À retenir
Utilisez l’inventaire comme point de départ pour des décisions d’usage. Nommez les responsables, données permises, alternatives et exceptions. Un agent capable d’agir dans d’autres applications nécessite une revue de ses droits et un responsable pouvant l’arrêter. Mesurez les décisions et contrôles vérifiés, pas seulement les domaines IA observés.
1. Relier les outils aux conditions d’usage
Le guide Shadow AI explique comment distinguer usage observé et compte vérifié. La gouvernance ajoute des choix.
Un nom de fournisseur reconnu n’établit pas l’autorisation de son usage. Pour chaque besoin, décidez : autoriser sous conditions, proposer une alternative ou suspendre cet usage pendant l’évaluation. Expliquez le chemin utilisable aux personnes concernées.
| Décision | Exemple |
|---|---|
| Outil autorisé | Un espace professionnel identifié et évalué |
| Contexte du compte | Identité professionnelle sur les appareils couverts |
| Données | Catégories permises et interdites selon le parcours |
| Agent | Connecteurs, actions et identités revus séparément |
| Exception | Approbateur, justification et date de fin |
2. Écrire une règle d’usage compréhensible
Une page peut suffire si elle précise :
Les recommandations ANSSI couvrent la sécurité de l’architecture et du cycle de vie des systèmes génératifs ; elles ne remplacent pas une analyse juridique. Les conseils NCSC sur les agents appellent à proportionner leur autonomie, leurs accès et leur supervision. Appliquez ces principes à votre contexte : réexaminez la décision quand les données, actions ou permissions changent.
Publiez la règle à l’endroit où les équipes travaillent déjà. Si vous interdisez un compte personnel pour des données de travail, indiquez l’alternative approuvée disponible.
- le besoin métier et les usages concernés ;
- les outils et types de comptes autorisés ;
- les catégories de données interdites, avec des exemples fictifs ;
- les attentes propres aux agents : responsable, permissions et moyen d’arrêt ;
- les navigateurs/appareils couverts et ceux qui ne le sont pas ;
- la procédure de signalement et la durée des exceptions.
Références : ANSSI — Recommandations de sécurité pour un système d’IA générative · NCSC — Thinking carefully before adopting agentic AI · NCSC — Managing the cyber risk of agentic AI
3. Nommer les responsabilités
Vérifiez la couverture, l’édition et la région de tout produit supplémentaire envisagé. Des outils natifs et un tableau peuvent suffire pour attribuer les responsabilités et démarrer les revues. Un nouveau module fournisseur n’est pas un préalable à une décision d’usage.
- Responsable métier : finalité, besoin et catégories de données.
- Sécurité ou IT : comptes, permissions, contrôles et départs.
- Approbateur d’exception : choix justifié, durée et réexamen.
4. Relier approbation, connecteurs et départs
Dans l’échantillon Material Security de 22 332 applications sur 21 environnements Google Workspace, 91 % des applications IA/automatisation ont été observées depuis janvier 2024 ; 1 064 applications avaient des jetons valides sans utilisateur actuellement actif. Il ne s’agit pas d’une mesure des clients elba ou de toutes les PME.
Une approbation garde le responsable, la finalité, les droits et la source qui les établit. Quand un agent obtient une nouvelle action ou connexion, réouvrez cette revue. Distinguez l’identité utilisée par ses outils des droits d’un utilisateur qui interroge ses connaissances.
Au départ d’une personne, vérifiez connexion, autorisations individuelles, consentement tenant et identité des outils d’agents. La suspension Google réinitialise les jetons OAuth de cet utilisateur ; les autres autorisations gardent leur propre revue. La suppression d’une autorisation déléguée Microsoft empêche de nouveaux jetons pour ces droits, mais les jetons d’accès existants peuvent rester valides jusqu’à expiration.
Le guide OAuth et la revue des habilitations décrivent les vérifications dans les sources. Un seuil de dormance d’environ 90 jours est un point de départ à adapter, pas une preuve automatique de suppression.
Références : Material Security — OAuth Risk Report · Google — Sécuriser les comptes compromis · Microsoft Graph — Supprimer une autorisation déléguée
5. Mesurer les décisions et les contrôles
Un décompte de sites visités ne mesure pas les autorisations ni les données envoyées. Conservez les limites : appareils non inscrits, formats non inspectés, interfaces non couvertes et consentements encore inconnus. Un blocage sans alternative peut déplacer l’usage vers d’autres appareils ; vérifiez le besoin métier avant de choisir la réponse.
| Indicateur | Ce qu’il établit |
|---|---|
| Outils avec responsable et décision | Couverture de la gouvernance |
| Exceptions en retard | Réalité du réexamen |
| Changements d’accès confirmés | Corrections vérifiées dans la source |
| Contrôles testés avec données fictives | Résultat du parcours couvert |
| Agents avec responsable d’arrêt | Capacité de réaction |
6. Commencer par un parcours de 30 jours
Prévoyez ensuite une revue des nouveaux usages et un contrôle périodique des accès dormants. Ce parcours ne permet pas de déclarer la gouvernance « terminée ».
- Semaine 1 : valider la règle, les outils autorisés et les exemples de données.
- Semaine 2 : relier les principaux outils observés à une décision et un responsable.
- Semaine 3 : vérifier les consentements et inclure les connexions dans le parcours de départ.
- Semaine 4 : vérifier les contrôles avec des données fictives et garder les limites explicites.
Comment elba accompagne ce parcours
Third-Party Apps et les observations navigateur alimentent l’inventaire applicatif en conservant la provenance des signaux. Le responsable et la politique d’usage y donnent une destination aux observations ; celles-ci ne prouvent pas un compte ou une autorisation connectée.
Les Playbooks Browser Security configurés appliquent les avertissements ou blocages des parcours navigateur pris en charge. Vérifiez fournisseur, interface, compte, format et politique. Un résultat Copilot web n’établit pas une protection du grounding Microsoft 365 natif ou des connecteurs Copilot Studio ; les formats binaires fournissent uniquement des métadonnées et une inspection incomplète ne bloque pas à elle seule l’envoi.
Data Protection remonte les expositions de partage prises en charge quand les données sont déjà accessibles trop largement. La sensibilisation conserve son utilité sans remplacer la décision de permissions.
Elba ne remplace pas votre règle écrite, l’analyse juridique ou les paramètres de consentement Google/Microsoft. Vérifiez les connexions et parcours effectivement couverts avant de présenter un contrôle comme efficace.
Références : Google — Sécuriser les comptes compromis
Checklist de gouvernance IA pour les PME
Vos cases cochées restent sur cette page et sont réinitialisées à son rechargement.
Questions fréquentes
Shadow AI signifie-t-il absence de gouvernance ?
Il décrit un usage non approuvé ou non maîtrisé. La gouvernance définit les conditions d’un usage approuvé. On peut disposer d’un inventaire sans décisions utilisables.
Peut-on interdire toute IA générative ?
L’organisation peut choisir une restriction, mais elle doit examiner le besoin et les chemins alternatifs. Des espaces approuvés et des règles de données vérifiées rendent la décision plus facile à appliquer.
Faut-il acheter un produit spécialisé avant de commencer ?
Non. Utilisez les inventaires de consentement et contrôles disponibles, formalisez les exceptions et vérifiez les départs. Évaluez un produit supplémentaire sur sa couverture réelle.
Que montrer à la direction ?
Décisions d’usage, exceptions en attente, changements d’accès vérifiés et résultats des contrôles, avec leurs limites. Le nombre de domaines IA n’est pas suffisant.
Sources et documentation
Documentation de référence utilisée pour ce guide. Les paramètres et les éditions disponibles évoluent : consultez les sources avant de modifier vos réglages.
- Material Security — OAuth Risk Report
- ANSSI — Recommandations de sécurité pour un système d’IA générative
- NCSC — Thinking carefully before adopting agentic AI
- NCSC — Managing the cyber risk of agentic AI
- Microsoft — Identifiants des outils fournis par le créateur
- Google — Sécuriser les comptes compromis
- Microsoft Graph — Supprimer une autorisation déléguée