L’assistant de l’entreprise ne sait pas analyser le fichier d’un fournisseur. Un salarié doit rendre son travail, ouvre son compte IA personnel et y dépose le document. La réponse lui convient. L’entreprise doit maintenant comprendre où le fichier est parti.
C’est une forme de shadow IA : un usage professionnel d’outils, de comptes ou de connexions IA en dehors du cadre autorisé par l’organisation. Il peut passer par un fournisseur connu, un abonnement personnel payant ou une extension de navigateur placée entre le salarié et le modèle.
La première question est de savoir quel circuit a reçu quelles données. L’engagement d’un fournisseur à ne pas entraîner ses modèles sur ces données concerne un usage précis. À lui seul, il ne règle ni la conservation, ni les services connectés, ni les liens de partage, ni les accès malveillants.
Pourquoi un salarié passe à son compte personnel
La tâche peut être tout à fait ordinaire : comparer des devis, résumer un contrat ou extraire des chiffres d’un document. Si l’outil autorisé ne gère pas le format, le connecteur ou les étapes nécessaires, un compte personnel peut sembler être une solution immédiate.
Cette explication mérite d’être vérifiée auprès de l’équipe. Une communication présentée à la conférence AMCIS s’appuie sur une enquête auprès de 340 salariés à temps plein pour étudier le lien entre les insuffisances perçues de l’IA d’entreprise et le shadow IA. Son résumé décrit deux effets émotionnels de sens contraire : davantage de frustration envers les outils IA internes, mais moins de peur de rater le virage de l’IA. Il ne permet pas d’affirmer que toute insuffisance provoque un usage non autorisé. Cette lecture s’appuie uniquement sur le résumé.
Avant d’acheter un autre outil, identifiez ce qui a bloqué : la qualité de la réponse, l’accès au document, une fonction absente, le délai ou la procédure d’autorisation. Ces problèmes appellent des corrections différentes. Un abonnement supplémentaire ne résout pas nécessairement un connecteur qui donne accès à trop de données.
Un conseil que nous contestons : « interdisez les comptes IA personnels et le problème disparaît ». Sans outil autorisé capable de terminer la tâche, une interdiction déplace le même travail vers un endroit moins visible. Nous commencerions par corriger la tâche qui a échoué, puis nous définirions quelles données peuvent aller où.
Ce que couvrent les engagements d’OpenAI et d’Anthropic
« Ils n’utilisent pas nos données » reste trop vague pour décider. Il faut regarder le compte et le service réellement utilisés, puis les réglages et les exceptions applicables.
| Circuit | Engagement actuel du fournisseur sur l’entraînement | Points à vérifier séparément |
|---|---|---|
| Espace personnel ChatGPT standard | Le partage pour l’entraînement est activé par défaut ; l’utilisateur peut le désactiver. | Historique, partage, retours d’évaluation et réglages propres à d’autres produits. |
| ChatGPT Business/Enterprise et API OpenAI | Pas d’entraînement par défaut ; un partage expressément accepté peut changer ce cadre. | Espace utilisé, conditions du service, conservation et destinataires externes. |
| Compte Claude grand public | L’autorisation d’améliorer les modèles compte ; la sécurité et les retours d’évaluation ont des conditions particulières. | Réglages, historique et services connectés. |
| Services commerciaux Claude | Pas d’entraînement par défaut, avec des exceptions liées à un accord explicite ou aux retours d’évaluation. | Service, modèle, conservation et intégrations activées. |
Sources : réglages OpenAI, contrôle des données de l’API OpenAI, sécurité des espaces ChatGPT Business, Enterprise et Edu, politique Claude grand public et politique Claude pour les services commerciaux. Il s’agit des déclarations des fournisseurs, consultées le 10 novembre 2026, et non d’un audit indépendant de leur application. Certains programmes, retours d’évaluation et réglages d’autres produits modifient les règles générales ; le nom du compte ne suffit donc pas.
L’entraînement et la conservation sont deux sujets distincts. Les conversations d’un compte Claude grand public restent par exemple dans l’historique jusqu’à leur suppression ; une conversation supprimée quitte les serveurs sous 30 jours, mais les données utilisées pour améliorer les modèles, les conversations signalées et les retours d’évaluation sont conservés plus longtemps (jusqu’à 5, 2 et 5 ans). Pour les services commerciaux, la conservation dépend du service et, pour les modèles couverts désignés, Anthropic exige une conservation de 30 jours, sauf exceptions, de la part d’organisations qui pratiquent par ailleurs la conservation zéro des données. « Rien n’est stocké après trente jours » ne constitue pas une règle générale fiable. Consultez les conditions de conservation grand public, professionnelles et propres aux modèles couverts.
Lors d’un appel avec un manager, nous le formulons ainsi : « Désactiver l’entraînement règle une seule question : le fournisseur apprend-il de ces conversations ? Cela ne règle pas qui peut ouvrir un lien partagé, ce qu’une extension lit, ni qui garde l’historique quand le salarié s’en va. »
Qui reçoit les données, et quand s’agit-il d’un vol ?
Plusieurs circuits sont possibles. Les qualifier tous de « vol » empêche de voir quelle action permettrait de les maîtriser.
Le fournisseur traite la demande. OpenAI décrit un accès limité, par du personnel autorisé et des prestataires de confiance, pour des finalités définies, notamment la sécurité et l’assistance. L’entreprise déclare également ne pas vendre les données des utilisateurs ni partager le contenu des conversations à des fins de marketing ou de publicité. Cela se distingue d’une copie malveillante de la conversation. Consultez son explication sur les données grand public ; ne la remplacez pas par une accusation non étayée contre l’un ou l’autre fournisseur.
Un service connecté reçoit une partie du contenu. Un GPT personnalisé peut appeler un service externe par une application ou une action. OpenAI indique que les parties utiles de la saisie peuvent alors être transmises à ce service tiers. Le créateur d’un GPT ne voit pas automatiquement les conversations individuelles du seul fait qu’il l’a créé ; un service externe appelé par ce GPT constitue un autre destinataire. La documentation sur les GPT distingue ces situations. OpenAI remplace les GPT personnalisés par des plugins avant de les retirer ; la même vérification vaut pour le plugin ou l’application qui prend le relais. Les conditions du destinataire et les autorisations de la connexion doivent être examinées.
Une extension produit une copie supplémentaire. En mars 2026, les chercheurs de Microsoft Defender ont décrit des extensions d’assistant IA malveillantes qui collectaient les conversations et les envoyaient vers une infrastructure contrôlée par leurs opérateurs. Cette collecte malveillante est observée en dehors du fournisseur du modèle. Le rapport n’établit ni l’identité d’un éventuel acheteur final, ni une attaque ultérieure contre une entreprise déterminée.
Une personne partage la conversation. Avec un compte ChatGPT personnel, toute personne disposant du lien peut consulter l’instantané partagé. Le public autorisé diffère pour les espaces professionnels gérés. Désactiver l’entraînement ne révoque pas ce lien. Les règles de partage appellent donc une vérification distincte. Pour ce que l’entreprise doit encadrer, voir Un lien de partage IA n’est pas privé.
À la question « qui vole les données ? », les recherches citées permettent ainsi de répondre : des extensions malveillantes ont été observées en train de collecter et d’exfiltrer des conversations. Cela n’identifie pas les personnes qui les contrôlent. D’autres destinataires peuvent recevoir des informations par une intégration activée ou un partage volontaire. Ce sont des mécanismes différents, étayés par des preuves différentes. Sans élément supplémentaire, impossible de nommer un acheteur final inconnu ou d’affirmer qu’un concurrent a obtenu les documents d’une entreprise.
Suivre une même tâche de bout en bout
Prenons un exemple fictif d’achat, qui ne correspond pas à un cas client IZZY. Une acheteuse doit comparer trois devis. L’assistant autorisé ne lit pas le classeur. Celui-ci contient des noms de contacts, des prix proposés et des notes internes de négociation.
L’acheteuse ouvre son compte personnel, installe une extension IA pour traiter le fichier, puis partage la conversation obtenue avec un collègue. Plusieurs décisions se superposent :
| Étape | Question qui change la décision |
|---|---|
| Document d’entrée | Un tableau réduit suffirait-il, sans les contacts ni les notes de négociation ? |
| Compte personnel | Ce compte précis et cet usage des données sont-ils autorisés, avec les contrôles nécessaires ? |
| Extension ou convertisseur | Lit-il la page, reçoit-il le fichier, ou contacte-t-il son propre serveur ? Ce destinataire a-t-il été examiné ? |
| Partage du résultat | Qui peut ouvrir le lien ? La réponse reproduit-elle des informations confidentielles ? |
Désactiver l’entraînement du compte personnel ne traite ni la copie de l’extension, ni le public du lien. Payer son abonnement ne prouve pas davantage que l’entreprise a autorisé le circuit.
Le raisonnement vaut aussi pour les secrets techniques. Dans une analyse portant sur des extensions sélectionnées pour leur risque élevé, Unit 42 a signalé une extension d’aide à la candidature qui transmettait les clés API de fournisseurs IA saisies par l’utilisateur au serveur de son développeur. Cet échantillon ne représente pas toutes les extensions. Il montre pourquoi la présence du nom d’un fournisseur connu à l’écran ne prouve pas où part la clé.
Ces informations pourraient-elles être utilisées contre l’entreprise ? Des notes de négociation pourraient alimenter une tentative d’usurpation ciblée ; une clé encore valide pourrait permettre un usage non autorisé dans la limite de ses droits. Ce sont des conséquences possibles, qui dépendent du contenu et des accès exposés. Elles ne constituent ni des événements survenus dans cet exemple fictif, ni la preuve d’une exploitation ultérieure dans les cas d’extensions cités.
Ce qui nous inquiète d’abord, c’est le contrôle après un départ : les fichiers et l’historique des conversations restent dans un compte que l’entreprise ne peut ni voir ni fermer.
Donner à la tâche un circuit autorisé
Commencez par ce seul usage. Reproduisez le blocage avec un classeur fictif ou des informations publiques, avant de soumettre des données confidentielles à un nouveau service.
Les personnes responsables du travail, de la sécurité et des données doivent pouvoir s’accorder sur quatre points :
- Les données admises. Précisez les champs nécessaires et les contenus exclus. « Garder les références produit et les quantités ; retirer les noms, les identifiants de contrat et les notes internes de négociation » aide davantage que « enlever les données sensibles ». Même réduit, un jeu de données peut rester identifiant ou confidentiel.
- Le circuit complet. Nommez le compte, le fournisseur, les applications connectées et la destination du résultat. Examinez les accès et la conservation chez ces destinataires, au lieu d’autoriser une marque isolément.
- Le résultat attendu. Vérifiez que ce circuit sait réellement comparer les devis. Dans cet exemple, contrôlez les devises, les unités, les lignes manquantes et les totaux inventés par rapport au fichier sans données confidentielles. Un outil autorisé qui ne termine pas le travail laisse le problème initial entier.
- La solution de repli. En l’absence de circuit adapté et autorisé, conservez la tâche dans un processus manuel ou existant déjà autorisé pendant l’évaluation. Indiquez qui contacter et quelle décision doit suivre.
Cette démarche rejoint les recommandations de la CNIL sur les usages de l’IA générative : définir les usages et les limites concernant les données, les expliquer aux équipes et vérifier les pratiques. Une interdiction générale n’indique pas à l’acheteuse comment terminer son tableau.
Les agents autonomes capables d’agir sur des fichiers, dans un navigateur et avec d’autres outils demandent une décision à part. Le bulletin CERT-FR d’avril 2026 décrit ces pouvoirs et leurs risques, dont l’injection de prompt, et recommande pour l’instant de ne pas les déployer sur les postes de travail ni en production : leur usage doit rester limité à des environnements de test isolés, sans données sensibles. L’autorisation d’analyser un tableau ne doit pas être interprétée comme celle de parcourir tout un espace documentaire ou d’envoyer des courriels.
Si des informations confidentielles sont déjà parties vers un destinataire non autorisé, transmettez les éléments connus au circuit sécurité/confidentialité de l’entreprise : compte, fichier, destinataire et moment du transfert. Préservez ce qui permettra d’évaluer l’événement. L’équipe compétente pourra décider de révoquer une connexion ou un lien, demander une suppression ou remplacer une clé exposée. Une suppression ne garantit pas la disparition de toutes les copies ; un article général ne détermine pas les éventuelles obligations de notification.
Trouvons la voie autorisée ensemble
Si le problème concerne un usage IA autorisé ou son intégration dans un produit, le service Agents IA & Produits LLM d’IZZY offre un point de départ pour en définir le périmètre. Préparez la tâche, les données admises et un exemple sans information confidentielle montrant le blocage. Pour la question voisine de la continuité quand un fournisseur modifie ses accès ou ses conditions, consultez la dépendance au fournisseur IA.
Questions fréquentes
Non. Le prix ne détermine ni l’autorisation de l’organisation, ni le contrat, ni les contrôles disponibles. OpenAI distingue les comptes gérés et personnels, avec des exceptions liées à la configuration et à la prise en charge de comptes par l’organisation. Vérifiez l’espace utilisé ; l’adresse professionnelle du salarié ne suffit pas à le déterminer.
Ce choix agit sur un usage défini pour l’entraînement. Il reste à autoriser l’envoi de ces données, à accepter le destinataire et les conditions de conservation, puis à maîtriser les intégrations et le partage. Le réglage ne retire pas rétroactivement une copie déjà reçue par un tiers.
Reproduisez d’abord le blocage sans données confidentielles. Un connecteur absent, un document mal préparé et une limite du modèle ne demandent pas la même intervention. Le remplacement est une décision possible, pas une conséquence automatique de la découverte du shadow IA.