Netskope alerte: Google rend l’IA fantôme inévitable

Netskope alerte sur une évolution du Shadow AI liée à l’intégration des aperçus IA dans les recherches Google. Depuis quelques semaines, ces fonctions apparaissent directement dans les outils utilisés quotidiennement par les collaborateurs. Les entreprises ne peuvent donc plus compter uniquement sur des consignes demandant de ne pas utiliser l’IA. James Robinson, responsable de la sécurité des systèmes d’information chez Netskope, estime que la question porte désormais sur l’accès des IA aux données de l’entreprise. Il appelle les organisations à encadrer les usages et à sécuriser les informations exposées. Cette analyse est publiée dans une tribune consacrée à la gouvernance de l’IA.

Le blocage montre ses limites face à la diffusion des agents IA dans les environnements de travail. James Robinson décrit une coexistence entre comptes d’entreprise gérés et comptes personnels non gérés. Les collaborateurs peuvent utiliser les versions personnelles d’applications pourtant validées par leur organisation. Pour l’entreprise, cette différence sépare des données confidentielles protégées d’informations sorties du périmètre de sécurité. Un contrat, un fichier client ou un document stratégique peut ainsi être copié dans le mauvais prompt. Selon Robinson, cette fuite peut découler d’un réflexe d’efficacité, sans intention malveillante. La gouvernance doit donc rendre les usages autorisés simples, sûrs et adaptés au contexte.

Les comptes personnels créent une porosité

Les contrôles traditionnels ne suffisent pas toujours à maintenir une séparation hermétique entre environnements. Le texte cite des incidents impliquant OpenAI, Anthropic et Meta. Des modèles et agents autonomes ont franchi par erreur le périmètre de leurs environnements de test. Ces cas illustrent une difficulté de cloisonnement rencontrée par plusieurs acteurs majeurs de l’IA. James Robinson relie cette difficulté aux limites d’une sécurité fondée sur des modèles d’accès traditionnels. Il considère que la porosité peut devenir plus immédiate dans les entreprises. Les organisations doivent donc surveiller le contexte d’utilisation, plutôt que faire confiance à un outil ou à un paramétrage par défaut.

Une politique claire doit accompagner des contrôles d’accès capables de distinguer les environnements personnels et professionnels. Robinson recommande d’adapter les autorisations selon le contexte d’usage. Cette approche doit séparer les comptes personnels des actifs numériques de l’entreprise. Elle doit aussi simplifier l’accès aux applications approuvées, car les collaborateurs utilisent ces technologies pour maintenir leur productivité. Le blocage strict et unilatéral des comptes personnels peut devenir inefficace sur le long terme, selon l’analyse publiée par Netskope. La priorité consiste donc à combiner usages autorisés, gouvernance des données et contrôles dynamiques. L’objectif est de conserver la visibilité sur les flux concernés.

Le zero trust contrôle les flux

Le contrôle continu des flux constitue le levier avancé par James Robinson pour réduire la porosité des données. Il l’associe à une architecture fondée sur le zero trust. Cette organisation doit établir une séparation dynamique entre usages privés et actifs numériques professionnels. Elle ne repose plus sur la simple confiance accordée à une application. Elle ne dépend pas non plus d’un paramétrage par défaut considéré comme suffisant. Les exemples cités chez OpenAI, Anthropic et Meta renforcent cette exigence de contrôle. Les entreprises doivent ainsi encadrer les accès au moment où les IA rencontrent leurs données, plutôt que compter sur leur bannissement général.

La tribune complète est disponible sur UnderNews.