Choisissez le contrôle dont vous avez réellement besoin.
L'accès au service, l'accès au compte et la protection des données sensibles répondent à des questions différentes. Testez celui dont dépend votre politique.
- 01Bloquez le service
- Cet appareil peut-il accéder au service IA ?
Une règle de domaine, catégorie ou application peut refuser l'accès sur les chemins réseau ou client qu'elle contrôle.
Elle ne distingue pas les comptes personnels et professionnels sur le même service, ni n'inspecte le contenu d'une requête autorisée.
- 02Restreignez le compte
- Les employés peuvent-ils utiliser uniquement l'espace de travail approuvé ?
Une restriction de compte ou de locataire nécessite une identité, un navigateur ou une fonctionnalité de produit de sécurité supportée pour ce service spécifique.
Vérifiez les comptes autorisés et refusés, les modifications de connexion et les chemins de contournement. Un blocage de domaine seul n'est pas une restriction de compte.
- 03Inspectez le contenu
- Cette requête ou ce fichier peut-il être envoyé ?
Un chemin DLP supporté évalue l'information selon la politique configurée et applique la réponse disponible.
Testez séparément le texte tapé, le texte collé et les téléchargements. L’inspection du contenu ne restreint pas à elle seule le compte connecté.
Référence méthodologique : juillet 2026. Distinctions des contrôles mises à jour en septembre 2026. Les menus fournisseurs et actions prises en charge évoluent ; considérez ces chemins comme une orientation de configuration et validez votre déploiement actuel.
Faites défiler horizontalement pour comparer toutes les colonnes.
| Méthode | Où elle s’applique | Idéal pour | Ce qu’elle ne couvre pas |
|---|---|---|---|
| Microsoft Defender for Cloud Apps + Entra | Appareils intégrés à Defender for Endpoint | Boutiques Microsoft 365 E5 / Defender | Chemins hors des appareils pris en charge et intégrés |
| Zscaler (ZIA Cloud App Control) | Trafic dirigé via Zscaler | Déploiements ZIA existants | Trafic non dirigé via le service configuré |
| Netskope (Protection en temps réel) | Trafic dirigé via Netskope | Déploiements Netskope SSE existants | Trafic non dirigé et actions d'applications non vérifiées |
| Politique DNS / pare-feu / navigateur | Chemin réseau/résolveur ou navigateur géré configuré | Gestion DNS, pare-feu ou navigateur existante | DNS-over-HTTPS, hotspots, appareils personnels |
Bloquer ChatGPT avec Microsoft Defender for Cloud Apps et Entra
Si vous utilisez Microsoft 365 avec Defender for Endpoint, c’est la voie la plus propre : une étiquette Non autorisé applique le blocage au point de terminaison pour navigateurs, application de bureau et scripts.
Confirmer les prérequis
Vous devez avoir des appareils intégrés à Microsoft Defender for Endpoint, la protection cloud et la protection réseau activées, la protection navigateur requise configurée, et l'intégration Defender for Endpoint activée dans les paramètres de Defender for Cloud Apps. Sans cela, le tag Non autorisé est en mode surveillance uniquement.
Trouver ChatGPT dans le catalogue d'applications Cloud
Dans le portail Microsoft Defender, ouvrez Applications Cloud, puis Catalogue d'applications Cloud, et filtrez par catégorie IA générative. Microsoft maintient cette catégorie et regroupe plus d’un millier de services IA générative connus, dont ChatGPT et OpenAI.
Marquer l’application comme Non autorisée
Sélectionnez ChatGPT et appliquez le tag Non autorisé. Les domaines de l’application se synchronisent avec Defender for Endpoint comme indicateurs d’URL personnalisés, et la protection réseau peut appliquer le blocage sur les appareils intégrés pris en charge. Testez les navigateurs et applications requis au lieu de supposer que tous les clients et transports sont couverts.
Créer des exceptions avec Entra
Gardez l’application non autorisée pour tous, puis utilisez le filtrage de contenu web Microsoft Entra Internet Access avec l’Accès Conditionnel pour autoriser des groupes spécifiques (par exemple, une équipe pilote approuvée) à y accéder.
Planifier les contrôles des applications de bureau
Utilisez les capacités prises en charge de contrôle d’application ou de gestion des appareils pour chaque système d’exploitation. Vérifiez le comportement d’installation et de lancement sur vos appareils gérés ; les contrôles Windows et macOS ne sont pas interchangeables.
Ce que cela ne couvre pas
L’application du contrôle ne concerne que les appareils intégrés à Defender for Endpoint. Les directives de déploiement de Microsoft notent que les utilisateurs peuvent toujours accéder à des applications non autorisées depuis des appareils non gérés et réseaux personnels. Téléphones personnels, ordinateurs portables à domicile et BYOD restent invisibles.
Bloquer ChatGPT avec Zscaler
Zscaler Internet Access propose une catégorie Applications IA & ML avec actions par application, vous permettant de bloquer, avertir, isoler ou autoriser avec contrôles de téléchargement.
Ajouter une règle Cloud App Control
Dans le portail d’administration ZIA, allez dans Politique, puis URL & Cloud App Control, et ajoutez une règle Cloud App Control en utilisant la catégorie Applications IA & ML. Zscaler maintient cette catégorie et inclut ChatGPT et la plateforme OpenAI.
Définir la portée de la règle
Sélectionnez ChatGPT (et toute autre application OpenAI à couvrir), puis définissez la portée de la règle aux utilisateurs, groupes, départements ou emplacements. La plupart des équipes commencent avec une portée large et créent un groupe pilote approuvé.
Choisir l’action
Choisissez Bloquer pour refuser l’accès, Avertir pour afficher une page d’avertissement que les utilisateurs peuvent ignorer, ou Isoler pour exécuter la session dans Zscaler Browser Isolation. Pour un service autorisé, confirmez les fonctionnalités de téléchargement ou de restriction de locataire prises en charge par votre configuration Zscaler déployée et testez l’action prévue.
Ou bloquer toute la catégorie d’URL
Sinon, bloquez la catégorie d’URL Applications IA & ML dans le filtrage d’URL. C’est plus large et couvre plus d’outils, mais cela bloque aussi tout outil IA légitime déjà utilisé par vos équipes.
Ce que cela ne couvre pas
Zscaler ne contrôle que le trafic qui transite par lui. Les appareils sans Client Connector, téléphones en réseau cellulaire et machines personnelles contournent totalement la politique. Les pages d’avertissement perdent aussi leur effet dès que les utilisateurs apprennent à les ignorer.
Bloquer ChatGPT avec Netskope
Netskope couvre l’IA générative via une catégorie web maintenue et des contrôles par application dans la Protection en temps réel, incluant des modèles de coaching et la connaissance des instances au niveau du locataire.
Créer une politique de Protection en temps réel
Dans la console d’administration Netskope, allez dans Politiques, puis Protection en temps réel, et créez une nouvelle politique. Netskope propose aussi un type de politique dédié AI Guardrails pour les contrôles IA générative.
Définir la destination
Choisissez la catégorie IA générative pour couvrir toute la classe d’outils, ou sélectionnez spécifiquement l’application cloud ChatGPT. Netskope maintient la catégorie et suit des centaines d’applications IA génératives dans son Cloud Confidence Index.
Choisir Bloquer ou Alerte utilisateur
Définissez l’action sur Bloquer, ou utilisez Alerte utilisateur avec un modèle de coaching qui avertit les utilisateurs et vous permet de les orienter vers l’alternative approuvée. Si vous utilisez des restrictions conscientes de l’instance, vérifiez que le compte professionnel prévu est autorisé et que le compte personnel est refusé sur le chemin pris en charge. Ne déduisez pas cela d’un blocage de domaine.
Appliquer et ordonner la politique
Définissez la portée de la politique aux utilisateurs, groupes ou unités organisationnelles, placez-la correctement dans l’ordre des politiques, et publiez. Testez avec un groupe pilote avant de l’appliquer à toute l’organisation.
Ce que cela ne couvre pas
Même limitation de routage : seul le trafic via le client ou la passerelle Netskope est contrôlé. La couverture des catégories est aussi en retard sur les outils IA tout neufs, donc l’application la plus récente découverte par vos employés cette semaine peut ne pas être encore catégorisée.
Bloquer ChatGPT avec DNS, pare-feu ou politique navigateur
Aucune plateforme SSE requise. Le blocage par domaine et catégorie au bord du réseau est la méthode la plus rapide à déployer, et la plus facile à contourner.
Bloquer les domaines web ChatGPT
Sur votre filtre DNS ou pare-feu, bloquez chatgpt.com et chat.openai.com, ainsi que les domaines des ressources chargées par l’application : oaistatic.com et oaiusercontent.com. Utilisez des jokers pour les sous-domaines. Confirmez les domaines et l’impact attendu par rapport à vos applications et politiques actuelles.
Décider séparément pour api.openai.com
Bloquer api.openai.com affecte le trafic API direct traversant le chemin contrôlé. Un fournisseur SaaS peut appeler l’API depuis son propre backend, hors de ce chemin. Faites l’inventaire des requêtes réelles et de l’impact attendu avant d’appliquer la règle.
Utilisez la catégorie IA de votre pare-feu si elle existe
La plupart des fournisseurs NGFW et de filtrage DNS actuels proposent une catégorie IA générative ou services IA. Le blocage par catégorie attrape automatiquement les outils apparentés, au prix de faux positifs occasionnels sur des services légitimes.
Ajouter une liste de blocage pour navigateur géré
Pour les navigateurs gérés, poussez la politique URLBlocklist pour Chrome et Edge via la stratégie de groupe ou MDM avec les domaines ChatGPT. Cela s’applique même lorsque l’appareil est hors réseau d’entreprise, mais uniquement dans le navigateur géré.
Ce que cela ne couvre pas
Les règles DNS et pare-feu ne s’appliquent que sur les réseaux et résolveurs que vous contrôlez. DNS-over-HTTPS, hotspots mobiles, Wi-Fi domestique et appareils personnels les contournent, et OpenAI ajoute de nouveaux domaines au fil du temps. Les listes de blocage navigateur ne fonctionnent que dans le navigateur géré.
Pourquoi bloquer ChatGPT échoue comme stratégie
Chaque méthode ci-dessus fonctionne sur la tranche d’appareils et réseaux qu’elle peut voir. Le problème est ce qui se passe sur le reste. Les recherches et considérations pratiques ci-dessous expliquent pourquoi le blocage nécessite des contrôles complémentaires.
% des utilisateurs d’IA ont apporté leurs propres outils IA au travail. Bloquer un chemin autorisé ne supprime pas la demande.
Microsoft et LinkedIn, Work Trend Index 2024
% des personnes utilisant l’IA au travail hésitaient à admettre l’utiliser pour leurs tâches les plus importantes. Le blocage peut encourager une utilisation moins visible.
Microsoft et LinkedIn, Work Trend Index 2024
Bloquer uniquement ChatGPT laisse des alternatives comme Claude, Gemini, DeepSeek et Perplexity. Évaluez les outils et chemins de données réellement utilisés par les employés.
Considération de couverture
Une politique contournée par les dirigeants est plus difficile à maintenir. Appliquez les règles d’outils approuvés et de gestion des données de manière cohérente, y compris aux cadres supérieurs.
Considération politique
Les règles sur papier ne s’appliquent pas d’elles-mêmes. Associez les politiques d’utilisation acceptable à des contrôles techniques appropriés, formations et procédures de réponse aux incidents.
Considération sécurité
L’utilisation hors des chemins surveillés peut priver les équipes des preuves nécessaires pour détecter et enquêter sur les incidents. Examinez les lacunes de visibilité parallèlement aux politiques de blocage.
Considération surveillance
Le blocage est un jeu du chat et de la souris face à un catalogue qui ne cesse de croître. Le catalogue d’Aona recense plus de 10 000 outils d’IA. Lorsqu’un outil est bloqué, les employés peuvent passer à un appareil personnel ou à une alternative. Les organisations qui réduisent les risques sont celles qui voient l’usage et contrôlent les données, pas celles avec la plus longue liste de blocage.
Explorez les preuves plus larges et leurs sources sur notre Statistiques du Shadow AI 2026 page.
Gérez ChatGPT : découvrez, définissez la politique, protégez les données, accompagnez
Gardez une liste de blocage courte pour les outils que vous ne pouvez vraiment pas accepter. Pour tout le reste, gouvernez l’utilisation au lieu de la combattre.
Découvrez ce qui est réellement utilisé
Constituez un inventaire de l’utilisation observée de l’IA par les employés. Aona recoupe l’activité des extensions de navigateur déployées et des applications natives sur les postes avec un catalogue de plus de 10 000 outils d’IA. Complétez cela par un examen des fonctionnalités SaaS intégrées et des usages hors couverture déployée.
Découverte du Shadow AI →Définissez une politique par outil et par rôle
Sanctionnez un assistant par défaut, autorisez les outils à faible risque et restreignez les outils réellement risqués. Les équipes d’ingénierie, juridique et marketing n’ont pas besoin des mêmes règles. Une courte liste d’autorisations conditionnelles est préférable à une longue liste de blocage qui devient rapidement obsolète.
DLP pour IA générative →Bloquez ou censurez uniquement les données sensibles
Au lieu de bloquer l’outil, empêchez la sortie des données qui ne doivent pas sortir : identifiants, dossiers clients, code source, données financières. Sur les chemins clients installés pris en charge, Aona applique les politiques de prompt et de fichier configurées. Pour une action de censure DOCX, XLSX ou PDF prise en charge, inspectez le fichier retourné et sa mise en page avant approbation.
DLP pour ChatGPT →Accompagner sur le moment
Quand quelqu’un colle quelque chose de risqué, expliquez-lui immédiatement pourquoi c’est risqué dans le flux de travail et orientez-le vers la voie approuvée. Un coaching en temps réel modifie le comportement d’une manière qu’une page de blocage ne fait jamais.
Sécurité IA pour les effectifs →