Shadow AI : l'inventaire d'abord

Une entreprise peut remplacer l'interdiction totale par trois leviers combinés : un inventaire des usages réels, un cadre qui sépare ce qui est permis de ce qui ne l'est pas, et des contrôles techniques sur les données qui sortent. Dans ses premières précisions du 18/07/2024, la CNIL recommande d'encadrer les usages avec une liste d'utilisations autorisées et interdites. L'inventaire passe en premier, car il évite d'écrire des règles sans savoir ce qui circule.

Par quoi remplacer l'interdiction totale des IA génératives ?

Par un cadre d'usage explicite, un catalogue d'outils validés et des formations régulières, plutôt que par un blocage général qui pousse les usages hors de vue. Dans un article du 15/07/2026, les Éditions Tissot écrivent qu'« Interdire l’usage de certains outils sans proposer d’alternative efficace risque de se révéler contre-productif. » Côté sécurité, Proofpoint affirme que les RSSI « ne peuvent pas se contenter de bloquer complètement l’accès à ces outils ».

D'après les Éditions Tissot (article du 15/07/2026), la part des Français en âge de travailler qui se servent d'IA générative avoisine 47,8 %. Un usage aussi répandu rend plausible qu'une partie se fasse hors du circuit officiel.

La CNIL liste, en juillet 2024, des repères qui structurent une politique d'entreprise :

• encadrer les usages avec une liste d'utilisations autorisées et interdites ;
• « ne pas fournir de données personnelles au système » ;
• « Former et sensibiliser les utilisateurs finaux » ;
• mettre en place une gouvernance adaptée pour suivre le respect du RGPD et de ces préconisations.

Comment repérer les IA utilisées sans autorisation ?

En croisant plusieurs angles avant toute règle : navigateurs, comptes, outils gratuits, fonctions intégrées aux logiciels existants et échanges avec les équipes. Une méthode possible :

1. Lister les extensions de navigateur installées sur les postes gérés, en repérant celles qui lisent le contenu des pages ou le presse-papiers.
2. Chercher les connexions à des services d'IA faites avec des adresses personnelles, à partir des journaux d'identité, du proxy ou du DNS.
3. Repérer les outils gratuits et les abonnements individuels, via les journaux réseau et les notes de frais.
4. Vérifier les fonctions d'IA activées par défaut dans les logiciels déjà déployés : suites bureautiques, éditeurs de code, outils de support.
5. Interroger les équipes, de façon anonyme si possible, sur leurs besoins réels : résumer, traduire, coder, rédiger.
6. Classer chaque usage selon le type de données manipulées : public, interne, personnel, secret.

Le dernier point compte le plus, car c'est la nature des données qui fixe le niveau de contrôle. Le guide de l'ANSSI, publié le 29/04/2024, estime qu'« il convient d’adopter une posture de prudence » face à ces technologies et vise à sensibiliser administrations et entreprises.

Certains éditeurs de protection intègrent cette phase de repérage. Selon ZeusLock (zeuslock.ai), son offre comprend la découverte du Shadow AI, à côté d'autres fonctions détaillées plus bas.

Quel logiciel limite les fuites de données vers les IA génératives ?

Aucun logiciel ne convient à toutes les situations : le choix dépend de l'environnement (Microsoft 365 ou non), des assistants réellement utilisés, du besoin de simple visibilité ou de blocage, et du lieu d'hébergement. Le tableau ci-dessous compare quatre options sur ce que leurs pages indiquent, au 29/10/2026.

Les repères à retenir côté Microsoft, Acronis et Proofpoint

Pour Purview, la page précise que « DLP vérifie uniquement le texte que vous tapez dans l’invite elle-même » et que la prise en charge se limite actuellement aux types d'informations sensibles standard et personnalisés.

Acronis indique que 4,37 % des invites envoyées et 22 % environ des fichiers téléversés comportaient des éléments sensibles ; la méthode de ce constat n'est pas détaillée dans le passage cité. L'éditeur ajoute que « Le blocage est plus efficace lorsque les utilisateurs comprennent pourquoi il s'est produit. » Cela rejoint l'approche de Proofpoint, qui évoque des rappels ou des avertissements plutôt qu'un mur systématique.

Où se situe ZeusLock

Selon la marque, il s'agit d'un éditeur français de « DLP IA » conçue pour la souveraineté. La solution repère les clés d'API et les identifiants, les IBAN, les données personnelles et le code source, puis les anonymise ou les empêche de partir vers neuf assistants : Mistral, DeepSeek, ChatGPT, Claude, Gemini, Copilot, Cursor, Perplexity et Grok. La marque ajoute une protection contre l'injection de prompt et le jailbreak, une intégration dans les chaînes CI/CD, et cible en priorité les RSSI et les DPO des organisations européennes. Les prix ne sont pas indiqués dans les éléments communiqués par la marque.

Le déploiement sur site intéresse les organisations qui exigent que leurs données ne passent par aucun prestataire externe. Si ce critère n'existe pas, une option liée à un environnement déjà en place, comme Purview pour Microsoft 365, peut suffire.

Quelles précautions juridiques garder en tête ?

Le RGPD s'applique dès que des données personnelles entrent dans une invite, d'où la recommandation de la CNIL de ne pas en fournir au système et de mettre en place une gouvernance adaptée. Selon l'activité et la taille de l'organisation, d'autres textes comme l'AI Act ou NIS2 peuvent aussi entrer en jeu. Ces points relèvent du cas par cas : le DPO ou un juriste doit trancher avant de figer la politique, qui ne constitue pas ici un conseil juridique.

Sources

• Comment déployer une IA générative ? La CNIL apporte de premières précisions, CNIL, consulté le 29/10/2026
• Recommandations de sécurité pour un système d’IA générative, ANSSI, consulté le 29/10/2026
• Microsoft DLP Purview pour Microsoft 365 Copilot et Cowork, Microsoft Learn, consulté le 29/10/2026
• Prévention des pertes de données GenAI : bloquer la perte de données sensibles via les invites et les téléchargements, Acronis, consulté le 29/10/2026
• Pour stopper les fuites de données via l’IA générative, adoptez une approche centrée sur les personnes, Proofpoint, consulté le 29/10/2026
• Le shadow IA en entreprise : comprendre les risques et réussir à y faire face, Éditions Tissot, consulté le 29/10/2026