Le lien
L’IA ne supprime pas la question de la sécurité. Elle la pose autrement.
Vos équipes utilisent déjà des assistants d’IA. La vraie question n’est pas de savoir s’il faut les autoriser, mais quelles données sortent de l’entreprise, vers qui, et sous quel cadre. C’est précisément la question que nous traitons depuis toujours en cybersécurité.
Pourquoi les deux sujets n’en font qu’un
Six raisons pour lesquelles votre prestataire cybersécurité est le bon interlocuteur sur l’IA, et pas seulement votre éditeur de logiciels.
Raison 1
Les données sortent
Un contrat déposé dans un assistant pour être résumé, un fichier client collé dans une fenêtre de conversation, un bilan soumis à un outil gratuit : ces données quittent l’entreprise, souvent vers un service hébergé hors Union européenne. Personne n’a de mauvaise intention, et pourtant la fuite est réelle.
Raison 2
L’ombre s’installe
Le « shadow AI » est le shadow IT de cette décennie : des outils adoptés en dehors de tout cadre, souvent sur les téléphones personnels. Interdire ne fonctionne pas, cela déplace simplement l’usage hors de votre visibilité.
Raison 3
Les accès se déplacent
Un assistant branché sur votre messagerie ou vos fichiers hérite des droits de la personne qui l’utilise. Une mauvaise segmentation ou un compte trop permissif devient soudain une porte d’accès automatisée à l’ensemble de vos documents.
Raison 4
Les attaques s’industrialisent
Le message de phishing n’a plus de fautes d’orthographe, imite le style de votre directeur financier et cite le nom de vos clients. La voix au téléphone peut être synthétique. Les réflexes d’il y a cinq ans ne suffisent plus.
Raison 5
La décision se délègue
Une réponse plausible n’est pas une réponse juste. Une analyse de CV, un devis, un diagnostic technique produits par une IA sans relecture engagent votre responsabilité comme s’ils avaient été rédigés par un collaborateur.
Raison 6
Le cadre légal se referme
RGPD pour les données personnelles, règlement européen sur l’IA pour les usages à risque, exigences contractuelles de vos grands comptes. Les obligations existent déjà, même quand l’usage est informel.
Interdire ou encadrer
Les deux postures ont un coût. Une seule vous laisse la maîtrise.
L’usage devient invisible
- Les outils migrent sur les téléphones personnels
- Aucune trace de ce qui sort de l’entreprise
- Plus personne ne signale un doute
- Les gains de productivité passent à côté
- Aucune montée en compétence des équipes
- La direction croit le sujet réglé
L’usage devient pilotable
- Des outils choisis, hébergés dans un cadre connu
- Une charte d’usage courte et réellement lue
- Les données sensibles identifiées et exclues
- Les cas d’usage utiles industrialisés
- Des équipes formées, qui savent quand s’arrêter
- Un sujet suivi, avec des indicateurs
Notre démarche, étape par étape
Comptez quatre à six semaines pour un cadre complet et applicable.
Cartographie des usages réels
Entretiens courts par service pour établir ce qui est déjà utilisé, par qui, et pour quoi. Sans jugement : l’objectif est d’avoir la photographie honnête, pas de sanctionner. C’est presque toujours plus large que ce que la direction imagine.
Qualification des risques
Pour chaque usage relevé : quelles données sont concernées, où elles partent, quel impact en cas de fuite, quelle obligation légale s’applique. Les usages anodins sont écartés, les deux ou trois vrais sujets ressortent.
Charte d’usage
Un document d’une à deux pages, écrit pour être lu : ce qui est permis, ce qui est interdit, ce qui demande un accord. Avec des exemples concrets tirés de vos propres métiers, et non un règlement générique recopié.
Cadre technique
Choix des outils retenus, hébergement, comptes professionnels plutôt que comptes personnels, cloisonnement des accès, journalisation. C’est là que le travail rejoint celui que nous faisons sur votre système d’information.
Formation et contrôle
Une session par service pour installer les réflexes, puis un point périodique pour vérifier que le cadre tient et l’ajuster aux nouveaux outils. Un cadre non revisité devient obsolète en moins d’un an.
Questions fréquentes
Notre assureur pose-t-il des questions sur l’IA ?
De plus en plus. Les questionnaires cyber intègrent désormais des lignes sur les outils d’IA utilisés et sur l’existence d’une charte d’usage. Un cadre écrit est devenu un argument à la souscription.
Combien de temps pour mettre en place un cadre ?
Quatre à six semaines, dont l’essentiel de la charge nous incombe. Vos responsables de service consacrent une heure chacun à la cartographie, la direction une réunion de validation.
Faut-il un référent IA en interne ?
Une personne identifiée, à qui l’on pose la question « est-ce que je peux mettre ça dedans ? », change tout. Ce n’est pas un poste, c’est un rôle : quelques heures par mois, souvent portées par la même personne que la sécurité.
