Un contrat à résumer, un email à reformuler, du code à corriger, un fichier client à analyser… En quelques secondes, les outils d’IA générative peuvent faire gagner un temps précieux aux collaborateurs.
Mais derrière ces usages devenus presque quotidiens se pose une question essentielle : quelles données sont réellement partagées avec ces outils ?
L’adoption rapide de l’intelligence artificielle crée de nouveaux flux d’informations que les entreprises doivent désormais intégrer à leur stratégie de cybersécurité. L’enjeu n’est pas nécessairement d’interdire l’IA, mais de permettre son utilisation sans perdre le contrôle sur les données de l’entreprise.
Quand un simple prompt devient un risque pour vos données
L’utilisation d’une IA générative peut sembler anodine. Pourtant, pour obtenir une réponse pertinente, l’utilisateur est souvent tenté de lui fournir du contexte.
Et ce contexte peut contenir des informations confidentielles : données clients, informations financières, documents contractuels, données RH, code source, informations stratégiques ou encore identifiants techniques.
Le risque ne vient donc pas uniquement de l’outil utilisé, mais aussi de ce que les collaborateurs lui transmettent.
L’ANSSI rappelle d’ailleurs que l’envoi d’un texte, d’une image ou d’un document vers un service d’IA générative tiers implique de transmettre ces informations à une infrastructure qui n’est pas maîtrisée par l’entreprise. Elle recommande ainsi de ne pas intégrer de données sensibles dans les requêtes adressées à des services grand public.
Une problématique qui prend encore plus d’importance avec la multiplication des usages de l’IA dans les métiers.
Pourquoi les usages de l’IA changent-ils la protection des données ?
Les entreprises disposent déjà de nombreuses mesures pour protéger leurs informations : gestion des droits d’accès, chiffrement, sécurisation des postes de travail, contrôle des emails ou encore surveillance des transferts de fichiers.
Mais l’IA générative crée de nouveaux usages.
Un collaborateur peut copier quelques lignes d’un contrat directement dans une interface web, transmettre un document complet à un assistant IA ou connecter un outil à différentes sources d’informations internes.
Le risque devient encore plus important avec le développement de l’IA agentique. Ces systèmes ne se limitent plus à répondre à une question : ils peuvent accéder à différentes applications, traiter plusieurs sources d’information et effectuer certaines actions au nom de l’utilisateur.
Plus les IA sont intégrées au système d’information, plus la question de la maîtrise des flux de données devient stratégique.
DLP : qu’est-ce que la prévention contre la fuite de données ?
La DLP, ou Data Loss Prevention, regroupe les technologies et politiques permettant d’identifier les informations sensibles et de prévenir leur divulgation ou leur transfert non autorisé.
Traditionnellement, une stratégie DLP permet par exemple de surveiller ou de contrôler :
- l’envoi de données sensibles par email ;
- le transfert de fichiers vers des services cloud ;
- la copie de données vers des périphériques externes ;
- le partage de documents confidentiels ;
- certaines actions réalisées depuis les postes de travail.
Avec l’essor de l’IA générative, ces dispositifs doivent désormais prendre en compte un nouveau canal potentiel de sortie de l’information : les outils d’IA eux-mêmes.
L’objectif peut notamment être de détecter qu’un utilisateur tente de transmettre certaines catégories de données à un service non autorisé et, selon les règles définies par l’entreprise, d’alerter, de bloquer ou d’encadrer cette action.
La DLP suffit-elle à sécuriser les usages de l’IA ?
Non. La technologie seule ne peut pas répondre à l’ensemble des risques.
Une stratégie efficace repose sur plusieurs niveaux de protection complémentaires.
Identifier les données à protéger. Toutes les informations n’ont pas le même niveau de sensibilité. L’entreprise doit savoir quelles données sont confidentielles, personnelles, stratégiques ou soumises à des contraintes particulières.
Définir les outils autorisés. Une solution d’IA intégrée et administrée par l’entreprise ne présente pas nécessairement les mêmes conditions d’utilisation qu’un service grand public utilisé librement par un collaborateur.
Mettre en place des règles techniques. La DLP et les autres outils de cybersécurité permettent de traduire une partie de la politique de sécurité en contrôles concrets.
Sensibiliser les collaborateurs. Un utilisateur doit comprendre pourquoi certaines informations ne doivent pas être copiées dans un prompt et savoir quels outils utiliser selon le contexte. La sensibilisation constitue d’ailleurs un élément central de la stratégie de cybersécurité, comme nous l’abordons dans notre article « La sensibilisation, pilier stratégique de la cybersécurité ».
Surveiller l’évolution des usages. L’IA évolue rapidement. Les règles définies aujourd’hui devront être adaptées à mesure que de nouveaux assistants et agents s’intègrent aux environnements de travail.
La protection des données face à l’IA doit donc associer gouvernance, technologie et sensibilisation.
De la gouvernance IA à la protection des données
Définir une charte IA ou une politique d’utilisation est une première étape essentielle : elle permet de préciser les outils autorisés, les usages acceptés et les informations qui peuvent ou non être transmises.
Mais encore faut-il pouvoir appliquer ces règles.
C’est précisément là que la cybersécurité et la DLP complètent la gouvernance : la gouvernance définit le cadre, les dispositifs de sécurité contribuent à le faire respecter.
Cette approche permet de ne pas opposer innovation et sécurité. L’objectif est au contraire de donner aux collaborateurs accès aux bénéfices de l’IA dans un environnement où les risques ont été identifiés et maîtrisés.
Pour aller plus loin sur cet aspect, découvrez également « Vous utilisez déjà l’IA. Avez-vous défini les règles qui vont avec ? »
Comment Lùkla vous accompagne ?
Sécuriser les usages de l’IA nécessite d’abord de comprendre comment les données circulent dans votre organisation et comment les collaborateurs utilisent réellement ces nouveaux outils.
À travers notre expertise Cloud & Cyber, Lùkla accompagne les entreprises dans l’évaluation et la sécurisation de leurs environnements : audit de sécurité, analyse des risques, protection des données, définition et déploiement de dispositifs de sécurité adaptés.
Cette approche peut notamment permettre d’identifier les données sensibles, les flux à surveiller et les usages IA présentant un risque, puis de définir les mesures techniques appropriées, dont les dispositifs de DLP lorsque le contexte le nécessite.
Elle peut être complétée par notre expertise Change & Adopt pour travailler sur la gouvernance, les règles d’utilisation, la sensibilisation et l’adoption responsable des outils d’IA par les collaborateurs.
Car protéger ses données ne signifie pas renoncer à l’IA.
Il s’agit de créer les conditions permettant de l’utiliser sans exposer les informations qui constituent la valeur de votre entreprise.
L’IA accélère vos usages. Gardez le contrôle sur vos données.
L’intelligence artificielle va continuer à s’intégrer aux outils et aux processus de l’entreprise. Les flux de données associés vont donc, eux aussi, se multiplier.
Identifier les usages, classifier les informations sensibles, encadrer les outils et mettre en place les bons contrôles devient indispensable pour bénéficier du potentiel de l’IA sans créer de nouvelles zones de risque.
Contactez-nous
Sécurisez vos usages IA avec nos experts.
