Sécurité de l’IA

Vous déployez Copilot ? Vos employés rédigent avec l’IA ? Un agent répond à vos clients ?

Chacun fait entrer de l’information d’entreprise dans un système, sous une identité qui voit déjà tout ce que cette personne voit. Personne n’en a cadré la portée, et c’est vous qui en répondez.Nous inventorions ce qui tourne, cadrons ce que chaque outil peut atteindre, fermons les chemins de sortie des données, et suivons la dérive des configurations.
Réserver votre évaluationNous contacter
Quatre constats valent pour la plupart des parcs au premier passage, et aucun n’a exigé d’attaquant. Chacun est un réglage par défaut accepté, ou un outil installé par quelqu’un.

Inventaire IA et plan de contrôles — extrait

Exemple
DomaineConstatPriorité
Identité et accèsÉlevé
  • Copilot hérite de toute la portée SharePoint de l’utilisateur.
  • Partages oubliés compris.
P1
Gestion des vulnérabilitésMoyen
  • Aucune revue des outils d’IA ajoutés par les mises à jour mineures.
P3
Protection des données — résidence, chiffrementÉlevé
  • Invites et téléversements sortent du tenant.
  • Aucune réponse sur l’entraînement ni la résidence.
P1
Sécurité réseauMoyen
  • Les extensions de navigateur joignent directement les fournisseurs.
  • Aucune inspection.
P3
Protection des charges de travailÉlevé
  • 14 outils d’IA utilisés, 3 approuvés.
  • Les autres sur des comptes personnels.
P1
Journalisation et surveillanceMoyen
  • Audit des invites et réponses non activé.
  • Rien à reconstituer ensuite.
P2
Réponse aux incidents et continuitéMoyen
  • Aucune procédure pour révoquer un agent en cours d’incident.
P3
Gouvernance et conformité — Loi 25Élevé
  • Aucun chemin d’approbation pour un nouvel outil.
  • Aucun inventaire des décisions automatisées.
P2
La première page de ce que produit une évaluation : ce qui tourne, ce que cela peut atteindre, et l’ordre dans lequel corriger. Le document complet couvre chaque outil trouvé, avec le responsable et l’effort pour chaque ligne.
Microsoft Purview Data Security Posture Management for AI : tâches de configuration, recommandation sur le risque de surpartage, et graphiques du volume d’interactions avec Microsoft Copilot et d’autres applications d’IA.
La vue console que produit ce travail : Copilot et les autres applications d’IA côte à côte, avec le risque de surpartage chiffré plutôt que supposé.Used with permission from Microsoft
01

Évaluer

  • Identité et accès — ce que chaque outil hérite de son utilisateur
  • Gestion des vulnérabilités — ce qu’une livraison a activé sans le dire
  • Protection des données — entraînement sur vos données, et où elles résident
  • Sécurité réseau — S. O., tout passe par le réseau du fournisseur
  • Protection des charges — les outils d’IA utilisés, et ce que chacun atteint
  • Journalisation et surveillance — si invites et réponses sont consignées
  • Réponse aux incidents — comment révoquer un agent en cours d’incident
  • Gouvernance — exposition à la Loi 25 et décisions automatisées

Déroulement

  • Atelier de découverte
  • Évaluation technique selon les OWASP LLM et Agentic Top 10
  • Feuille de route, avec le risque qui demeure
02

Protéger

  • Identité et accès — ce que l’outil peut atteindre, limité au travail
  • Gestion des vulnérabilités — nouveaux modèles évalués à leur arrivée
  • Protection des données — retrait de l’entraînement, rétention, résidence
  • Sécurité réseau — S. O., rien ici ne vous appartient à segmenter
  • Protection des charges — une liste d’outils approuvés, et les paramètres qui l’appliquent
  • Journalisation et surveillance — journalisation des invites et des réponses
  • Réponse aux incidents — un moyen de couper un outil ou un agent
  • Gouvernance — avis, explication et révision humaine (Loi 25)

Déroulement

  • Conception, contrôles nommés d’emblée
  • Réalisation, testée pour de vrai
  • Transfert, avec dossier de preuve
03

Maintenir

  • Identité et accès — qui dispose des outils, et ce que leurs agents atteignent
  • Gestion des vulnérabilités — capacités ajoutées par une livraison
  • Protection des données — où vont les invites et le code
  • Sécurité réseau — S. O., rien n’y change de votre côté
  • Protection des charges — IA fantôme, et outils achetés par un service
  • Journalisation et surveillance — si les journaux sont encore écrits
  • Réponse aux incidents — si la révocation d’un agent fonctionne encore
  • Gouvernance — le risque IA au même registre que le reste

Déroulement

  • Critères d’approbation convenus d’avance
  • Nouveaux modèles évalués à leur arrivée, non trimestriellement
  • Une décision que votre équipe sécurité peut défendre

Référence client

Un grand service public

GitHub Copilot Enterprise et Copilot Studio approuvés plutôt que bloqués — contrôles d’accès, gouvernance de la création d’agents, et évaluation de sécurité des modèles eux-mêmes

La création d’agents encadrée avant sa mise à disposition générale

Lire la référence

Savez-vous quels outils d’IA vos employés utilisent ?

La plupart ne le savent pas. Dites-nous ce que vous exploitez et nous cadrerons le mandat. Ou commencez par l’évaluation gratuite — soixante minutes, et un avis écrit sur les domaines qui méritent un examen. Réponse sous un jour ouvré.

Réserver votre évaluationVoir les tarifs