Relier une IA aux courriels, fichiers, agendas ou systèmes clients transforme un petit essai en décision d’accès. La question n’est pas de savoir si l’application paraît fiable, mais si chaque permission est nécessaire à une tâche nommée, dans un compte approuvé, pour une durée définie, et si elle peut être retirée proprement.
1. Nommer la tâche avant de lire les permissions
Écrivez une phrase avec la tâche et le minimum de données. « Résumer trois documents choisis » se teste ; « aider dans l’espace de travail » reste vague. Sans tâche précise, impossible de juger une autorisation excessive.
Appliquez le moindre privilège du NIST : un responsable, un compte approuvé, un jeu de données étroit et une date de révision.
- Tâche nommée
- Propriétaire des données
- Compte de test
- Données minimales
- Date de retrait
2. Traduire les permissions en verbes
Réécrivez chaque portée : voir, télécharger, créer, envoyer, supprimer, administrer. Lecture, écriture et administration ne sont pas équivalentes. Agir en votre nom est plus lourd que lire un dossier choisi.
N’inférez pas les limites du bouton. Ouvrez le détail d’autorisation et la documentation, y compris les accès hérités de dossiers partagés ou rôles administrateur.
- Lire
- Créer
- Modifier
- Envoyer
- Supprimer ou administrer
3. Réduire la portée avant d’accepter
Préférez un espace de test, un dossier dédié, un compte limité ou un petit échantillon. Refusez si la tâche précise exige un accès général. Les recommandations CISA rappellent le moindre privilège.
Utilisez d’abord des données synthétiques ou non sensibles. Une démo réussie prouve le fonctionnement, pas l’adéquation aux données confidentielles, personnelles ou réglementées.
- Dossier de test
- Échantillon non sensible
- Aucun rôle admin
- Pas d’écriture inutile
- Relecture humaine
4. Conserver les preuves, pas les impressions
Notez application, éditeur, portées, compte, forfait, approbateur, liens et date. Distinguez promesse fournisseur, contrôle observé et garantie contractuelle.
Testez une action anodine et consultez le journal. Vérifiez où apparaît l’intégration. Google propose une page de connexions pour examiner et retirer les accès tiers ; les autres plateformes diffèrent.
- Identité de l’application
- Portées exactes
- Forfait et compte
- Approbateur
- Preuves et date
5. Révoquer, vérifier et réexaminer
Déconnecter dans l’application IA peut laisser l’autorisation chez le fournisseur d’identité. Retirez-la dans le compte ou la console, puis vérifiez que l’accès échoue. Renouvelez le jeton si la politique l’exige.
Révisez les connexions et supprimez les applications dormantes. Consignez maintien, réduction ou révocation avec motif. L’audit ne remplace pas les examens sécurité, juridique, confidentialité ou achats.
- Révoquer à la source
- Confirmer l’échec
- Renouveler si nécessaire
- Retirer les apps dormantes
- Tracer la décision
Sources et limites
Normes primaires et aide officielle vérifiées le 19 septembre 2026.
- NIST — Least Privilege glossary
- NIST SP 800-53 Rev. 5 — AC-6 Least Privilege
- Google Account Help — Manage connections between your Google Account and third parties
- CISA — Enhanced Visibility and Hardening Guidance
Guide éditorial, sans conseil juridique, sécurité, confidentialité ou achat.