# L'IA Fantôme : Les Risques Cachés de l'Utilisation Non Autorisée de ChatGPT, Copilot et Gemini > L'IA fantôme, l'utilisation non autorisée d'outils d'IA publics comme ChatGPT, engendre de graves risques de sécurité, notamment les fuites de données, la perte de propriété intellectuelle et les violations de conformité. Source: https://loopbackup.com/fr/blog/shadow-ai-unsanctioned-chatgpt-copilot-gemini Publisher: Loop Backup Content language: fr --- ## En un Coup d'Œil * **Qu'est-ce que l'IA fantôme ?** L'utilisation, par les employés, d'outils d'IA générative non approuvés comme ChatGPT, Gemini ou Copilot, un problème qui fait écho au défi de longue date de l'« Shadow IT ». * **Pourquoi est-ce un risque ?** Le personnel peut copier-coller des données confidentielles, du code source, des informations personnelles identifiables (PII) de clients, des résultats financiers, ou des plans stratégiques dans des modèles d'IA publics, les exposant potentiellement au monde entier. * **Fuites Réelles :** En avril 2023, le personnel de Samsung a accidentellement divulgué du code source sensible et des notes de réunions internes à ChatGPT à trois reprises distinctes. * **Le Paradoxe de Copilot :** Même les outils autorisés comme Microsoft 365 Copilot comportent des risques. Le « surpartage Copilot » peut exposer des données sensibles si vos permissions SharePoint et OneDrive sous-jacentes ne sont pas configurées correctement. * **Comment Atténuer le Risque :** Une approche multi-couches est nécessaire, combinant des contrôles techniques comme l'AI DLP, une politique claire en matière d'IA générative et une formation essentielle des employés. * **Le Rôle de la Sauvegarde :** En cas de fuite de données, une sauvegarde robuste est indispensable pour l'analyse forensique afin de comprendre ce qui a été perdu. Elle offre également un filet de sécurité lors de la correction des permissions avant un déploiement de Copilot. ### Qu'est-ce que l'IA Fantôme ? Pendant des années, les équipes de sécurité ont lutté contre le « Shadow IT », l'utilisation non autorisée d'applications et de services par les employés, en dehors du périmètre du service informatique. Aujourd'hui, une nouvelle variante, plus puissante, a émergé : l'**IA fantôme**. Cela fait référence à l'utilisation croissante d'outils d'IA générative publics par les employés, sans l'approbation ou la supervision explicite de l'organisation. Poussés par le désir d'augmenter leur productivité, les employés se tournent vers des assistants d'IA grand public comme ChatGPT d'OpenAI, Gemini de Google et d'autres pour les aider à écrire du code, à résumer des documents et à rédiger des e-mails. Le problème est que ces plateformes publiques n'ont pas été conçues pour un usage professionnel. Elles manquent souvent des contrôles de sécurité, de confidentialité et de conformité que les entreprises exigent, créant un risque caché significatif de **fuite de données via ChatGPT** et de perte de propriété intellectuelle. ### L'Attrait de l'Assistant IA Il est crucial de comprendre que les employés utilisant ces outils agissent rarement avec des intentions malveillantes. Ils cherchent simplement à être plus efficaces. Un développeur pourrait copier un extrait de code dans ChatGPT pour trouver un bug ; un responsable marketing pourrait télécharger une transcription dans Gemini pour un résumé rapide ; un analyste financier pourrait saisir des données brutes pour générer un brouillon de rapport. À leurs yeux, ils tirent parti d'une technologie de pointe pour accomplir leurs tâches mieux et plus rapidement. Ils ignorent probablement que de nombreux modèles d'IA publics peuvent utiliser les données qu'ils reçoivent pour entraîner de futures versions, ce qui signifie que leur saisie « privée » pourrait devenir une partie du modèle public, accessible à d'autres. Cette incompréhension fondamentale est le principal moteur de la propagation de l'IA fantôme. ### Une Mise en Garde Réelle : Les Fuites de Données de Samsung en 2023 Le risque théorique de l'IA fantôme est devenu une réalité frappante en avril 2023. Il a été largement rapporté que des ingénieurs de Samsung, l'une des principales entreprises technologiques mondiales, avaient accidentellement divulgué des données internes sensibles à ChatGPT. En l'espace de quelques semaines seulement, il y a eu trois incidents distincts : 1. Un ingénieur a copié-collé du code source défectueux d'une base de données de semi-conducteurs pour identifier une correction. 2. Un autre employé a partagé du code d'un programme propriétaire pour l'optimiser. 3. Un troisième membre du personnel a soumis l'enregistrement audio d'une réunion interne pour que ChatGPT en génère le compte-rendu. Dans chaque cas, de la propriété intellectuelle sensible a été téléchargée sur une plateforme tierce échappant au contrôle de Samsung. L'incident a contraint Samsung à interdire l'utilisation des outils d'IA générative et à commencer à développer sa propre alternative interne. Cela sert d'avertissement puissant à chaque organisation : si cela peut arriver chez Samsung, cela peut arriver n'importe où. ### Découvrir les Ombres : Comment Repérer l'Utilisation Non Autorisée de l'IA On ne peut pas gérer ce qu'on ne voit pas. Identifier l'utilisation de l'IA fantôme est la première étape pour atténuer le risque. Plusieurs techniques peuvent aider à éclairer le problème : * **Analyse des Journaux Réseau et DNS :** Vos journaux de pare-feu et de serveurs DNS sont une source précieuse d'informations. En analysant les journaux pour les requêtes vers des domaines comme `chat.openai.com`, `gemini.google.com` et d'autres services d'IA connus, vous pouvez dresser un tableau des outils qui sont consultés et par qui. * **Cloud Access Security Broker (CASB) :** Une solution CASB se situe entre vos utilisateurs et les services cloud, offrant visibilité et contrôle. Les CASB modernes peuvent identifier le trafic vers des milliers d'applications, y compris les outils d'IA générative, et peuvent être configurés pour bloquer ou limiter l'accès en fonction de vos politiques. * **Télémétrie des Points d'Extrémité et du Navigateur :** L'analyse de l'historique du navigateur et des connexions réseau à partir des appareils d'entreprise peut également révéler l'utilisation d'outils d'IA web non autorisés. ### Le Dilemme de Copilot : Quand une IA Autorisée Reste un Risque Alors que l'IA fantôme concerne les outils non approuvés, un risque significatif existe également avec les IA autorisées et de niveau entreprise comme Microsoft 365 Copilot. Le danger ici n'est pas l'outil lui-même, mais les données auxquelles il a accès. Le problème est le **surpartage Copilot**. Copilot est conçu pour être profondément intégré à l'écosystème Microsoft 365. Il peut raisonner sur toutes les données auxquelles un utilisateur a accès, ses e-mails dans Outlook, ses chats dans Teams et ses fichiers dans SharePoint et OneDrive. C'est sa plus grande force, mais aussi sa plus grande faiblesse potentielle. Copilot respecte méticuleusement les autorisations existantes. Le problème est que dans la plupart des organisations, les permissions sont un désordre. Au fil des ans, en raison du roulement du personnel et de la collaboration ad hoc, les sites SharePoint et les canaux Teams accumulent des droits d'accès défectueux ou trop permissifs. Un document sensible contenant des informations salariales pourrait avoir été accidentellement partagé avec « Tout le monde sauf les utilisateurs externes » il y a des années. Un utilisateur pourrait ignorer l'existence de ce document, mais Copilot, lui, le sait. Si cet utilisateur pose à Copilot une question pertinente, l'IA pourrait puiser et présenter des données de ce fichier sensible, transformant instantanément un problème de permissions latent en une violation de données active. Avant de déployer Copilot, les organisations doivent effectuer un audit et une correction approfondis de leurs permissions Microsoft 365, un processus qui peut être complexe et chronophage. ### Établir le Contrôle : Politiques et Technologie Aborder les risques de l'IA fantôme et du surpartage Copilot nécessite une approche stratégique et multiple, englobant la politique, la technologie et les personnes. #### 1. Élaborer une Politique Claire en Matière d'IA Générative Votre première étape devrait être de développer et de communiquer une **politique officielle en matière d'IA générative**. Ce document élimine toute ambiguïté et fournit des directives claires à tous les employés. Il devrait explicitement énoncer : * Un inventaire des outils d'IA approuvés et interdits. * Une liste définitive des types de données qui ne doivent **jamais** être saisies dans un outil d'IA public (par exemple, données clients, PII, code source, informations financières, dossiers de santé, documents de stratégie d'entreprise). * Des directives pour l'utilisation responsable des outils approuvés. * L'obligation pour les employés de vérifier et de valider toute sortie d'une IA, qui peut être sujette à des erreurs ou à des « hallucinations ». * Une responsabilité claire pour tout travail produit avec l'aide de l'IA. #### 2. Mettre en Œuvre la Prévention des Pertes de Données Consciente de l'IA (AI DLP) Les outils modernes de prévention des pertes de données (DLP) deviennent conscients de l'IA. Les solutions **AI DLP** peuvent aller au-delà du simple blocage d'un domaine. Elles peuvent inspecter le contenu envoyé aux formulaires web et aux applications basées sur le navigateur. Cela permet des contrôles plus granulaires, comme autoriser les employés à accéder à ChatGPT mais les empêcher de coller tout contenu qui correspond à un modèle de données sensibles, comme une base de données clients ou un code propriétaire. #### 3. Former Vos Collaborateurs La technologie et les politiques seules ne suffisent pas. Vous devez éduquer vos employés sur les risques. Organisez des sessions de formation qui expliquent *pourquoi* coller des informations confidentielles dans des outils d'IA publics est dangereux. Utilisez des exemples concrets comme l'incident de Samsung pour rendre la menace tangible. L'objectif est de créer une culture de sensibilisation à la sécurité où les employés deviennent des partenaires dans la défense des données de l'organisation. ### Le Rôle Crucial de la Sauvegarde dans l'Analyse Forensique et la Correction Dans ce nouveau paysage, une stratégie de sauvegarde robuste et immuable devient plus critique que jamais, en particulier pour la réponse aux incidents et la gestion proactive des risques. En cas de **fuite de données via ChatGPT**, la première tâche de votre équipe de sécurité est de mener une analyse forensique pour déterminer l'étendue exacte de la brèche. Quelles données spécifiques ont été perdues ? Quelle version du code source a été compromise ? Si les données originales sur le système en direct ont été altérées ou supprimées, une sauvegarde tierce fiable est le seul moyen d'établir une vérité fondamentale. Des services comme [Loop's AI Cloud Backup](/ai-cloud-backup) et la [sauvegarde Microsoft 365](/microsoft-365-backup) fournissent une copie indépendante et immuable de vos données, vous offrant la fidélité forensique nécessaire pour réagir efficacement. De plus, lors de la préparation d'un déploiement sécurisé de M365 Copilot, vous devrez inévitablement effectuer un nettoyage à grande échelle des permissions SharePoint et Teams. Ce processus comporte ses propres risques. Avoir une sauvegarde ponctuelle de vos données M365 offre un filet de sécurité vital, vous permettant de restaurer des fichiers et des paramètres si le processus de correction des permissions tourne mal. ## Conclusion L'émergence de l'IA générative offre une opportunité transformative pour la productivité, mais introduit également de profonds nouveaux risques. L'IA fantôme n'est pas une menace hypothétique ; elle est active dans la plupart des organisations aujourd'hui, qu'elles le sachent ou non. La commodité de ces outils garantit presque leur utilisation par des employés bien intentionnés, créant une voie cachée pour que vos données les plus sensibles quittent l'organisation. En combinant la découverte proactive, une **politique d'IA générative** claire et bien communiquée, des contrôles techniques modernes comme l'**AI DLP**, et une stratégie de sauvegarde robuste pour la préparation forensique, vous pouvez gérer le risque. L'objectif n'est pas de bloquer le progrès, mais de permettre l'adoption sûre et responsable de l'IA, transformant un risque caché en un avantage stratégique géré.