Bonjour, en tant que DSI, je cherche une méthode concrète pour encadrer l'utilisation des outils d'intelligence artificielle en entreprise. Comment vérifier qu'aucune donnée confidentielle ou appartenant à l'entreprise n'est envoyée vers des services externes ? Quelles mesures techniques et organisationnelles recommandez-vous ?
4 Answers
Il faut partir d’une approche « zero trust » : chaque utilisateur et chaque application n’accède qu’aux ressources explicitement autorisées. Une solution de type SASE peut aider à contrôler les accès, tandis que les outils de sécurité du poste et du cloud peuvent bloquer certains services SaaS non approuvés. Mais le sujet est aussi organisationnel : les règles, la formation et la responsabilité des utilisateurs sont essentielles.
La première brique à prévoir est une solution de prévention des fuites de données (DLP) capable d’identifier les informations sensibles et de contrôler leur transmission vers des services d’IA. Il faut aussi définir clairement les données qui peuvent ou non être utilisées avec ces outils.
Commencez par inventorier les données et les applications utilisées, puis classez les informations selon leur niveau de sensibilité. Définissez ensuite les politiques d’accès, déployez une solution DLP et autorisez uniquement les modèles de langage validés par l’entreprise. Cette démarche permet d’éviter de se limiter à un simple blocage des sites.
Une option consiste à héberger un modèle en interne et à fournir une interface contrôlée aux employés. Vous pouvez ensuite restreindre l’accès aux services publics, avec des filtres web ou DNS et des règles de sécurité sur les postes. Cela ne sera jamais parfaitement étanche : les filtres peuvent bloquer les grands services, mais pas forcément tous les outils existants. Il faut donc les considérer comme un complément à la DLP et à une politique interdisant explicitement l’envoi de données confidentielles depuis des appareils personnels.
Oui, je pense qu’il faut combiner les contrôles techniques avec une vraie politique interne, sinon les utilisateurs chercheront simplement un autre outil.