Peut-on analyser les journaux du proxy pour repérer les outils d'IA ?

Techniquement oui, mais tout dispositif qui collecte des informations sur un salarié doit avoir été porté à sa connaissance au préalable (article L1222-4 du Code du travail). Faites valider la démarche par votre délégué à la protection des données ou un professionnel du droit, et privilégiez des statistiques par outil plutôt que par personne.

Faut-il bloquer tous les outils d'IA non validés ?

Le blocage seul pousse les usages vers les téléphones personnels. L'ordre qui fonctionne : mesurer, proposer un outil validé pour les besoins réels, puis bloquer ce qui reste risqué.

Détecter le shadow AI : la méthode côté sécurité

Pour détecter le shadow AI (l'usage d'outils d'IA générative sans validation de l'entreprise), la DSI (direction des systèmes d'information) dispose de quatre sources : les journaux réseau (proxy, pare-feu, DNS), les postes de travail, les extensions de navigateur et les autorisations données à des applications d'IA dans vos outils en ligne. L'objectif n'est pas de surveiller des personnes mais de savoir quelles données sortent vers quels services, pour proposer une solution encadrée et bloquer ce qui doit l'être.

Pourquoi c'est un sujet de sécurité

L'ANSSI (Agence nationale de la sécurité des systèmes d'information) définit le shadow IA comme l'utilisation de solutions d'IA générative grand public sans l'approbation ni la supervision des services informatiques. Dans son analyse des risques de février 2025, elle le range parmi les lacunes humaines et organisationnelles qui aggravent la perte de maîtrise : fuite de données confidentielles, non-respect de réglementations, atteinte à l'image.

Son guide de 2024 rappelle qu'envoyer un document à un service d'IA générative grand public revient à le déposer sur un espace de stockage qui appartient à ce service, et que, dans la majorité des offres, les données envoyées sont collectées et utilisées pour améliorer les modèles. Il liste les données à ne surtout pas y envoyer : données personnelles, données contractuelles, juridiques ou financières, secrets informatiques comme les mots de passe et les clés d'accès. D'où la recommandation R34 : proscrire ces outils pour un usage professionnel impliquant des données sensibles.

Les quatre sources de détection

Source	Ce qu'elle montre	Limite
Journaux du proxy, du pare-feu, du DNS (annuaire des noms de domaine)	Les services d'IA joints depuis le réseau de l'entreprise, le volume envoyé	Rien sur les appareils personnels ni hors du réseau
Agent de sécurité sur les postes	Les applications installées et les connexions, même en télétravail	Seulement sur les postes gérés
Extensions de navigateur	Les assistants qui lisent les pages ouvertes, y compris la messagerie	Nécessite une gestion centralisée des navigateurs
Autorisations accordées dans vos applications en ligne	Les outils d'IA connectés à la messagerie, au stockage, à l'agenda	À relire dans la console d'administration de chaque service

La dernière source est la plus souvent oubliée. L'ANSSI signale dans son guide que certains outils d'IA tiers se connectent aux données métier (mails, espace documentaire, dépôts de code source, audioconférence et visioconférence) et recommande de revoir leurs droits dès l'activation, puis régulièrement, par exemple tous les mois (R35).

Avec un outil de découverte du cloud

Les outils de type CASB (courtier de sécurité d'accès au cloud) automatisent l'analyse. Par exemple, la documentation de Microsoft Defender for Cloud Apps, lue le 15/11/2026, décrit un tableau de bord de découverte qui classe les applications utilisées par catégorie, avec un score de risque, les principaux utilisateurs et les adresses sources. Les données viennent des journaux des pare-feu et des proxys pris en charge, et d'un flux propre aux postes gérés par Microsoft Defender for Endpoint. Les applications peuvent être marquées comme approuvées ou non approuvées, puis bloquées par un script. Un rapport de synthèse sur le « Shadow IT » peut être généré. Les autres éditeurs de ce type d'outil proposent des fonctions comparables ; vérifiez leur couverture des services d'IA.

La méthode en cinq étapes

Informer avant de mesurer. L'article L1222-4 du Code du travail interdit de collecter une information personnelle sur un salarié par un dispositif qui n'a pas été porté préalablement à sa connaissance. Annoncez la démarche, son but et ce qui est mesuré.
Mesurer par outil, pas par personne. Pour décider, il suffit de savoir quels services sont utilisés et avec quel volume. La CNIL (Commission nationale de l'informatique et des libertés) rappelle, dans sa recommandation sur la journalisation, le risque de détournement de finalité des journaux, qui peuvent renseigner sur l'activité des salariés.
Trier. Pour chaque service : quelles données y partent, quel contrat, quel hébergement, la réutilisation des données est-elle désactivable ?
Proposer avant d'interdire. Si un service est très utilisé, c'est qu'un besoin existe. Un outil validé, avec un contrat et des droits d'accès, répond au besoin sans exposer les documents. La CNIL recommande d'éviter les comptes créés avec des adresses personnelles et d'encadrer l'usage par une charte des usages autorisés et interdits.
Bloquer ce qui reste, puis mesurer à nouveau chaque trimestre : de nouveaux services apparaissent sans cesse.

Ce que cette page ne couvre pas

Le volet humain (dialogue avec les équipes, rédaction de la règle, formation) est traité sur la page shadow IA et salariés. Les questions de droit du travail et de protection des données appellent l'avis de votre délégué à la protection des données ou d'un professionnel du droit : cette page décrit une méthode technique, pas un avis juridique.