Comment encadrer l’usage de l’IA générative sans l’interdire

Un mardi matin ordinaire

Il est neuf heures. Prenons un cas fictif : Claire est acheteuse dans une entreprise industrielle. Elle doit répondre à un fournisseur avant midi. Elle ouvre un assistant conversationnel d’IA générative dans un nouvel onglet, y colle le contrat-cadre, les conditions tarifaires négociées l’an dernier et le nom de son interlocuteur, puis tape : « Aide-moi à renégocier. »

La réponse arrive en dix secondes. Elle est bonne. Claire gagne une heure.

Personne ne l’a vue faire. Personne ne lui a dit de ne pas le faire. Et personne, dans l’entreprise, ne sait désormais où se trouve ce contrat.

Claire a fait ce qu’on attend d’elle. Son contrat-cadre est maintenant chez un fournisseur d’IA.

C’est pour cet instant précis que La Forge a conçu Firewall AI, une extension de navigateur qui repère les informations sensibles avant qu’elles ne partent vers un assistant IA. Les équipes continuent d’utiliser l’IA ; l’entreprise voit ce qui sort.

Un canal de sortie invisible

Une entreprise peut faire fuiter ses données par plusieurs canaux : un mail mal adressé, une clé USB, un partage de fichiers trop ouvert. Ces canaux sont connus, et la plupart sont surveillés.

L’IA générative en a ouvert un nouveau. Un assistant IA ne travaille qu’avec ce qu’on lui donne : une question, un document collé, un fichier joint. Et les assistants les plus utilisés fonctionnent hors de l’entreprise. Chaque demande fait donc sortir de l’information.

Ce canal a une particularité : il est invisible. Pas d’alerte, pas de pièce jointe suspecte, pas de pirate. Juste un collaborateur qui fait bien son travail. Les dirigeants ne le voient pas passer.

On ne reviendra pas en arrière

Disons-le clairement : l’IA générative n’est pas une mode. Elle est une technique devenue ordinaire dans nos outils de travail. On l’utilise pour rédiger, résumer, analyser un tableur, préparer une réunion, écrire du code. Les gains sont réels : du temps rendu aux tâches qui comptent, une meilleure qualité rédactionnelle, un accès plus rapide à l’information.

À La Forge, notre conviction est simple : l’IA doit démultiplier les savoir-faire, pas les remplacer. Les usages spontanés de vos équipes en sont la première preuve. Ils sont nés sans plan de déploiement, parce qu’ils rendent service.

L’interdiction ne les fera pas disparaître. Elle les déplacera vers les téléphones personnels et les comptes privés, là où plus personne ne voit rien. C’est ce qu’on appelle le « shadow IA ».

Le cadre : quatre lettres, DICP

La sécurité de l’information n’a pas attendu l’IA. Elle se mesure depuis longtemps à quatre critères, résumés par quatre lettres :

• Disponibilité : l’information est accessible quand on en a besoin.
• Intégrité : elle n’a pas été altérée.
• Confidentialité : seuls ceux qui y ont droit y accèdent.
• Preuve : on peut établir qui a fait quoi, et quand, avec une trace qui ne peut être ni contestée ni modifiée. C’est la non-répudiation.

Appliquons ce cadre à l’IA générative.

La disponibilité est le point fort des grands fournisseurs : leurs infrastructures tournent jour et nuit, partout dans le monde. L’intégrité des échanges est largement assurée par le chiffrement. C’est sur la confidentialité que le cadre se fissure : au moment où le collaborateur appuie sur « Envoyer », l’information change de mains. Et la preuve manque presque toujours : l’entreprise ne garde aucune trace de ce qui est parti.

Deux lettres sur quatre ne sont pas couvertes : C (Confidentialité) et P (Preuve). Les référentiels de sécurité, comme l’ISO 27001, définissent un cadre de maîtrise des risques et référencent des mesures de prévention des fuites de données. Ils ne disent pas comment arrêter un copier-coller.

Une gouvernance qui ne gouverne rien

La gouvernance est l’ensemble des règles, des rôles et des mesures qui permettent à une organisation de prendre des décisions et de vérifier qu’elles sont appliquées. Deux verbes, donc : décider et vérifier.

La plupart des entreprises ont fait la moitié du chemin. Elles ont décidé : une charte informatique, un paragraphe sur l’IA, parfois une liste d’outils autorisés. Elles ne vérifient pas, parce qu’elles n’en ont pas les moyens.

Les meilleures organisations pilotent par objectifs et résultats clés mesurables. Appliqué à l’IA générative, cela donne par exemple :

• Objectif : utiliser l’IA générative partout où elle crée de la valeur, sans exposer nos informations sensibles.
• Résultat clé 1 : connaître chaque mois le taux d’adoption réel, par outil et par équipe.
• Résultat clé 2 : réduire le nombre d’informations sensibles envoyées vers des services externes.
• Résultat clé 3 : disposer d’une trace exploitable de chaque incident évité.

Une charte ne permet de mesurer aucun de ces résultats.

L’outil manquant : la prévention des fuites, appliquée à l’IA

La prévention des fuites de données, ou DLP (Data Loss Prevention), désigne les outils qui repèrent une information sensible au moment où elle s’apprête à quitter l’entreprise, et qui appliquent une règle : la laisser passer, prévenir l’utilisateur, ou l’arrêter. Les entreprises en équipent depuis longtemps leur messagerie ou leurs postes de travail. Presque jamais l’endroit où l’on écrit à un assistant IA.

Appliquée à l’IA générative, la DLP referme les deux lettres manquantes du DICP. La confidentialité, parce que l’information sensible s’arrête avant de sortir. La preuve, parce que chaque événement est enregistré.

Elle fait aussi davantage. En voyant passer les usages, elle donne à la direction ce qui lui manquait pour gouverner, au sens plein du terme :

• Mesurer : le taux d’adoption réel de l’IA générative, outil par outil et équipe par équipe.
• Contrôler : les règles s’appliquent au moment de l’usage, pas dans un document.
• Amplifier : des collaborateurs protégés osent utiliser l’IA davantage, et la direction sait où investir, former ou rationaliser les abonnements, en fonction du retour sur investissement observé.

Firewall AI : la pièce qui manquait

La sensibilisation, la formation, les chartes et les tests préparent les équipes. Ils sont indispensables. Mais il reste un instant qu’aucun d’eux ne couvre : celui où le collaborateur appuie sur « Envoyer ».

C’est à cet instant que La Forge a placé Firewall AI, un système de prévention des fuites conçu pour l’IA générative. Il prend la forme d’une extension pour les navigateurs du marché, Chrome et Edge, et Firefox sur demande. Il fonctionne avec les assistants les plus utilisés, comme ChatGPT, Claude, Gemini, Copilot, Perplexity ou Grok, mais aussi avec les assistants que l’entreprise a développés ou installés en interne.

• Il repère les informations sensibles avant leur envoi : les données personnelles, mais aussi les informations que l’entreprise juge stratégiques.
• Il applique les règles de l’entreprise : selon la sensibilité de l’information, il prévient le collaborateur ou bloque l’envoi.
• Il fournit un élément de preuve pour chaque événement.
• Il mesure l’adoption réelle de l’IA générative, pour piloter les investissements.
• Il couvre les usages là où ils ont lieu : un nouvel assistant interne s’ajoute en quelques clics.
• Il est conçu et édité en France, disponible en service hébergé ou installé dans votre propre infrastructure.

Une charte dit ce qu’il ne faut pas faire. Firewall AI applique les règles de la charte et enregistre chaque événement.

Démarrez par un pilote sur un groupe test. En quelques semaines, vous voyez objectivement quels outils sont utilisés, par quelles équipes, avec quelles informations. La Forge peut ensuite vous accompagner pour traduire votre charte en règles appliquées et définir les usages de l’IA à encourager.

Prêt à voir ce qui sort réellement de votre entreprise ?

Ressources

• ISO/IEC 27001, Sécurité de l’information, cybersécurité et protection de la vie privée
• John Doerr, Measure What Matters, 2018 (méthode des objectifs et résultats clés)