Quand la politique rencontre le comportement réel
Un prestataire gouvernemental était sous pression. Il avait un arriéré de dossiers FEMA d'aide aux victimes d'inondations à traiter. Il a collé des noms, adresses et dossiers médicaux dans ChatGPT pour aller plus vite. Il ne pensait enfreindre aucune règle. Il utilisait simplement l'outil le plus efficace à sa disposition.
Résultat : une enquête gouvernementale et une divulgation publique.
C'est l'échec fondamental de la gouvernance IA reposant uniquement sur des politiques. Les politiques indiquent aux employés ce qu'ils doivent faire. Elles n'arrêtent pas le comportement.
77 % des employés d'entreprise partagent des informations professionnelles sensibles avec des outils IA au moins chaque semaine — même lorsque les politiques l'interdisent (eSecurity Planet/Cyberhaven 2025). Ce ne sont pas des travailleurs imprudents. Ce sont des personnes sous pression temporelle qui choisissent l'outil le plus rapide.
Pourquoi les politiques échouent
Les politiques d'utilisation de l'IA reposent sur le jugement humain au moment de la saisie. Ce moment est bref. L'employé peut ne pas se souvenir de la politique. Il peut ne pas voir le contenu comme « sensible ». Il accepte le risque parce que le gain de temps semble important.
L'analyse Q4 2025 de Cyberhaven révèle que 34,8 % de toutes les saisies ChatGPT contiennent des informations confidentielles. Beaucoup de ces utilisateurs connaissaient la politique. Ils ont quand même collé.
Les politiques d'accès fonctionnent parce que les systèmes les appliquent. La DLP au niveau de la messagerie fonctionne parce que les systèmes l'appliquent. Les politiques IA n'ont aucun mécanisme d'application au point de collage. Une décision humaine comble cette lacune. À grande échelle, les humains font des erreurs.
Le prestataire FEMA a fait l'une de ces erreurs. Ce n'était pas un acteur malveillant. L'outil l'a emporté parce que la politique lui demandait de choisir la lenteur plutôt que la vitesse. Sous pression, il a choisi la vitesse.
Les contrôles techniques arrêtent ce que les politiques ne peuvent pas
La seule solution qui fonctionne à grande échelle opère au niveau technique — pas au niveau de la formation.
Une extension de navigateur peut intercepter le contenu du presse-papiers avant qu'il n'atteigne une IA en ligne. Lorsque le prestataire copie des noms et adresses de demandeurs et les colle dans ChatGPT, l'extension détecte les informations personnelles, les anonymise et envoie la version épurée. L'IA voit [NAME_1] et [ADDRESS_1] au lieu de valeurs réelles. Elle accomplit quand même la tâche. Les informations privées du demandeur n'atteignent jamais les serveurs de ChatGPT.
C'est automatique. L'utilisateur n'a rien à mémoriser.
Pour les développeurs utilisant Cursor ou GitHub Copilot, un Serveur MCP fournit la même couche de protection. Le code collé dans le contexte IA passe d'abord par le moteur d'anonymisation. Les identifiants et les références propriétaires deviennent des jetons. L'IA reçoit une entrée épurée et fournit toujours une sortie utile.
Comparez avec le blocage : Blocage vs. Anonymisation — Comparaison DLP navigateur.
Ce qui change avec les contrôles techniques
Avec une extension de navigateur en place, le scénario FEMA se déroule différemment :
- Le prestataire copie les dossiers des demandeurs depuis le système de gestion
- L'extension détecte les informations personnelles dans le presse-papiers
- Une fenêtre d'aperçu montre ce qui sera remplacé
- La version anonymisée est envoyée à ChatGPT
- ChatGPT traite la demande et renvoie les résultats
- Le prestataire obtient l'aide nécessaire — aucune enquête déclenchée
La politique n'avait pas besoin de changer. La formation n'avait pas besoin d'être effectuée. La couche d'interception a tout géré.
La formation aux politiques réduit les risques à la marge. Les contrôles techniques éliminent le mode d'échec. L'incident FEMA était un échec de politique. Avec une seule Chrome Extension déployée sur l'appareil de ce prestataire, il n'aurait pas eu lieu.
Voir aussi :
- Gouvernance IA en entreprise : Chrome Extension DLP
- DLP navigateur pour ChatGPT, Claude et Gemini
- Chrome Extension : DLP navigateur pour outils IA