Témoignage client anonyme · Santé australienne
Comment une organisation australienne de santé a réduit les requêtes Shadow AI de 92.8% en 30 jours.
Aona a aidé à traduire une politique d’IA en contrôles applicables, en bloquant les outils non approuvés et en orientant les équipes vers Microsoft Copilot.
Explorer les résultats92.8%
réduction des requêtes Shadow AI
Requêtes envoyées en dehors de l’outil approuvé. Identité du client confidentielle.
- Client
- Identité protégée
- Sector
- Santé et formation professionnelle
- Region
- Australie · Loi sur la protection de la vie privée
- Stack Aona
- Extension navigateur + portail de gouvernance
Quand l’adoption de l’IA se fait de toute façon, la gouvernance doit être en temps réel.
Cette organisation de santé évolue dans un environnement de haute confiance avec des attentes strictes de confidentialité. Le personnel adoptait rapidement l’IA, mais l’utilisation était fragmentée entre des outils grand public et l’option approuvée, Microsoft Copilot, qui n’était pas applicable en pratique.
Contexte client
Organisation de santé à haute confiance traitant des informations sensibles.
L’organisation soutient la formation professionnelle, les services aux parties prenantes, la gouvernance et la communication. Son personnel gère des informations sensibles d’évaluation, d’adhérents, financières et stratégiques sous les obligations de la loi australienne sur la protection de la vie privée.
L’adoption de l’IA se faisait déjà dans les équipes sans supervision centrale. La gouvernance devait suivre la vitesse d’adoption, pas rester un simple document politique.
Résultat
92.8%
moins de requêtes ont été soumises en dehors de l’outil approuvé 30 jours après l’activation des garde-fous.
Nous avions besoin d’un moyen de surveiller l’utilisation de l’IA dans l’organisation et de mettre en œuvre une politique IA pour le personnel. Nous soutenons l’usage des nouvelles technologies, mais il fallait des garde-fous pour garantir la sécurité.
Administrateur principal des systèmes et de la sécurité
Organisation australienne de santé · identité protégée
Le nom du client, son emplacement et les identités individuelles sont protégés à sa demande. Le contexte sectoriel, les retours cités et les résultats mesurés sont publiés avec permission.
Ils avaient une politique. Ils n’avaient ni preuve, ni contrôle, ni filet de sécurité.
Le personnel traitait des informations sensibles d’évaluation, d’adhérents, financières et stratégiques. Avec la généralisation de l’IA générative, ils ont naturellement expérimenté les outils qui les aidaient à aller plus vite. Le risque s’est déplacé vers le navigateur ; la gouvernance ne l’a pas suivi.
Adoption de l’IA
Fragmentée
Les équipes utilisaient des outils d’IA non autorisés, en dehors de la politique approuvée pour Microsoft Copilot.
Envois à l’IA
Sans contrôle
Des requêtes étaient envoyées via des outils non approuvés sans garde-fous applicables au moment de l’envoi.
Activité IA
Invisible
Des milliers de visites sur des outils d’IA non autorisés ont révélé un écart entre la politique écrite et les pratiques quotidiennes.
La partie inconfortable
Sans visibilité sur les requêtes ni piste d’audit, l’équipe sécurité ne pouvait répondre aux questions que posent réellement la direction et les auditeurs : Quelles données sont parties ? Qui les a partagées ? Quand ? Et cela pourrait-il se reproduire demain ?
Trois niveaux de douleur, en même temps
Operational
Un flux constant de nouveaux outils IA à suivre, sans moyen fiable de mesurer la conformité à l’option approuvée.
Strategic
Aucune preuve défendable pour les rapports au conseil ou la conformité aux exigences de la loi sur la vie privée.
Human
Le personnel essayait de faire son travail. Il avait besoin d’orientations immédiates, pas d’un document de plus dans un dossier partagé.
Rapidité de mise en valeur avec de vrais contrôles, pas seulement des rapports.
Déploiement léger
Une extension navigateur déployée avec un minimum de perturbations et sans réarchitecture réseau.
Visibilité à l’échelle de la main-d’œuvre
Une vue unique des usages IA approuvés et non approuvés, avec le contexte nécessaire pour comprendre les risques.
Garde-fous en temps réel
Requêtes et téléchargements interceptés avant soumission, puis avertis, redirigés ou bloqués selon la politique.
Gouvernance configurable
Politiques et rapports adaptés au contexte opérationnel et au modèle de gouvernance de l’organisation.
Surveillance navigateur, portail de gouvernance et garde-fous.
Aona a détecté les visites sur des sites IA et intercepté les requêtes et téléchargements de fichiers au niveau du navigateur avant soumission. Les politiques bloquaient les plateformes et abonnements non désirés ; sur les plateformes autorisées, les garde-fous en temps réel analysaient le contenu et empêchaient les données sensibles de quitter l’appareil.
- 01
Extension de navigateur
Visites de sites IA détectées et requêtes et téléchargements interceptés au point de soumission.
- 02
Portail de gouvernance
Centralisation de la piste d’audit et transformation de l’activité de la main-d’œuvre en preuves prêtes pour la direction.
- 03
Garde-fous en temps réel
Blocage des plateformes non autorisées et arrêt des requêtes risquées avant qu’elles ne quittent l’appareil, tout en guidant le personnel vers Microsoft Copilot.
Ce qui était inclus
Visibilité sur les plateformes d’IA approuvées et non approuvées, inspection pré-soumission des requêtes et des fichiers téléchargés, blocage strict, rapports centralisés, conseils et gouvernance en temps réel alignés sur les politiques internes.
Ce qui n’était pas nécessaire
Aucun blocage au niveau DNS, nouveau fournisseur d’identité, agent invasif sur les terminaux ni sprint de réentraînement des politiques. Aona s’est intégrée au flux de travail existant du navigateur.
Contrôles de confidentialité et de sécurité pour ce déploiement
Aucune conservation du contenu brut
Le contenu des requêtes et des fichiers était évalué en temps réel mais non stocké. Seules des analyses de haut niveau étaient conservées.
Résidence des données en Australie
Le contenu était traité de manière transitoire en Australie, et les données analytiques résultantes étaient stockées en Australie.
Chiffrement complet
Les données analytiques client étaient chiffrées en transit et au repos.
Évaluation indépendante
Les contrôles de sécurité d’Aona sont couverts par son attestation SOC 2 Type II.
Résultats qu’un responsable sécurité peut présenter au conseil d’administration, à un auditeur ou à une équipe dirigeante.
92.8%
Moins de requêtes Shadow AI dans les 30 jours suivant l’activation des garde-fous. L’organisme a bloqué les plateformes indésirables et appliqué des contrôles avant envoi aux outils d’IA autorisés pour ses équipes.
- Moins d’utilisateurs à risque
- 69,2 %
Suivi ciblé des risques comportementaux restants
- Moins de plateformes non autorisées
- 71,4 %
Moins d’outils actifs utilisés en dehors de la politique approuvée
- Contenu brut conservé
- 0
Le contenu des requêtes et fichiers a été traité de manière transitoire et non stocké
Voir les mesures et le calcul
Volumes avant et après déclarés pour ce client, avec des résultats mesurés 30 jours après l’activation des garde-fous.
| Indicateur | Avant les garde-fous | Après 30 jours | Évolution |
|---|---|---|---|
| Requêtes Shadow AI | 446 | 32 | 92,8 % de moins |
| Plateformes non autorisées actives | 7 | 2 | 71,4 % de moins |
| Utilisateurs à risque | 13 | 4 | 69,2 % de moins |
Réduction = (avant − après) ÷ avant × 100, arrondie à une décimale.
(446 requêtes Shadow IA avant − 32 après) ÷ 446 avant × 100 = 92,8 %, arrondi à une décimale.
L’inspection initiale a également révélé 8 904 visites sur des outils d’IA non autorisés et classé 41 cas d’usage des requêtes.
Efficacité opérationnelle
Les garde-fous interceptent les requêtes et les fichiers avant soumission, puis bloquent, avertissent, redirigent ou autorisent selon la politique. Des preuves de haut niveau sont disponibles à la demande sans conserver le contenu brut des requêtes ou fichiers.
Maturité de la gouvernance
L’organisme a déclaré disposer d’une visibilité complète sur le trafic IA de ses équipes et a classé leurs usages de l’IA, ajoutant un contexte métier aux simples visites de sites.
Un outil d’IA approuvé n’est pas la preuve que les utilisateurs s’en servent réellement.
Si votre organisation a approuvé des outils d’IA mais aucune preuve que la politique est respectée, vous avez probablement un risque d’IA fantôme invisible. Aona montre ce qui se passe, puis applique des garde-fous qui rendent la gouvernance mesurable.