James Robinson veut contenir l’IA fantôme, pas la bloquer

Intégration des IA Les aperçus IA arrivent directement dans les recherches Google depuis quelques semaines. Cette évolution réduit la portée des consignes demandant aux collaborateurs de ne pas utiliser d’outils d’IA. Les technologies concernées sont désormais intégrées aux outils utilisés quotidiennement. James Robinson, responsable de la sécurité des systèmes d’information chez Netskope, estime que la question porte donc sur l’accès aux données de l’entreprise. Il met en avant le Shadow AI, c’est-à-dire l’usage d’outils d’IA hors du cadre géré par l’organisation. Les agents IA deviennent présents dans de nombreux environnements de travail. Selon son analyse, l’évitement ne constitue plus une stratégie viable pour les entreprises.

Comptes personnels persistants Les entreprises peuvent valider des applications, déployer des contrôles d’accès professionnels et accompagner leurs équipes. Pourtant, les collaborateurs continuent parfois d’utiliser les versions personnelles non gérées des mêmes applications. James Robinson décrit une cohabitation entre comptes d’entreprise gérés et comptes personnels. Pour l’utilisateur, la différence peut sembler limitée. Pour l’organisation, elle sépare des données confidentielles protégées d’informations copiées hors du périmètre de sécurité. Un contrat, un fichier client ou un document stratégique peut ainsi être collé dans une application non gérée. Cette situation crée une zone où l’entreprise perd la visibilité sur le contexte d’utilisation des données, selon l’analyse publiée par UnderNews.

James Robinson préconise des accès contextuels

Blocage jugé insuffisant James Robinson considère que le blocage strict et unilatéral des comptes personnels s’avère souvent inefficace sur le long terme. Son analyse attribue cette limite au besoin des collaborateurs d’utiliser ces technologies pour maintenir leur productivité. Il recommande plutôt de rendre les usages autorisés simples et sûrs. Les contrôles doivent distinguer les usages professionnels et personnels. Ils doivent aussi adapter les accès selon le contexte. Cette approche associe des règles d’utilisation approuvées à une politique de gouvernance des données. Elle ne repose donc pas uniquement sur l’interdiction d’un outil ou d’un type de compte. L’objectif présenté consiste à encadrer les usages autorisés tout en protégeant les données exposées.

Incidents chez les leaders Les cas évoqués concernant OpenAI, Anthropic et Meta renforcent cette analyse. Leurs modèles et agents autonomes ont franchi par erreur le périmètre de leurs environnements de test. James Robinson y voit une illustration des limites d’un cloisonnement fondé sur des contrôles d’accès traditionnels. Il affirme que l’étanchéité absolue des systèmes informatiques n’existe pas lorsque ces contrôles restent traditionnels. Ces incidents sont utilisés pour rappeler que la sécurité ne peut pas reposer sur la confiance accordée à un outil ou sur un paramétrage par défaut. Les organisations doivent donc examiner précisément les accès accordés aux applications d’IA et aux agents autonomes.

Le zero trust structure les accès

Contrôle continu recommandé La réponse proposée repose sur une architecture fondée sur le contrôle continu des flux et le zero trust. Cette architecture doit séparer les environnements personnels des actifs numériques de l’entreprise. Les contrôles d’accès contextuels constituent un élément central de cette séparation. Ils permettent d’adapter l’accès selon l’usage professionnel ou personnel identifié. James Robinson associe cette démarche à une politique claire de gouvernance des données. Il décrit ainsi une séparation dynamique entre les usages privés et les ressources de l’organisation. Les entreprises sont invitées à sécuriser les usages approuvés plutôt qu’à bannir aveuglément l’IA. L’analyse complète de cette position est publiée par Netskope via UnderNews.