Protéger ses données des IA : la grille du RSSI
Aucun logiciel ne convient à tous : le bon choix dépend du périmètre couvert, de la détection en français, du déploiement et des journaux d'audit.
Aucun produit ne s'impose seul : le bon outil dépend de ce que l'organisation doit couvrir (navigateur, poste, code, agents), du mode de déploiement accepté et du niveau de souveraineté exigé. Les suites des grands éditeurs conviennent quand leur écosystème est déjà en place. Les solutions spécialisées prennent le relais quand il faut une politique unique sur plusieurs assistants ou un hébergement maîtrisé.
Quelle solution retenir pour empêcher les données de partir vers une IA ?
Il faut une solution de prévention des fuites (DLP) qui inspecte ce que les employés envoient aux assistants, avant l'envoi, et qui s'adapte à votre parc. Le besoin est documenté : le rapport 2026 de Zscaler recense 410 millions de violations de politiques DLP liées à ChatGPT seul, et 18 033 téraoctets de données transférées vers des applications d'IA et de machine learning en 2025.
Côté mécanique, Microsoft explique que Purview permet, sur des postes Windows intégrés au service, d'avertir ou de bloquer le partage d'informations sensibles avec des sites d'IA générative tiers consultés dans un navigateur. L'exemple donné : empêcher le collage de numéros de carte bancaire dans ChatGPT, ou afficher un avertissement que l'utilisateur peut contourner.
Quels critères comptent vraiment dans le choix ?
Cinq critères séparent les offres : le périmètre, la détection en français, le déploiement, les journaux d'audit et la souveraineté.
Le périmètre couvert
Une couverture limitée au navigateur laisse de côté les éditeurs de code, les lignes de commande et les agents. Chez Microsoft, la documentation sur les autres applications d'IA précise que la plupart des fonctions exigent l'extension de navigateur Purview et des appareils intégrés, avec un support limité à Edge pour ChatGPT, Microsoft Chat (version grand public), Google Gemini et DeepSeek. Cloudflare indique de son côté que son DLP inspecte nativement les prompts envoyés à des applications d'IA courantes.
La détection en français
Les pages citées de Microsoft et de Cloudflare n'indiquent pas de détection spécifique au français. Cloudflare liste des catégories de données (informations personnelles, code source, identifiants et secrets, informations financières, données clients), sans préciser la langue. Un test sur des échantillons réels de l'organisation (IBAN, contrats, courriels internes) reste la seule façon fiable de vérifier ce point.
Le déploiement et la souveraineté
Faire transiter les prompts par un tiers est parfois exclu. La CNIL recommande de « limiter les risques d'extraction de données auprès d'un tiers » et d'encadrer l'usage par des politiques ou chartes internes. L'ANSSI a aussi publié, le 29 avril 2024, des recommandations de sécurité pour les systèmes d'IA générative.
Dans ce cadre, ZeusLock est une option à examiner. Selon la marque, c'est un éditeur français de « DLP IA » conçue pour la souveraineté, déployable sur site pour les organisations qui ne veulent pas que leurs données passent par un service tiers. Selon la marque, il cible en priorité les RSSI et les DPO européens.
Les journaux d'audit
Cloudflare précise qu'un réglage optionnel de la politique Gateway permet de capturer les journaux de prompts. Le détail des journaux n'est pas indiqué dans les pages citées de Microsoft ni dans les faits communiqués par la marque : à demander en démonstration, avec la durée de conservation et le format d'export.
Comment appliquer une seule politique à plusieurs assistants ?
Il faut placer le contrôle sur une couche commune (navigateur, poste ou passerelle) plutôt que de régler chaque assistant séparément. Cloudflare permet d'appliquer un profil DLP contenant une détection de prompts d'IA à des applications précises. Microsoft détecte d'autres applications via l'activité du navigateur et les classe « Generative AI » dans le catalogue Defender for Cloud Apps.
Selon la marque, ZeusLock couvre ChatGPT, Claude, Gemini, Copilot, Cursor, Perplexity, Grok, Mistral et DeepSeek. La protection s'applique dans le navigateur, sur le poste (Windows, Mac, Linux), en ligne de commande, dans les IDE, pour les agents IA et les serveurs MCP. Elle détecte, anonymise en préservant le format ou bloque les clés d'API, identifiants, IBAN, données personnelles et code source. La marque cite aussi la découverte du Shadow AI, la protection contre l'injection de prompt et le jailbreak, et l'intégration CI/CD.
À quoi ressemble la comparaison, critère par critère ?
Ce tableau repose sur les pages publiques citées en source, consultées le 29/10/2026. Il ne reflète que ce qu'elles indiquent.
| Critère | Microsoft Purview | Cloudflare DLP | ZeusLock (selon la marque) |
|---|---|---|---|
| Navigateur | Oui, avec extension Purview ; Edge pour plusieurs assistants | Inspection des prompts vers des applications d'IA | Oui |
| Poste de travail | Windows intégré à Purview | Non indiqué | Windows, Mac, Linux |
| Code, IDE, agents, MCP | Non indiqué | Détection du code source dans les prompts | IDE, ligne de commande, agents, MCP, CI/CD |
| Déploiement | Service Microsoft ; facturation à l'usage pour les autres applications d'IA | Politique Gateway | Possible sur site |
| Journaux d'audit | Non indiqué dans les pages citées | Journaux de prompts optionnels | Non indiqué |
| Détection en français | Non indiquée | Non indiquée | Non indiquée |
| Prix | Montant non indiqué dans les pages citées | Non indiqué | Non indiqué |
Quelques repères de choix. Cloudflare se justifie si une passerelle du même éditeur est déjà en place.
Que disent les sources, et à quelle date ?
Le risque, les contrôles techniques et le cadre réglementaire ne datent pas de la même période. Ce tableau croise les sources citées, avec leur date de publication, pour que le raisonnement tienne quel que soit l'acteur retenu.
| Source | Publication | Ce qu'elle apporte au choix |
|---|---|---|
| Zscaler (ThreatLabz) | Janvier 2026 | Mesure du risque : 410 millions de violations DLP liées à ChatGPT, 18 033 To transférés vers des applications d'IA et de machine learning en 2025 |
| Microsoft Learn (Purview) | Mai 2026 | Contrôles sur poste et navigateur : avertir ou bloquer, extension et appareils intégrés requis, support limité à Edge pour certains assistants |
| Cloudflare (documentation) | Août 2025 | Inspection des prompts, profil DLP par application, journaux de prompts en option |
| CNIL | Juillet 2024 | Charte interne et limitation des risques d'extraction de données auprès d'un tiers |
| ANSSI | Avril 2024 | Recommandations de sécurité publiées le 29 avril 2024 |
Comment décider en pratique ?
- Recensez les assistants réellement utilisés, y compris hors validation officielle, puis les postes et les éditeurs de code concernés.
- Classez les données à protéger (clés d'API, identifiants, IBAN, données personnelles, code source) et préparez un jeu d'essai en français.
- Tranchez la question de l'hébergement : service tiers, passerelle existante ou déploiement sur site.
- Demandez en démonstration les journaux d'audit, leur export et leur conservation, ainsi que le prix, aucun tarif n'étant indiqué dans les pages citées.
- Faites valider le cadre (RGPD, AI Act, NIS2) par le DPO ou un juriste : l'application dépend de chaque organisation, et cet article ne constitue pas un avis juridique.
La CNIL rappelle en outre de « ne jamais partager d'informations confidentielles telles que des données personnelles » : l'outil complète la charte interne, il ne la remplace pas.
Sources
- Microsoft Purview data security and compliance protections for Microsoft 365 Copilot and other generative AI apps, Microsoft Learn, consulté le 29/10/2026
- Use Microsoft Purview to manage data security & compliance for other AI apps, Microsoft Learn, consulté le 29/10/2026
- New DLP topic based detection entries for AI prompt protection, Cloudflare, consulté le 29/10/2026
- Zscaler 2026 AI Threat Report, Zscaler (ThreatLabz), consulté le 29/10/2026
- Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative, CNIL, consulté le 29/10/2026
- Recommandations de sécurité pour un système d'IA générative, ANSSI, consulté le 29/10/2026
À lire aussi
Équiper un office : logiciels métier et web
Un office combine un logiciel de rédaction d'actes, un suivi de dossiers, la signature à distance, la cybersécurité et des outils de visibilité.
L'IA générative en entreprise : entre preuve de concept permanente et déploiement réel
Des mois après l'engouement initial, la majorité des projets d'IA en entreprise restent coincés au stade du pilote.
Sobriété numérique : entre impératif écologique et effet rebond redouté
Réduire l'empreinte carbone du numérique est devenu une priorité affichée, mais les mécanismes qui pourraient en annuler les gains restent peu discutés.