L'IA apparaît comme la principale menace en matière de fuite de données

Les chefs d'entreprise ont investi des milliards dans des outils d'IA afin de stimuler la productivité et l'innovation. Cependant, des données récentes révèlent un risque grave que de nombreuses organisations n'avaient pas anticipé. Les plateformes d'IA qui aident les employés à travailler plus rapidement sont devenues le principal canal de sortie des données sensibles hors des environnements d'entreprise. Des études montrent que 77 % des employés collent des données dans des outils d'IA générative et que 40 % des fichiers téléchargés contiennent des informations personnelles identifiables ou des informations relatives à des cartes de paiement. Ce phénomène se produit actuellement, à grande échelle, au sein d'organisations qui estiment que leurs contrôles de sécurité sont adéquats. Il met en évidence un décalage fondamental entre la façon dont les entreprises supposent que l'IA est utilisée et les interactions quotidiennes réelles de leur personnel. Reconnaître ce changement est la première étape essentielle pour élaborer des stratégies de sécurité adaptées aux réalités d'aujourd'hui.

Comment l'IA est devenue le nouveau vecteur de fuite de données

Il y a deux ans, l'IA générative faisait à peine partie des flux de travail des entreprises. Aujourd'hui, 45 % de tous les employés d'entreprise utilisent activement des plateformes d'IA, ce qui représente 11 % de l'activité totale des entreprises. À lui seul, ChatGPT a atteint un taux d'adoption de 43 % parmi les employés, un taux de pénétration que d'autres plateformes de communication ont mis des décennies à atteindre.

Cette adoption rapide a créé un vide en matière de sécurité. Les systèmes traditionnels de prévention des pertes de données ont été conçus pour les transferts de fichiers, les pièces jointes aux e-mails et le trafic réseau. Ils n'ont jamais été conçus pour surveiller ce que les employés tapent dans les boîtes de dialogue ou collent dans les interfaces de chat. Cette lacune est devenue la principale voie d'échappement des informations sensibles.

L'IA générative représente désormais 32 % de tous les transferts de données entre les comptes d'entreprise et les comptes personnels, ce qui en fait le plus grand canal de fuite de données, dépassant le partage de fichiers, les e-mails et tous les autres canaux que les équipes de sécurité ont longtemps sécurisés. Le problème ne réside pas seulement dans le volume, mais aussi dans la nature de la fuite. Le téléchargement d'un document sur un serveur de fichiers laisse une trace ; le collage de données clients dans une invite d'IA se fait souvent en dehors de tout système d'enregistrement ou de surveillance.

Le problème des comptes personnels

Le problème fondamental n'est pas l'utilisation des outils d'IA, mais la manière dont les employés y accèdent. Les modèles de sécurité des entreprises partent du principe que les employés utilisent des comptes d'entreprise avec authentification unique, enregistrement et supervision. Les données montrent que cette hypothèse est erronée : environ 67 % de l'utilisation de l'IA se fait via des comptes personnels non gérés. Il s'agit d'adresses Gmail personnelles, de comptes Microsoft ou d'inscriptions directes qui contournent complètement les systèmes d'identité d'entreprise. Lorsqu'un employé se connecte à ChatGPT avec une adresse e-mail personnelle, l'entreprise n'a aucune visibilité sur ses invites, les données partagées ou les informations sensibles contenues dans les réponses.

Même lorsque des comptes d'entreprise sont utilisés, les identifiants manquent souvent de fédération. 83 % des connexions ERP et 71 % des connexions CRM se font sans authentification unique. Cela signifie que la connexion d'entreprise n'offre guère plus de sécurité ou de visibilité qu'un compte personnel. Même si le nom d'utilisateur comporte le domaine de l'entreprise, les contournements d'authentification permettent les mêmes flux de données invisibles.

Copier-coller : la fuite de données invisible

Les stratégies traditionnelles de prévention des pertes de données se concentraient sur les systèmes de fichiers, la surveillance des téléchargements, des téléchargements et des pièces jointes. Mais les données révèlent que la véritable source des fuites n'est pas les fichiers, mais le copier-coller. 77 % des employés collent des données dans des outils d'IA générative, 82 % de cette activité provenant de comptes personnels non gérés. En moyenne, chaque employé effectue 15 collages par jour à partir de comptes personnels, et au moins quatre d'entre eux contiennent des données personnelles sensibles ou des données de carte de paiement.

Cela signifie que les informations sensibles ne transitent plus uniquement par le biais de téléchargements de fichiers. Elles sont directement injectées dans des invites, des fenêtres de chat et des champs de texte. Ces transferts sans fichier sont pratiquement invisibles pour les solutions DLP traditionnelles. Ils se produisent à une fréquence élevée, sur plusieurs plateformes et en dehors du contrôle de l'entreprise.

Il en résulte un flux continu de données sensibles qui quittent l'organisation par des canaux difficiles à détecter. Le copier-coller est devenu la nouvelle méthode d'exfiltration, les outils d'IA étant la destination principale.

Fichiers sensibles vers des destinations non autorisées

Le téléchargement de fichiers reste au cœur des flux de travail, mais leurs destinations ont changé. Les employés ne se limitent plus à télécharger des fichiers vers des espaces de stockage ou des e-mails autorisés ; ils transfèrent des fichiers vers des outils d'IA générative, des applications grand public et des plateformes SaaS non autorisées.

Les données indiquent que 40 % des fichiers téléchargés vers des outils d'IA générative contiennent des données personnelles ou financières. De même, 41 % des fichiers téléchargés vers des plateformes de stockage de fichiers contiennent ce type de données. Près de 4 téléchargements sur 10 sont effectués via des comptes personnels.

Par conséquent, les données sensibles circulent dans des environnements sur lesquels les entreprises n'ont ni visibilité ni contrôle. Une fois qu'un fichier est téléchargé sur un Google Drive personnel, une discussion WhatsApp ou une invite IA, il quitte effectivement les locaux de l'entreprise et ne peut plus être suivi, restreint ou supprimé.

Les destinations sont diverses, allant des outils d'entreprise tels que Egnyte et Zendesk aux plateformes grand public telles que Canva, LinkedIn et WhatsApp. Ce mélange d'écosystèmes d'entreprise et grand public brouille les frontières des données d'entreprise et expose les limites du DLP traditionnel, qui a été conçu pour des canaux sanctionnés et un contrôle centralisé.

Ce que cela signifie pour la sécurité des entreprises

Le périmètre de sécurité traditionnel s'est effondré. Auparavant, les données pouvaient être contrôlées en gérant les réseaux, en sécurisant les terminaux et en surveillant les applications autorisées. Ce modèle supposait que le travail se déroulait à l'intérieur des systèmes de l'entreprise, avec une utilisation occasionnelle et contrôlée des plateformes externes.

Aujourd'hui, le travail s'effectue dans des navigateurs, sur des dizaines d'applications, via des comptes professionnels et personnels, à l'aide de méthodes qui ne laissent aucune trace d'audit. Un employé qui effectue des recherches sur un problème client peut effectuer des recherches dans les systèmes internes, coller ses résultats dans ChatGPT pour les résumer, copier le résumé dans Slack pour ses collègues et le transférer via son adresse e-mail personnelle pour une révision ultérieure. Chaque étape fait passer des données sensibles par des canaux invisibles pour les outils traditionnels.

Le navigateur est devenu le principal lieu de travail, mais les contrôles de sécurité n'ont pas suivi le rythme. Les employés passent facilement d'une application à l'autre, sans faire de distinction entre les outils professionnels et personnels. Ils utilisent tout ce qui est efficace, pratique et ne nécessite pas l'approbation du service informatique. Cela crée un environnement dans lequel les informations sensibles circulent constamment vers l'extérieur via des canaux invisibles.

Repenser la sécurité d'entreprise à l'ère de l'IA

La solution ne consiste pas à bloquer les outils d'IA ou à interdire purement et simplement les comptes personnels. De telles approches échouent car elles vont à l'encontre de la manière dont les employés travaillent réellement. Ces outils existent parce qu'ils stimulent la productivité. Les comptes personnels prolifèrent parce que l'approvisionnement de l'entreprise est lent et restrictif. Une sécurité qui ignore ces réalités sera tout simplement contournée.

Une protection efficace nécessite une visibilité au niveau du navigateur, là où le travail s'effectue réellement. Cela signifie qu'il faut surveiller non seulement les téléchargements de fichiers, mais aussi les opérations de collage, les soumissions de formulaires, les interactions rapides et tous les autres mouvements de données entre les systèmes. Cela nécessite l'application de politiques qui distinguent les comptes d'entreprise des comptes personnels, quelle que soit l'application utilisée.

Les organisations doivent étendre la prévention des pertes de données au-delà des fichiers pour inclure les transferts sans fichier. Une invite soumise à ChatGPT doit faire l'objet du même examen minutieux qu'une pièce jointe à un e-mail. Un collage dans Slack doit déclencher les mêmes vérifications qu'un téléchargement vers Google Drive. La méthode de transfert ne doit pas dicter l'application de la sécurité.

Les contrôles d'identité doivent être strictement appliqués. Il ne suffit pas de proposer une authentification unique si les employés peuvent toujours accéder aux applications professionnelles via leurs comptes personnels. L'authentification fédérée doit être obligatoire pour toute application traitant des données sensibles, et non facultative. Les connexions d'entreprise non fédérées doivent être considérées comme des risques de sécurité.

Conclusion

L'IA est devenue la catégorie qui connaît la plus forte croissance dans le domaine des logiciels d'entreprise, et le premier canal d'exfiltration de données. 77 % des employés collent des données dans des outils d'IA. Quarante pour cent des téléchargements contiennent des informations sensibles. La majorité de ces activités sont effectuées via des comptes non gérés. L'ancien périmètre de sécurité a disparu. La plupart des tâches sont effectuées dans le navigateur, et même des actions simples comme le collage de texte peuvent entraîner des violations. Les entreprises qui ne parviennent pas à adapter leurs stratégies de sécurité à cette nouvelle réalité sont déjà en train de perdre le contrôle de leurs données les plus précieuses.