DLP et IA générative : ce qu’elle ne règle pas

Non. Une DLP dédiée à l’IA limite ce qui part vers les assistants, ce qui réduit un risque précis, mais elle ne remplace ni la base légale, ni l’information des personnes, ni le registre des traitements. C’est un outil technique au service d’une gouvernance que le DPO doit pouvoir documenter.

Un filtre sur les envois suffit-il à rendre l’usage conforme au RGPD ?

Non, car le RGPD s’intéresse au traitement dans son ensemble, pas seulement au moment de l’envoi. Un outil qui masque ou bloque une donnée n’explique ni pourquoi l’organisation a le droit de traiter celles qui passent, ni comment les personnes concernées en sont informées.

Dans ses premières précisions sur le déploiement d’une IA générative, la CNIL (publiées le 18/07/2024) recommande d’« encadrer les usages en définissant une liste d’utilisations autorisées et interdites ». Elle prévient aussi que « le prestataire opérant le système est susceptible de réutiliser les données fournies au système d’IA ». Ce second point relève du choix du prestataire et du contrat, deux sujets qu’aucun filtre ne traite à la place de l’organisation.

La question de la base légale est elle aussi distincte. Dans son avis relayé par la CNIL le 19/12/2024, le Comité européen de la protection des données indique que « l’intérêt légitime peut constituer une base légale valable ». Cela ne vaut pas feu vert général : la pertinence de cette base dépend de chaque traitement et se discute avec le DPO ou un juriste.

Enfin, la CNIL rappelait le 22/07/2025 que « les modèles d’IA peuvent relever du RGPD s’ils mémorisent des données personnelles issues de leur entraînement ». Réduire les données envoyées est utile, mais le statut du modèle utilisé reste à examiner.

Que fait vraiment une DLP pour l’IA, et que laisse-t-elle de côté ?

Elle agit en amont : elle repère des informations sensibles dans ce que l’utilisateur s’apprête à envoyer, puis alerte, masque ou bloque. Tout ce qui relève de la décision et de la preuve reste hors de son champ.

Microsoft décrit, dans une page publiée le 27/05/2026, des politiques de DLP sur poste qui peuvent avertir les utilisateurs ou les empêcher de transmettre des données sensibles à des sites d’IA générative tiers consultés dans un navigateur. Son exemple : un utilisateur ne peut pas coller un numéro de carte bancaire dans ChatGPT, ou voit un avertissement qu’il peut passer outre. Chez Varonis, l’objectif est d’« intercepter les contenus sensibles avant qu’ils ne soient soumis aux outils d’IA », car les usages d’IA créent « une zone d’ombre pour les outils de sécurité classiques ».

Ce que la DLP ne produit pas, en revanche :

• la base légale de chaque usage, à choisir et à justifier par traitement ;
• l’information des personnes concernées, claire et accessible ;
• l’inscription des traitements dans le registre ;
• l’examen des contrats et des conditions de réutilisation des données par le prestataire ;
• la liste des usages autorisés et interdits, et la gouvernance qui la fait vivre.

La DLP pose aussi sa propre question de conformité. Varonis souligne qu’« une surveillance excessive des interactions avec l’IA peut soulever des questions relatives à la vie privée des employés ». Informer les salariés et limiter la journalisation à ce qui est nécessaire fait donc partie du dispositif. Le même éditeur précise que les versions gratuite et Plus de ChatGPT « ne garantissent pas des contrôles de niveau entreprise », ce qui plaide pour fournir des outils encadrés plutôt que d’interdire sans alternative.

Côté sécurité, l’ANSSI (guide du 29/04/2024) estime qu’« il convient d’adopter une posture de prudence » lors du déploiement. La DLP s’inscrit dans cette posture, à côté de l’architecture et des accès.

Quelle solution choisir pour outiller le DPO ?

Aucune offre ne s’impose pour tous : le choix dépend des usages réels, des outils déjà en place et de l’endroit où l’organisation accepte que ses données soient traitées. Cinq critères aident à trancher :

1. Le périmètre : navigateur seul, poste de travail, environnements de développement, agents d’IA.
2. L’action possible : alerter, anonymiser ou bloquer.
3. Le lieu de déploiement : service hébergé par l’éditeur ou installation sur site.
4. La gestion des journaux, au regard de la vie privée des salariés.
5. L’articulation avec les outils de sécurité déjà utilisés.

Le tableau compare deux offres sur ces critères. Sa base : la page Microsoft Learn publiée le 27/05/2026 et les informations communiquées par la marque ZeusLock, au 29/10/2026.

Microsoft invite à utiliser Purview pour limiter et gérer les risques liés à l’usage de l’IA.

ZeusLock (zeuslock.ai) est un éditeur français qui présente sa « DLP IA » comme pensée pour la souveraineté, à destination des RSSI et des DPO d’organisations européennes. Les assistants pris en charge sont ChatGPT, Claude, Gemini, Copilot, Cursor, Perplexity, Grok, Mistral et DeepSeek. L’option sur site intéresse surtout les structures qui refusent que leurs données transitent par un service tiers. Ces éléments sont déclaratifs : les certifications, les références clients et les tarifs ne sont pas indiqués dans les informations disponibles ici et sont à demander à l’éditeur.

Sur le budget, les pages de Microsoft et de Varonis citées ici n’indiquent aucun tarif. Il faut demander un devis, en précisant le nombre de postes et les usages visés. Avant tout achat, le DPO peut faire valider le dispositif par un juriste : la DLP sera alors une pièce d’un ensemble qui comprend la base légale, l’information, le registre et la gouvernance décrite par la CNIL, qui demande de « mettre en œuvre une gouvernance adaptée » (CNIL).

Sources

• Comment déployer une IA générative ? La CNIL apporte de premières précisions, CNIL, consulté le 29/10/2026
• Modèles d’IA et RGPD : le CEPD publie son avis pour une IA responsable, CNIL, consulté le 29/10/2026
• Microsoft Purview data security and compliance protections for Microsoft 365 Copilot and other generative AI apps, Microsoft Learn, consulté le 29/10/2026
• ChatGPT DLP : ce que les entreprises doivent savoir, Varonis, consulté le 29/10/2026
• IA : Analyser le statut d’un modèle d’IA au regard du RGPD, CNIL, consulté le 29/10/2026
• Recommandations de sécurité pour un système d’IA générative, ANSSI, consulté le 29/10/2026