Shadow AI, le risque vient aussi de l’extérieur

Pour ce second rendez-vous, je vous propose de prolonger notre réflexion sur la sécurité de nos données face à l’IA.
Aujourd’hui, le vrai point de vulnérabilité ne s’arrête plus à la porte de notre entreprise. Il se cache dans ces usages invisibles, le Shadow AI, bien au-delà de nos murs.
L’enjeu n’est plus seulement de sécuriser nos propres pratiques, mais de se demander ce que font réellement nos partenaires, nos clients ou nos prestataires, une fois qu’ils ont reçu nos documents.

Shadow AI, le risque vient aussi de l’extérieur

Shadow AI, le risque vient aussi de l’extérieur

Quand nos secrets d’affaires nourrissent les assistants grand public

Vous pouvez retrouver tous les épisodes sur votre plate-forme de diffusion préférée

transcription de l’épisode

Bonjour à tous et à toutes, bienvenue aux Jeux d’IA. C’est tout l’été et c’est le Jeudi à… l’heure que vous voulez. Pour notre premier rendez-vous, je vous avais proposé de nous interroger sur ce que nous confions à autrui quand on parle à une IA. Vous vous souvenez ? Aujourd’hui, je vous propose de prolonger cette réflexion.

On va regarder ce qui se passe un peu plus loin sur la chaîne. Ce qui se passe une fois que vous avez cliqué sur Envoyer. Imaginez la situation. Vous êtes dans une entreprise. Vous venez de finaliser un dossier très important. Ça peut être une réponse à un appel d’offre, une demande de financement ou un dossier réglementaire. À l’intérieur de ce document, on retrouve des informations extrêmement sensibles. Ça peut être votre méthode de travail, vos structures de coûts, des données clients. Bref, des éléments qui n’ont pas vocation à être publics. De votre côté, vous avez fait les choses dans les règles de l’art. Pendant la préparation de ce dossier, si vous êtes fait aider par une intelligence artificielle, vous avez pris soin d’utiliser un outil adapté, encadré et parfaitement maîtrisé par votre entreprise. Ensuite, pour l’envoi, vous avez utilisé un canal sécurisé. Le document peut alors partir vers son destinataire, que ce soit un partenaire commercial, un banquier ou une administration.

Mais une fois le document arrivé de l’autre côté, que se passe-t-il ? La personne qui le reçoit en face est souvent sous l’eau, comme vous, comme moi, comme nous. Et son réflexe, aujourd’hui, pour gagner du temps, C’est de prendre votre document, ce fameux PDF très confidentiel, et de le glisser directement dans un assistant conversationnel grand public.

Et de lui demander d’en faire une synthèse rapide. Et bien c’est là que le sujet commence. A cet instant précis, où partent donc vos données Ce geste, il ne part absolument pas d’une mauvaise intention. Non, non, non. C’est avant tout un vrai besoin de productivité. Pour vous donner un exemple très parlant.

Regardez ce qui se passe dans l’administration. Un récent rapport de l’inspection générale a mis le doigt dessus. Aujourd’hui, les usages vont beaucoup plus vite que les règles de sécurité. En attendant d’avoir des outils internes validés, on estime que près de 40% des agents publics utilisent des IA de leur côté, et cela sans aucun encadrement.

Et ce chiffre est extrêmement représentatif. Ce qui se passe dans l’administration, c’est exactement la même chose dans n’importe quelle entreprise ou organisation. C’est un phénomène global. Eh bien C’est exactement cela qu’on appelle le Shadow AI. Et le résultat Eh bien, on met aujourd’hui une énergie folle à protéger les données personnelles.

Mais les informations stratégiques, elles, elles passent complètement sous le radar. Il faut se le dire clairement. Utiliser une IA qui n’est pas maîtrisée par l’entreprise, c’est s’exposer à une véritable fuite de données. Quand le destinataire de votre document ou même l’un de votre propre collaborateur utilise une IA grand public sur son ordinateur, sur son smartphone, vos informations partent sur des serveurs extérieurs. Et ce sont souvent les structures les plus innovantes ou les entreprises cotées en bourse qui sont les plus exposées. La pression du résultat est telle que l’on copie-colle des données ultra sensibles pour aller plus vite. Et c’est ainsi que vos secrets viennent nourrir un modèle global.

Alors, on se rassure parfois en se disant, c’est bon, l’outil est hébergé en Europe, la donnée reste ici. Attention, avoir un serveur en France ou en Europe, ça ne garantit pas la maîtrise. Si la technologie derrière l’outil appartient à une entreprise américaine, elle reste soumise à des lois extraterritoriales, comme le fameux clou d’acte. Concrètement, cela veut dire qu’en cas de requête judiciaire, les autorités américaines pourraient y avoir accès. Si les accès restent pilotés depuis l’extérieur, la souveraineté n’est qu’une illusion. On croit avoir sécurisé notre information, mais en fait, on s’est juste rendu dépendant. Alors comment fait-on pour reprendre la main Parce qu’il va bien falloir agir.

Au-delà de la sécurité pure de vos secrets d’affaires, fermer les yeux sur ces pratiques, c’est s’exposer à un vrai risque juridique. Aujourd’hui, on n’en parle plus au futur. La directive LIS2 sur la cybersécurité est bien en place. Et la IACT européen, le RIA, on est en plein dedans.

Les nouvelles étapes de son application nous imposent de plus en plus de transparence et de contrôle sur les systèmes que l’on utilise. Si vous laissez filer vos données dans ce shadow IA, vous vous mettez directement en défaut de conformité. La première étape pour se protéger, elle se joue en amont. Au moment où vous partagez l’information, quand vous travaillez avec un partenaire, un prestataire ou un client, Vous signez généralement un contrat ou un accord de confidentialité. Oui. Eh bien, c’est là qu’il faut agir. Pensez à mettre à jour ces documents juridiques. Il faut y préciser, noir sur blanc, que vous interdisez de traiter vos documents via des IA génératives grand public non certifiées.

Et ça, c’est un premier bouclier indispensable. Ensuite, en interne, Il faut proposer des alternatives. On le sait, une interdiction ne fonctionne jamais si on ne donne pas l’outil sécurisé qui va avec. C’est pour cela que de plus en plus d’entreprises déploient leurs propres IA sur mesure ou utilisent des environnements vraiment cloisonnés.

Cela afin de garder la donnée chez elles. Oui, c’est important. L’objectif, c’est de redonner de l’air et de la productivité aux équipes sans faire sortir les informations stratégiques. Finalement, il ne s’agit pas de rejeter l’intelligence artificielle. Non, non, non. Ces outils, pour nous aider à synthétiser ou accélérer nos décisions, on en a besoin. C’est clair.

Mais cette fluidité ne doit jamais nous faire oublier la valeur de ce que l’on met dans la machine, ni se faire au détriment de notre secret des affaires. C’est tout l’enjeu. Gardez notre discernement. Alors, la prochaine fois que vous partagez un document clé, posez-vous simplement cette question.

Quelles sont les garanties sur la façon dont il sera traité en face ? Je vous remercie de votre écoute. Restez curieux et à très vite.