Le risque dépend de ce que l’agent peut lire, mémoriser, transmettre et modifier. Définissez ses droits, les validations et les traces attendues. Une personne valide et peut arrêter le flux.
Trois droits, trois conséquences
Un agent utilise des outils pour agir. Chaque connexion ajoute des données, des destinataires et des actions possibles. Sa mémoire étend ce qui reste conservé.
La CNIL décrit ces risques liés aux flux et aux mémoires. Source relue le 10 octobre 2026.
Ouvrir une ligne pour approfondir
Une consigne à l’IA ne remplace pas un contrôle d’accès.
Listez les sources autorisées et les données exclues. Définissez mémoire, durée de conservation, destinataires et services tiers. Un document reçu n’est pas une instruction fiable : ses consignes ne doivent pas élargir les droits.
Accordez le minimum utile, par ressource et par action. Une permission absente arrête l’action. Prévoyez révocation et revue périodique des accès.
Lire un devis n’autorise ni la modification du CRM ni l’envoi d’un email. Contrôlez ces droits au moment de l’action, indépendamment des réponses du modèle.
Désignez qui valide, sur quel contenu et pour quel destinataire. Une modification invalide l’accord précédent. Un refus bloque ; une exception remonte avec son contexte.
Journalisez source, règle, accord ou refus, demande et retour confirmé. Protégez le journal, limitez ses données et fixez sa conservation. Testez les blocages sur données fictives ; définissez l’arrêt et la reprise après revue.
Repères : CNIL, sécurité des systèmes IA · ANSSI, approche par les risques. Contrôles à adapter au flux réel.
Aucune connexion. Aucun email réel.
Essayez un refus, retirez un droit ou arrêtez le flux. Le blocage doit tenir, même si le brouillon est prêt.
Bonjour,
Avez-vous pu prendre connaissance de notre devis ? Nous restons disponibles pour préciser votre besoin.
Données minimales : statut et adresse. Dossiers RH, pièces jointes et boîte mail complète exclus.
Lecture du devis et préparation permises. L’envoi exige un droit et une validation humaine. Un refus ou un arrêt bloque la suite.
Activez JavaScript pour essayer la simulation. Ce brouillon reste une illustration.
État et journal limités à cette page ; recharger recommence le scénario. Aucun historique métier réel.
Sur une liste de pièces autorisée, l’agent peut préparer le constat d’une absence. La diffusion reste soumise aux droits et à la validation. Aucune décision d’investissement.
Explorer le suivi des pièces M&A ↗Présence à vérifier.
Le constat peut être préparé.
BM cadre les données, les droits, les règles, les validations et les traces d’un flux sur mesure, autour de vos outils. Puis teste les exceptions avant d’étendre le périmètre.
Cadrer les accèsAucun document confidentiel requis pour le premier échange.Ce guide ne remplace ni DPO, RSSI, avocat, audit cyber ou homologation. Pas de certification ni de garantie de conformité BM.
Préparer l’intégration de l’IA en entreprise ↗Oui, si le système et ses droits le permettent. Pour un premier flux à risque, nous proposons une validation explicite du contenu et du destinataire avant envoi. Elle doit être contrôlée par le système, pas simplement demandée dans un prompt.
Écartez ce qui ne sert pas au flux : mots de passe, clés d’accès, dossiers hors périmètre. Les données personnelles, sensibles ou confidentielles demandent une analyse du besoin, des destinataires, des contrats et de la conservation avec les référents concernés.
Non. La localisation ne règle pas les droits, les sous-traitants, la mémoire, les vulnérabilités ni les usages des données. Vérifiez chaque maillon ; ne déduisez pas une souveraineté ou une conformité de la seule adresse d’hébergement.
Utilisez des accès dédiés, un périmètre de ressources autorisées et des permissions séparées pour lire, écrire et envoyer. Vérifiez les contrôles au moment de l’action, testez les refus, puis revoyez ou révoquez les accès lorsqu’ils ne servent plus.
La délégation à un agent n’efface pas les responsabilités des organisations et acteurs impliqués. Désignez le responsable métier, documentez les rôles et sollicitez votre DPO, RSSI ou conseil juridique pour déterminer les obligations du cas réel.
