ChatGPT (OpenAI)
🇺🇸 Council Bluffs · USA · Iowa
US CLOUD ActCarte interactive de résidence des données
Où vont vos données IA ?
Découvrez comment les fournisseurs et les abonnements peuvent influencer le lieu de traitement des prompts et des fichiers. Cette carte est illustrative, pas une vue en direct de votre organisation.
Niveau d'abonnement
Exemple de Shadow AI · comptes grand public
Cet exemple compare les accès entreprise approuvés (trajets estompés) aux comptes grand public (trajets lumineux).
Exemple · /var/log/ai-egress
--:--:--Ce qui fuit
- PII60%
- SECRET40%
Principaux émetteurs de fuites
- Marketing20%
- Ingénierie20%
- Finance20%
- PIISarah Chen· Marketing→ChatGPT (OpenAI)🇺🇸patient_record_4421
- PIIJames Park· Ingénierie→Claude (Anthropic)🇺🇸customer_PII_export.csv
- PIIPriya Patel· Finance→Gemini (Google)🇺🇸employee_SSN_list.xlsx
- SECRETDavid Kim· Juridique→Microsoft Copilot🇺🇸stripe_secret_key
- SECRETEmma Wilson· Produit→Mistral🇫🇷AWS root access key
Faites glisser pour explorer · Trajets de données illustratifs
Ce n'est pas théorique
De vrais incidents de fuite de données par l'IA que vos pairs ont vécus
Chaque entrée renvoie au reportage d'origine. Utilisez-les lors de votre prochain briefing RSSI.
Févr. 2026
NouveauLes interdictions de l'article 5 de l'EU AI Act pleinement applicables
Les pratiques d'IA interdites (notation sociale, reconnaissance des émotions au travail, collecte non ciblée d'images de visages) sont en vigueur. Les sanctions atteignent jusqu'à 7 % du chiffre d'affaires mondial, le plafond le plus élevé de toute réglementation numérique en vigueur.
Source : European CommissionJanv. 2026
NouveauICO (RU) : coller des données personnelles dans une IA est une violation du UK GDPR
L'Information Commissioner publie des orientations d'application précisant que la saisie de données personnelles dans des outils d'IA tiers sans base légale constitue une violation du UK GDPR, plaçant chaque prompt ChatGPT non géré dans le champ d'application.
Source : ICOAoût 2025
Le code de bonnes pratiques GPAI de l'EU AI Act devient contraignant
Les obligations de transparence, de droit d'auteur et de risque systémique pour les modèles d'IA à usage général (ChatGPT, Claude, Gemini, Llama) deviennent contraignantes pour les fournisseurs desservant l'UE.
Source : European CommissionFévr. 2025
L'Italie, l'Australie, la Corée du Sud, Taïwan et des États américains interdisent DeepSeek
Quelques jours après la divulgation de Wiz, des régulateurs nationaux et des gouverneurs d'États américains bloquent DeepSeek sur les appareils gouvernementaux en raison de l'exposition à la PRC Data Security Law. Le Garante italien ordonne un arrêt total du traitement.
Source : Al JazeeraJanv. 2025
Le Garante italien ordonne à DeepSeek de suspendre le traitement
L'autorité italienne de protection des données interdit à DeepSeek de traiter les données des utilisateurs italiens, le premier régulateur à agir sur les éléments émergents, invoquant des manquements à la transparence et à la base légale au titre du RGPD.
Source : Garante (IT DPA)Janv. 2025
DeepSeek expose un million de journaux de conversation dans une base de données non sécurisée
Les chercheurs de Wiz découvrent une instance ClickHouse de DeepSeek accessible publiquement, exposant l'historique des conversations, des clés d'API et des métadonnées opérationnelles, détectée en quelques minutes de sondage.
Source : Wiz ResearchAoût 2024
L'EU AI Act entre en vigueur
La première loi horizontale sur l'IA au monde entre en application. Les interdictions de l'article 5 ont pris effet en février 2025, les règles GPAI en août 2025, l'application pleine et entière en février 2026. Jusqu'à 7 % du chiffre d'affaires mondial en jeu.
Source : European CommissionFévr. 2024
Air Canada tenue responsable d'un remboursement inventé par son chatbot
Un tribunal de Colombie-Britannique juge qu'Air Canada doit honorer un remboursement inventé par son chatbot d'assistance client, premier précédent majeur sur la responsabilité de l'entreprise pour des sorties générées par l'IA.
Source : BBCMai 2023
Des ingénieurs de Samsung collent du code source dans ChatGPT
Trois incidents internes en trois semaines : du code de semi-conducteurs confidentiel et des notes de réunion collés dans ChatGPT. Samsung a instauré une interdiction à l'échelle de l'entreprise, toujours l'étude de cas de référence citée dans chaque briefing RSSI.
Source : The VergeBloquer ou gouverner
Interdire ChatGPT ne fonctionne pas. Voici pourquoi.
Les blocages réseau poussent le personnel vers les appareils personnels, le mobile et les 10 000 prochains outils d'IA dont vous n'avez jamais entendu parler. La gouvernance corrige ce que les interdictions ne peuvent pas.
| Bloquer ou gouverner | Bloquer l'IA | Gouverner l'IA · Aona |
|---|---|---|
| Application des politiques | Liste de blocage réseau | Garde-fous intégrés sur chaque prompt |
| Appareils personnels / mobiles | Entièrement contournés | Couverture par extension de navigateur + agent |
| Couverture des nouveaux outils d'IA | Toujours en retard de plusieurs mois | Plus de 10 000 outils découverts automatiquement |
| Impact sur la productivité | Élevé, le travail bascule vers des canaux clandestins | Faible, un usage sûr de l'IA est encouragé |
| Posture d'audit | Fragile. Aucune preuve au niveau du prompt. | Journaux prêts pour l'audit de chaque interaction |
Données publiées
Mieux voir l’usage de l’IA au travail.
75%
des travailleurs du savoir interrogés utilisaient l’IA au travail
Source : Microsoft + LinkedIn, 202478%
des utilisateurs d’IA interrogés apportaient leurs propres outils d’IA au travail
Source : Microsoft + LinkedIn, 202452%
des utilisateurs d’IA interrogés hésitaient à admettre l’utiliser pour leurs tâches les plus importantes
Source : Microsoft + LinkedIn, 202410,000+
outils d'IA suivis et classés par Aona
Source : Catalogue des outils d’IA d’AonaLes destinataires
Où les prompts peuvent être traités
Comparez des lieux représentatifs. Le traitement réel dépend du fournisseur, de l’abonnement et de la configuration. Consultez les politiques liées pour votre évaluation.
Claude (Anthropic)
🇺🇸 Northern Virginia · USA · AWS us-east-1
US CLOUD ActGemini (Google)
🇺🇸 Mountain View · USA · California
US CLOUD ActMicrosoft Copilot
🇺🇸 San Antonio · USA · Azure
US CLOUD ActMistral
🇫🇷 Paris · France · EU
EU GDPRDeepSeek
🇨🇳 Hangzhou · China
PRC Data Security LawQwen (Alibaba)
🇨🇳 Beijing · China
PRC Data Security LawYandexGPT
🇷🇺 Moscow · Russia
Russia Federal Law 152-FZPerplexity
🇺🇸 San Francisco · USA · California
US CLOUD ActUne note sur les localisations. Les pays et juridictions reflètent l'empreinte d'infrastructure publique de chaque fournisseur (par ex. OpenAI est hébergé sur les régions US de Microsoft Azure ; DeepSeek sur une infrastructure basée en RPC ; YandexGPT sur une infrastructure russe). Les marqueurs au niveau des villes correspondent à des régions par défaut représentatives, issues de la documentation de chaque fournisseur, listes de régions Azure/AWS/Google Cloud, portail de confiance d'OpenAI, documentation EU Data Boundary de Microsoft, centre de confiance d'Anthropic. L'acheminement réel par requête varie selon la charge, la région du locataire et le choix de résidence Entreprise, changez le niveau d'abonnement au-dessus du globe pour voir comment les niveaux Entreprise réacheminent les fournisseurs occidentaux vers des régions de l'UE.
Comment Aona l'arrête
Le voir. Le bloquer. Accompagner l'humain.
Voir chaque point de destination
Aona inspecte le trafic sortant en temps réel et cartographie chaque outil d'IA que vos effectifs utilisent, autorisé ou clandestin.
Bloquer la fuite
Des garde-fous intégrés expurgent les données personnelles, les secrets et les fichiers confidentiels avant même qu'ils ne quittent l'appareil.
Accompagner sur le moment
Les employés reçoivent un rappel contextuel, et non un ticket au service d'assistance, dès qu'ils tentent de coller des données réglementées.
Découvrez exactement ce que votre équipe laisse fuir, en 30 jours, gratuitement.
La Gen AI Risk Discovery d'Aona vous montre chaque outil, chaque prompt et chaque export. Aucun agent requis sur les appareils des utilisateurs pour démarrer.