Données, RGPD, cybersécurité : votre entreprise est-elle vraiment protégée ?
L’intelligence artificielle est désormais entrée dans l’entreprise.
Elle rédige des e-mails, analyse des contrats, résume des réunions, traite des fichiers Excel, interroge des bases documentaires et commence à accéder directement aux CRM, aux messageries et aux outils collaboratifs.
Cette évolution apporte des gains de productivité considérables. Mais elle fait apparaître une question que beaucoup d’entreprises n’ont pas encore réellement traitée : que deviennent les informations que nous confions à ces intelligences artificielles ?
La question est beaucoup plus complexe qu’un simple « mes données sont-elles sécurisées ? ».
Il faut savoir quelles données sont transmises, où elles sont traitées, combien de temps elles sont conservées, si elles peuvent servir à améliorer un modèle, quels sous-traitants interviennent, qui peut y accéder et quelles permissions sont accordées à l’IA lorsqu’elle est connectée au système d’information.
Et surtout, toutes les utilisations de l’IA ne présentent pas le même niveau de risque.
Toutes les IA ne se valent pas en matière de sécurité
Il serait pourtant trop simple d’opposer une IA « sécurisée » à une autre qui ne le serait pas. La vraie différence se situe souvent dans l’environnement dans lequel elle est utilisée.
Prendre un compte personnel et y déposer des documents professionnels n’est pas équivalent à utiliser une solution entreprise administrée, avec gestion des identités, des permissions, de la rétention, des journaux et des politiques de sécurité.
C’est notamment l’un des intérêts de Microsoft Copilot dans un environnement Microsoft 365 correctement configuré. Copilot s’inscrit dans le modèle d’identité et de permissions de Microsoft 365 : les contrôles d’accès, labels de sensibilité, politiques de rétention et capacités d’audit peuvent s’appliquer à son utilisation. Microsoft précise également que les prompts, réponses et données Microsoft Graph utilisées par Copilot ne servent pas à entraîner les modèles fondamentaux.
Mais cela ne signifie pas que Copilot rend automatiquement l’entreprise sécurisée.
Au contraire, si vos droits SharePoint sont mal configurés, l’IA peut révéler beaucoup plus facilement que vos collaborateurs avaient déjà accès à des informations auxquelles ils n’auraient peut-être jamais pensé à aller chercher.
L’IA ne crée pas nécessairement la faille. Elle peut rendre une mauvaise gouvernance existante beaucoup plus visible, et beaucoup plus exploitable.
ChatGPT : distinguer usage personnel et environnement professionnel
Même logique avec ChatGPT.
Dire simplement « n’envoyez jamais de données d’entreprise dans ChatGPT » est aujourd’hui trop approximatif.
Dans ChatGPT Business et Enterprise, OpenAI indique que les données professionnelles ne sont pas utilisées par défaut pour entraîner ses modèles. Elles sont chiffrées au repos et en transit, et les offres professionnelles disposent de contrôles supplémentaires de sécurité et de gestion des données.
Cela change considérablement l’analyse du risque par rapport à un usage personnel non encadré.
Mais là encore, un abonnement professionnel ne dispense pas d’une politique interne. Un contrat confidentiel, un dossier RH, une base clients ou des données de santé ne doivent pas être traités simplement parce qu’un outil est estampillé « Enterprise ».
La première question reste toujours : avons-nous réellement besoin de transmettre cette donnée à l’IA ?
Et Mistral ? L’Europe apporte des options intéressantes, mais pas une réponse magique
C’est là qu’on peut faire le lien avec notre précédent Brief sur l’IA souveraine.
Mistral propose désormais un endpoint européen permettant que l’inférence soit réalisée dans plusieurs datacenters situés dans l’UE et l’AELE. Mistral indique également que ses données sont hébergées par défaut dans l’Union européenne.
Pour certaines architectures sensibles, c’est évidemment intéressant. Mais là encore, il faut lire plus loin que l’étiquette « IA française ».
Mistral précise lui-même que l’inférence régionale ne signifie pas que toutes les données techniques sont nécessairement traitées dans cette région : certaines informations liées au compte, aux clés API, à la facturation, aux logs ou aux métadonnées opérationnelles peuvent être traitées ailleurs. Et la localisation européenne de l’inférence et le Zero Data Retention sont deux mécanismes distincts.
C’est précisément ce niveau de lecture qu’une entreprise doit commencer à avoir.
La nationalité du fournisseur ne suffit pas. L’architecture compte. Le contrat compte. La configuration compte. L’usage compte.
Le RGPD ne s’arrête évidemment pas à la porte de l’IA
Lorsqu’un collaborateur copie une base clients, des CV, des coordonnées ou toute autre donnée personnelle dans une IA, il réalise toujours un traitement de données.
L’article 32 du RGPD impose un niveau de sécurité adapté au risque. La CNIL rappelle d’ailleurs que les systèmes d’IA nécessitent de combiner les mesures classiques de cybersécurité (infrastructures, habilitations, sauvegardes, gestion des vulnérabilités) avec l’analyse de risques propres aux systèmes d’IA.
Autrement dit, le RGPD ne demande pas d’interdire l’IA. Il oblige l’entreprise à savoir ce qu’elle fait de la donnée.
Et c’est probablement là que se situe aujourd’hui l’un des principaux écarts entre l’adoption de l’IA et sa gouvernance. Les collaborateurs ont avancé très vite. Les règles internes, beaucoup moins.
Pendant ce temps, la menace extérieure évolue elle aussi
L’autre changement est plus préoccupant.
L’intelligence artificielle n’est évidemment pas réservée aux entreprises qui souhaitent gagner en productivité. Elle peut également permettre aux attaquants d’améliorer certaines étapes de leurs opérations : préparation d’un phishing beaucoup plus crédible, collecte et exploitation d’informations publiques, génération de contenus personnalisés, usurpation d’identité, deepfakes vocaux ou vidéo, recherche de vulnérabilités et automatisation de certaines opérations.
Cela change progressivement l’économie de la cyberattaque.
Une PME pouvait autrefois imaginer qu’elle était trop petite pour justifier une attaque sophistiquée. Mais si l’IA réduit le temps nécessaire pour analyser, personnaliser et industrialiser certaines attaques, cette protection par la taille devient de moins en moins pertinente.
Et les conséquences restent très concrètes : accès à une boîte Outlook, récupération de documents SharePoint, modification d’un RIB, usurpation d’un dirigeant, compromission d’un compte administrateur, vol d’une base clients ou blocage de l’activité.
Le prochain risque : donner des clés à nos agents IA
Il existe enfin un sujet encore plus nouveau.
Nous ne sommes plus seulement en train d’utiliser des IA auxquelles nous posons des questions. Nous construisons désormais des agents. Et pour qu’un agent soit réellement utile, nous lui donnons des accès.
Outlook. SharePoint. Teams. CRM. ERP. Google Drive. Base documentaire. API. Automatisations.
À ce moment-là, la question de sécurité change complètement.
Que peut lire l’agent ? Que peut-il modifier ? Peut-il envoyer ? Supprimer ? Télécharger ? Déclencher un paiement ? Créer un utilisateur ?
Un agent IA ne devrait pas disposer de davantage de privilèges que ceux strictement nécessaires à sa mission. C’est le même principe que pour un collaborateur : le moindre privilège.
Et pour certaines actions sensibles, une validation humaine doit rester obligatoire.
La vraie question n’est donc plus : « Quelle est l’IA la plus sécurisée ? »
Elle est plutôt : quelle architecture de sécurité devons-nous mettre autour de nos usages de l’IA ?
Parce qu’une excellente IA utilisée avec un compte personnel, des permissions excessives et aucune règle interne peut constituer un mauvais choix.
À l’inverse, une IA intégrée dans un environnement professionnel correctement administré, avec des données maîtrisées, des accès limités, de l’authentification forte, des journaux d’activité et une politique claire peut présenter un niveau de risque très différent.
C’est probablement le changement de maturité que les entreprises vont devoir opérer maintenant.
Nous avons passé les dernières années à nous demander : « Comment utiliser l’IA ? »
La prochaine question sera : « Comment l’utiliser à grande échelle sans perdre le contrôle de nos données, de nos accès et de notre système d’information ? »
Et cette question ne concerne déjà plus uniquement les DSI ou les responsables informatiques. Elle concerne directement les dirigeants.
Chez MyAiFactory, nous considérons donc désormais la sécurité, la gouvernance des données et les droits d’accès comme faisant partie intégrante d’un projet IA : choix des solutions, architecture, automatisations, agents, Microsoft 365, règles d’usage et formation des collaborateurs.
L’objectif n’est pas de ralentir l’adoption de l’intelligence artificielle. C’est de permettre à l’entreprise d’aller plus vite, sans perdre le contrôle.
Pour aller plus loin
- Audit, conseil et conformité IA
- IA en local : vos données restent chez vous
- Microsoft 365 et Copilot
- Agents IA pour les entreprises
- PROG.16 – Sécurité, RGPD et conformité des usages de l’IA
- Le Brief IA du Dirigeant #22 — LinkedIn et IA
- Réserver mon audit de maturité offert
- Catalogue des formations IA certifiées Qualiopi
