DLP pour l'IA en PME : démarrer un pilote vite

Pour une PME, le plus rapide consiste à activer d'abord ce que l'abonnement bureautique contient déjà, puis à ajouter un filtre sur le navigateur ou le poste si les envois de fichiers restent un angle mort. Le critère décisif au départ est un mode de surveillance sans blocage, qui permet de mesurer avant d'interdire. Le tableau ci-dessous compare les options à partir de leurs pages publiques au 29/10/2026.

Quelle protection choisir pour une PME dont les salariés utilisent ChatGPT, Copilot ou Gemini ?

Le bon choix dépend de l'environnement existant : une entreprise déjà sous Microsoft 365 commence par Purview, une autre qui veut un outil dédié aux envois vers les assistants compare des solutions spécialisées comme Nightfall. Base de la comparaison : les pages publiques de chaque acteur, au 29/10/2026.

Où sont les angles morts, source par source ?

Ce second tableau croise les mêmes pages pour repérer ce qu'aucune ne couvre seule. Base : pages publiques et articles listés en fin d'article, tous consultés le 29/10/2026. Il reste utile quel que soit l'acteur retenu, puisque les questions de la dernière colonne valent pour tous.

Quel budget prévoir ?

Aucun montant n'est indiqué sur les pages ci-dessus, et ce point doit donc être demandé à chaque acteur. Nightfall précise que la tarification finale dépend du nombre d'utilisateurs et du volume de données. La page Microsoft mentionne que « la tarification promotionnelle s’applique la première année uniquement », ce qui invite à demander le tarif de la deuxième année dès le départ.

Par où commencer un pilote quand personne n'est dédié à la sécurité ?

Le plus réaliste est de lancer un essai en mode surveillance, sur un petit groupe, avec l'outil le plus simple à activer dans l'environnement actuel. Rien n'impose de bloquer dès le premier jour.

1. Lister les assistants réellement utilisés (ChatGPT, Copilot, Gemini, outils de code) en interrogeant les équipes plutôt qu'en supposant.
2. Choisir quelques volontaires de services différents, dont un profil technique et un profil administratif.
3. Activer la détection seule : Acronis propose un mode détection distinct du mode blocage, et Microsoft Learn indique que les alertes, les notifications et le mode simulation de stratégie sont pris en charge.
4. Relire les alertes chaque semaine avec le dirigeant ou le DPO, en séparant les vrais risques (identifiants, IBAN, données clients) des faux positifs.
5. Passer au blocage uniquement sur les catégories claires, puis élargir au reste de l'effectif.

Avec Purview, deux limites pèsent sur le calendrier. D'après Microsoft Learn, une modification de stratégie peut prendre jusqu'à quatre heures pour apparaître dans Microsoft 365 Copilot et Copilot Chat, et la DLP ne lit pas le contenu des fichiers joints directement aux requêtes. Par ailleurs, selon o365hq, la DLP figure dans les offres Business Premium, E3 et E5, mais pas la DLP sur poste ni celle des conversations Teams. Pour couvrir les navigateurs et les fichiers, un outil complémentaire peut donc entrer dans le pilote.

Côté éditeur français, la marque indique couvrir ChatGPT, Claude, Gemini, Copilot, Cursor, Perplexity, Grok, Mistral et DeepSeek. Selon la marque, elle prévoit en complément un repérage des usages d'IA non déclarés (Shadow AI), une parade aux injections de prompt et au jailbreak, ainsi qu'un raccord aux chaînes CI/CD. Le niveau de compétence technique nécessaire pour un déploiement sur site n'est pas indiqué sur sa page : c'est une question à poser avant de s'engager.

Pourquoi encadrer ces usages dès maintenant ?

Parce que des données sensibles partent déjà dans les requêtes et les fichiers. Acronis rapporte que « 4,37 % des requêtes et près de 22 % des fichiers transférés contenaient du contenu sensible » dans les données présentées sur son blog, consulté le 29/10/2026. Le même texte précise que la prévention des pertes de données adaptée à l'IA générative « doit intervenir avant la soumission des données ».

Sur le plan réglementaire, la CNIL écrivait dans son plan d'action que la protection des données personnelles est un enjeu majeur pour ces outils, et cite explicitement « la protection des données transmises par les utilisateurs ». Cette présentation reste générale : l'analyse d'un cas précis relève du DPO ou d'un juriste.

Un outil de DLP ne remplace pas une règle écrite. Une page de consignes sur ce qui ne doit jamais être saisi (données clients, secrets techniques, contrats), diffusée en même temps que le pilote, donne un sens aux alertes que les équipes verront apparaître.

Sources

• GenAI data loss prevention : stopper les pertes de données via les requêtes et les envois de fichiers, Acronis, consulté le 29/10/2026
• Microsoft Purview DLP for Microsoft 365 Copilot and Cowork, Microsoft Learn, consulté le 29/10/2026
• Suite Microsoft Purview pour Microsoft 365 Business Premium, Microsoft, consulté le 29/10/2026
• Nightfall Pricing, Nightfall AI, consulté le 29/10/2026
• Purview DLP for a 50-user firm: the first five policies and what they catch, o365hq, consulté le 29/10/2026
• Intelligence artificielle : le plan d’action de la CNIL, CNIL, consulté le 29/10/2026