence décisive sur la formation de la volonté sociale durablement et dans de vastes domaines dépassant la gestion d'affaires courantes.
Dès lors que le directeur adjoint n'était ni un organe formel, ni un organe de fait, ni un organe apparent, la responsabilité de la banque ne peut pas être engagée sur la base de l'<ref-law>.
2.4 Il reste à examiner, selon la motivation alternative, si la responsabilité de la banque est engagée sur la base de l'<ref-law> (responsabilité de l'employeur pour ses employés).
Il est établi et non contesté que le directeur adjoint était employé de la banque, qu'il a commis des actes illicites (pour lesquels il a été condamné sur le plan pénal) qui ont causé le dommage invoqué par l'intimée.
La première question litigieuse est de savoir s'il a agi dans l'accomplissement de son travail (<ref-law>). Depuis longtemps, la jurisprudence a souligné que l'employé devait avoir agi dans l'accomplissement de son travail, et non pas à l'occasion de celui-ci (<ref-ruling> consid. 4a p. 106). Cette notion est cependant assez difficile à cerner. On admet qu'il faut une relation directe et fonctionnelle entre l'activité confiée au travailleur et l'acte dommageable que celui-ci commet (Werro, Commentaire romand, Code des obligations, 2003, n° 15 ad <ref-law>; Schnyder, Basler Kommentar, Obligationenrecht, 4e éd. 2007, n° 13 ad <ref-law>; Brehm, Berner Kommentar, 2e éd. 1998, n° 21 ad <ref-law>). Pour que la responsabilité soit exclue, il ne suffit cependant pas que l'employé se soit écarté des instructions reçues ou qu'il ait causé intentionnellement un dommage. Sur le cas d'école d'un ouvrier appelé dans un appartement pour y effectuer des travaux et qui saisit cette occasion pour commettre un vol, la doctrine est divisée. Certains admettent que l'employeur est responsable (par exemple: Werro, Commentaire romand, Code des obligations, 2003, n° 15 ad <ref-law>; Brehm, Berner Kommentar, 4e éd. 2007, n° 28 ad <ref-law>), alors que d'autres soutiennent le contraire (Schnyder, Basler Kommentar, Obligationenrecht, 2e éd. 1998, n° 12 ad <ref-law>; Rey, Ausservertragliches Haftpflichtrecht, 4e éd. 2008, n° 915). La difficulté de ce cas d'école réside dans le fait que le vol est une activité totalement étrangère aux travaux que l'ouvrier devait exécuter dans l'appartement.
En l'espèce, on ne se trouve pas en présence d'une situation aussi délicate. Certes, l'employé était chargé des immeubles et des équipements de la banque, et non pas de gérer les avoirs de clients. Il n'empêche que la banque, par un plan d'encouragement, avait incité tous ses employés, dès 1998, à apporter à la banque de nouveaux clients, moyennant rémunération. Cette activité était évidemment facultative, mais cela n'enlève rien au fait qu'en l'espèce elle était englobée dans les missions que l'employé pouvait accomplir dans le cadre de son travail. Il a d'ailleurs été constaté que le directeur adjoint avait effectivement amené quelques clients, ce qui montre bien qu'il pouvait aussi accomplir cette activité dans le cadre de son travail, alors même qu'il était chargé en principe des immeubles et des équipements. Ainsi, lorsque le directeur adjoint a essayé d'amener des clients à la banque, comme il l'a fait avec l'amie de l'intimée, puis avec l'intimée elle-même lorsqu'elle a réuni un capital d'un million de francs, il agissait dans le cadre de son travail. Il a simplement utilisé cette activité pour détourner en sa faveur des fonds reçus, plutôt que de les transmettre à la banque. En l'espèce, il y avait ainsi un lien fonctionnel suffisamment étroit entre son travail facultatif et l'acte dolosif qu'il a décidé de commettre. Il y a donc lieu d'admettre que le comportement illicite a été adopté dans le cadre de l'activité consistant à rechercher des clients.
Le cas d'espèce n'est pas comparable avec la décision citée par la recourante (arrêt 4A_54/2008 du 29 avril 2008). Dans cet autre cas, l'employé avait clairement dit et montré qu'il agissait à titre privé et en dehors de son activité professionnelle. Dans le cas d'espèce, le directeur adjoint a toujours fait référence à sa qualité d'employé de la banque et il a clairement montré que son but était d'amener de l'argent et des clients à la banque, tout en faisant profiter l'intimée des avantages que cette banque pouvait offrir. L'activité du directeur adjoint n'apparaît donc pas comme étrangère à son travail.
2.5 Les conditions de la responsabilité de l'employeur étant réunies, il faut examiner si celui-ci a apporté la preuve libératoire ouverte par l'<ref-law>.
La cour cantonale a retenu que la banque n'était pas parvenue à prouver qu'elle avait surveillé son employé avec toute la diligence commandée par les circonstances (défaut dans la cura in custiendo). Il faut rappeler ici qu'un défaut dans l'organisation suffit pour que la preuve échoue (<ref-ruling> consid. 3a p. 462).
Il a été constaté en fait - d'une manière qui lie le Tribunal fédéral (<ref-law>) - que le travail confié à l'employé impliquait qu'il ne reçoive aucun client; or, il a été établi qu'il recevait régulièrement ses propres clients dans les bureaux de la banque et que le nombre de ses rendez-vous allait croissant. Pour assurer la sécurité des valeurs et la confidentialité des données, il est évident que des inconnus ne doivent pas pouvoir se promener librement dans les bureaux d'une banque. En l'espèce, les huissiers, dans tous les bâtiments de la banque, étaient bien chargés de contrôler les entrées, mais il a été établi que ce contrôle s'était relâché en ce qui concerne les rendez-vous de ce directeur adjoint. Qu'un employé qui ne devait pas recevoir de clientèle donne des rendez-vous aussi fréquents était de nature à susciter des interrogations; cette situation commandait à tout le moins que les huissiers s'enquièrent du but de la visite, pour s'assurer que celle-ci s'inscrivait bien dans le cadre du travail confié au directeur adjoint, c'est-à-dire le domaine des immeubles et des équipements. Cette mesure simple aurait permis de mettre à jour les agissements de l'employé. Une banque doit toujours compter avec le risque qu'un employé utilise les locaux et le papier à son en-tête pour se livrer à des opérations de type bancaire à son seul profit et à l'insu de la banque; il lui incombe donc de prendre les mesures de surveillance que l'on peut raisonnablement exiger. Le supérieur direct de l'employé qui avait appris que celui-ci recevait beaucoup de visites et qui a même surpris son subordonné alors qu'il recevait de l'argent dans son bureau, n'a entrepris aucune investigation sérieuse à ce sujet. Dans ces circonstances, la cour cantonale n'a pas violé le droit fédéral en concluant que l'employeur n'était pas parvenu à apporter la preuve qu'il avait surveillé son employé avec toute la diligence commandée par les circonstances. La banque semble d'ailleurs en avoir été immédiatement consciente, puisque, en raison de cette affaire, elle a licencié deux supérieurs de l'employé et durci les instructions données aux huissiers.
Comme les agissements délictueux ont duré près de dix ans, il est possible qu'une réaction adéquate ait pu intervenir avant le premier versement de l'intimée. L'employeur n'a donc pas non plus prouvé que la diligence due n'aurait pas empêché la survenance de tout ou partie du dommage.
2.6 Au vu des arguments présentés par la recourante, il faut encore se demander si la cour cantonale a violé le droit fédéral en ne retenant pas une faute concomitante (<ref-law>) à la charge de l'intimée.
Il est notoire que les banques qui ne sont pas des banques de détail (retail banking) exigent un avoir minimum pour l'ouverture d'un compte. L'intimée, dont l'activité professionnelle est sans rapport avec le monde bancaire, pouvait s'imaginer, sans manquer à l'attention commandée par les circonstances, que la recourante avait placé ce seuil à un million (en réalité, il semble qu'il s'agissait du seuil à partir duquel le directeur adjoint recevait une rémunération pour avoir apporté le client). Elle pouvait aussi penser que la banque, pour pallier les rigueurs de ce seuil, tolérait un procédé permettant aux personnes, disposant d'un certain avoir, de le déposer néanmoins auprès de la banque en attendant d'avoir une somme suffisante pour ouvrir un compte. Certes, l'intimée a fait confiance au directeur adjoint, mais elle n'avait aucune raison de douter de sa probité. Il n'a pas été établi qu'elle aurait disposé d'indices lui permettant de soupçonner qu'il dilapidait l'argent, notamment au casino. Comme les rendez-vous avaient toujours lieu dans les locaux de la banque et qu'elle recevait, à chaque remise de fonds, un document à l'en-tête de la banque, elle pouvait s'imaginer que tout cela se passait au su et avec l'accord de cette dernière. Que les documents remis à chaque versement ne soient pas très clairs ne permet pas de conclure à une faute de l'intimée; il est d'ailleurs fréquent que les documents bancaires, souvent traduits d'une langue étrangère, ne soient pas faciles à comprendre pour les non-initiés. On ne saurait exiger d'un client, comme le suggère la recourante, qu'il entreprenne des investigations sur la situation personnelle de l'employé de banque avec lequel il entre en contact. Il ne ressort pas des constatations cantonales que l'intimée aurait su avec quel montant exact une amie a pu ouvrir un compte auprès de la banque. La recourante fait grand cas du fait que l'intimée a retiré de l'argent en espèces de son compte auprès du Credit Suisse pour le remettre au directeur adjoint; cette manière de procéder découle cependant à l'évidence du fait que les fonds n'étaient pas déclarés au fisc; dans l'hypothèse où le fisc viendrait à découvrir qu'elle avait eu un compte auprès du Credit Suisse, elle voulait éviter, en procédant de la sorte, que l'on puisse retrouver les fonds déposés auprès de la nouvelle banque; il n'y a rien là qui conduise à mettre en doute la bonne foi de l'intimée, ce d'autant plus qu'on ne voit pas pourquoi elle aurait confié son argent au directeur adjoint si elle avait soupçonné les agissements incorrects de celui-ci. Sans doute l'intimée a-t-elle pris un certain risque en acceptant que ses fonds soient provisoirement déposés sur le compte personnel du directeur adjoint; cependant, tout placement de fonds suppose un certain rapport de confiance et, dans les circonstances d'espèce, on ne peut pas y voir une faute de l'intimée.
En ne retenant pas de faute concomitante, la cour cantonale n'a donc pas violé le droit fédéral.
En conséquence, la responsabilité doit être admise sur la base de l'<ref-law> et le recours doit donc être rejeté.
3. Les frais judiciaires et les dépens sont mis à la charge de la partie qui succombe (art. 66 al. 1 et 68 al. 1 et 2 LTF).

Par ces motifs, le Tribunal fédéral prononce:
1. Le recours est rejeté.
2. Les frais judiciaires fixés à 10'000 fr. sont mis à la charge de la recourante.
3. La recourante versera à l'intimée une indemnité de 12'000 fr. à titre de dépens.
4. Le présent arrêt est communiqué aux parties et à la Chambre civile de la Cour de justice du canton de Genève.
Lausanne, le 10 février 2009
Au nom de la Ire Cour de droit civil
du Tribunal fédéral suisse
La Présidente: Le Greffier:
Klett Piaget