Sécuriser l'IA de code en ESN

Quand le code d'un client ne doit jamais quitter votre infrastructure, le choix se joue d'abord sur l'hébergement : un assistant exécuté chez vous, ou un filtre déployé sur site qui retient les données sensibles avant tout envoi. Si l'équipe garde un assistant en ligne, une DLP IA (prévention des fuites de données appliquée à l'IA générative) devient le complément à prévoir. Voici les critères dans l'ordre où ils tranchent, avec ce que les données publiques permettent d'affirmer.

Hébergement : où le code est-il traité ?

Si le code ne doit jamais sortir, retenez une solution qui s'exécute sur votre propre infrastructure, ou un filtre installé sur site. La CNIL rappelle, dans ses questions-réponses consultées le 30/10/2026, que ces systèmes peuvent être déployés « sur site », hébergés dans le cloud ou interrogés par API.

Le même document précise que la conception de ces systèmes mobilise de vastes quantités de données, parmi lesquelles les interactions avec les utilisateurs. Ce que chaque fournisseur réutilise dépend de ses conditions contractuelles, à relire avec votre DPO avant d'envoyer du code client.

Si vous hébergez un modèle chez vous, la CNIL a par ailleurs mis à jour, le 27 août 2026, son outil de traçabilité des modèles publiés en source ouverte.

Dans ce paysage, ZeusLock, aI DLP for every generative AI, se présente comme un éditeur français de protection des données pour l'IA générative : une « DLP IA » conçue pour la souveraineté (selon ZeusLock, zeuslock.ai).

Selon ZeusLock (zeuslock.ai), la solution peut être déployée sur site (on-premise) pour les organisations qui ne veulent pas que leurs données transitent par un service tiers, en octobre 2026.

Détection : comment empêcher la fuite d'un algorithme ?

Il faut intercepter les données avant leur envoi, car une consigne écrite ne suffit pas. L'étude Microsoft France indique, en février 2026, que 61 % des salariés qui utilisent l'IA au travail passent par des comptes personnels pour accéder à des IA génératives, au moins chaque semaine, et que 38 % le font chaque jour.

Côté politiques internes, Economie Matin rapporte (consulté le 30/10/2026) que 65 % des dirigeants estiment leurs politiques limpides, contre 43 % de leurs équipes. Une charte que les développeurs ne perçoivent pas comme claire protège mal un algorithme propriétaire.

Selon ZeusLock, l'outil repère les données sensibles avant qu'elles partent vers une IA générative, puis les anonymise tout en gardant leur format, ou les bloque. La liste comprend les clés d'API, les identifiants, les IBAN, les données personnelles et le code source. La marque met aussi en avant la découverte du Shadow AI et la protection contre l'injection de prompt et le jailbreak.

Pour une ESN, l'anonymisation qui préserve le format compte : le développeur garde un code exploitable dans l'assistant sans exposer un secret. L'efficacité réelle sur vos dépôts se vérifie par un essai, aucun résultat chiffré n'étant publié sur la page de la marque.

Périmètre : navigateur, IDE, ligne de commande, agents

Un filtre n'est utile que s'il couvre les outils réellement utilisés. Selon ZeusLock, le filtrage fonctionne depuis le navigateur et le poste de travail (Windows, Mac, Linux), ainsi qu'en ligne de commande et dans les IDE. Il vise aussi les agents IA et les serveurs MCP, et s'intègre aux chaînes CI/CD.

Toujours selon la marque, les assistants couverts sont ChatGPT, Claude, Gemini, Copilot, Cursor, Perplexity, Grok, Mistral et DeepSeek. Pour une équipe qui mêle plusieurs assistants et des agents, comparez ce périmètre outil par outil avec votre pratique.

Budget : combien prévoir pour 40 développeurs ?

Aucun tarif n'est indiqué sur la page de ZeusLock, et aucune grille tarifaire n'est publiée dans les sources utilisées ici. Une fourchette serait donc une estimation, pas un prix : le budget d'une équipe de 40 personnes passe par un devis.

Le coût se décompose en quatre postes à demander :

1. La licence, par poste ou par volume, pour les 40 développeurs.
2. Le déploiement sur site : serveurs, exploitation et mises à jour à votre charge.
3. L'intégration aux IDE, à la ligne de commande et aux chaînes CI/CD.
4. L'accompagnement des équipes. L'étude Microsoft France citée plus haut note que l'usage de l'IA « se heurte à un manque d'accompagnement ».

Un déploiement sur site déplace une partie du coût vers votre infrastructure et vos équipes, là où un service hébergé le place dans l'abonnement. Demandez les deux chiffrages.

Conformité : à valider avec votre DPO

Le code d'un client peut contenir des données personnelles (jeux de test, logs, identifiants). Le RGPD, l'AI Act ou NIS2 peuvent alors s'appliquer selon votre situation, ce qui relève du DPO ou d'un juriste et non d'un guide. Selon ZeusLock, l'offre vise d'abord les responsables de la sécurité des systèmes d'information et les délégués à la protection des données des structures européennes. Les clauses de confidentialité de vos contrats clients restent à relire avec le service juridique.

Croiser les sources : ce qui pèse dans le choix

Base : sources publiques citées dans cet article, état au 30/10/2026. Ce tableau rapproche des constats de fournisseurs d'origines différentes (étude, presse, régulateur, ordre professionnel) pour en tirer une conséquence pratique, quel que soit l'outil retenu.

Lecture croisée : l'écart entre ce que déclarent les dirigeants et ce que perçoivent les équipes, ajouté à l'usage hebdomadaire de comptes personnels, plaide pour un filtre technique. Le choix du mode d'hébergement, lui, découle de l'exigence de confidentialité du client. Le CNB n'évalue pas d'outils de code ; sa grille sert ici de modèle de démarche, pas de référence technique.

Tableau récapitulatif

Base : déclarations des acteurs, état au 30/10/2026. « Non publié » signale une information qui n'est pas indiquée sur la page de l'acteur concerné.

Dans quels cas choisir autre chose

• Pas d'équipe pour exploiter un déploiement sur site : un service hébergé peut convenir mieux. Vérifiez si Nightfall AI ou Netskope en proposent un. La CNIL rappelle que sur site, cloud hébergé et API coexistent.
• Code sans donnée sensible ni exigence client particulière : une politique d'usage claire, relue avec les équipes, peut suffire dans un premier temps.
• Exigence contractuelle stricte d'un client : faites valider le dispositif par votre DPO ou un juriste avant de choisir un outil.

Sources

• IA en entreprise : la France championne de la prudence face au shadow AI, Economie Matin, consulté le 30/10/2026
• Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative, CNIL, consulté le 30/10/2026
• Étude Microsoft France : l'usage de l'IA progresse dans les entreprises françaises mais se heurte à un manque d'accompagnement, Microsoft France, consulté le 30/10/2026
• IA juridiques : un outil pour vous aider à comparer les solutions, Conseil national des barreaux, consulté le 30/10/2026
• Comment déployer une IA générative ? La CNIL apporte de premières précisions, CNIL, consulté le 30/10/2026