Il peut inclure des employés utilisant des comptes publics d'IA générative, des équipes appelant des API de modèles non examinées, des modèles exécutés localement, des agents non officiels et des capacités d'IA introduites par une mise à jour d'un service logiciel par ailleurs approuvé. L'activité n'est pas nécessairement malveillante ; le problème déterminant est que les processus normaux de propriété du risque et de contrôle sont contournés ou absents.
Sans inventaire exact, une organisation peut ignorer quelles informations sont envoyées à un fournisseur, quelles conditions de rétention s'appliquent, quelles identités ou quels outils un agent peut utiliser, ou si les sorties influencent des décisions importantes. Une réponse pratique combine la découverte avec des alternatives approuvées, des règles claires de traitement des données, la sensibilisation, des voies de revue et d'exception accessibles, et des contrôles proportionnés.
Points clés
Périmètre de découverteRegarder au-delà des sites de chat bien connus vers les extensions de navigateur, les outils de développement, les fonctionnalités SaaS, le trafic d'API, les ressources cloud, les notebooks, les dépôts de modèles, les runtimes locaux, les agents et les plateformes d'automatisation.
Questions de triageIdentifier le propriétaire, la finalité, les utilisateurs, le fournisseur, les classes de données, le modèle et la région, les systèmes connectés, les permissions, la rétention, les conditions contractuelles et si la sortie entraîne une action à conséquence.
Réduction du risqueOffrir des services approuvés, appliquer l'identité et le moindre privilège, faire respecter les protections contre la perte de données lorsque approprié, surveiller l'usage, former le personnel et faciliter l'enregistrement de l'adoption légitime.
Limite importanteLe blocage de domaines, la supervision réseau, les notes de frais et les enquêtes auprès du personnel ne révèlent chacun qu'une partie du tableau ; l'usage d'IA intégré, local et indirect peut rester invisible. Une interdiction indiscriminée peut aussi pousser l'activité utile encore plus loin hors de la gouvernance.