Usage d’Azure OpenAI – BlueSecure

[Diffusion client] Document confidentiel. Usage restreint au destinataire. Interdiction de divulgation, copie ou distribution sans autorisation.

1. Contexte et objectifs

BlueSecure utilise un tenant privé Microsoft Azure AI Service pour intégrer des fonctionnalités avancées d’intelligence artificielle dans ses services de sensibilisation. L’objectif est de renforcer l’efficacité tout en assurant une sécurité, une confidentialité et une conformité strictes aux réglementations en vigueur, notamment le RGPD.

Ces technologies sont déployées pour :

• L’analyse des emails suspects signalés via l’add-in BlueSecure pour Microsoft 365.
• La génération assistée de scénarios de phishing personnalisés
• La reformulation et la traduction de communications liées à la cybersécurité.

Tous les traitements sont effectués dans un environnement privé et sécurisé, sans partage de données avec des tiers ni utilisation des données clients pour l’entraînement des modèles d’IA.

2. Architecture et sécurité du tenant Azure OpenAI

BlueSecure exploite un tenant privé Azure répondant aux exigences de sécurité suivantes :

• Hébergement en France : Garantit la conformité aux réglementations locales.
• Authentification et contrôle d’accès : Mise en œuvre via Azure Active Directory (AAD) avec authentification multifacteur (MFA) et politiques Zero Trust.
• Isolation des traitements IA : Les interactions avec les modèles sont isolées et sécurisées par des mesures techniques, y compris le chiffrement des données en transit (TLS 1.2 ou supérieur) et au repos (AES-256), ainsi que l’accès exclusif à la mémoire GPU allouée.
• Journalisation et supervision : Surveillance continue via Microsoft Defender for Cloud et Azure Monitor.
• Non-utilisation des données clients pour l’entraînement des modèles : Les données des clients ne sont pas utilisées pour entraîner ou améliorer les modèles OpenAI ou tout autre service Microsoft ou tiers, sauf autorisation explicite du client.

Pour plus d’informations, visitez la page Data, privacy, and security for Azure OpenAI Service ↗ (en anglais).

3. Utilisation des données en entrée et classification

Les données traitées par Azure AI sont classifiées selon leur niveau de sensibilité :

Toutes les données sont automatiquement supprimées après un délai maximal de 30 jours, sauf en cas de nécessité opérationnelle spécifique.

Pour plus d’informations, visitez la page Data, privacy, and security for Azure OpenAI Service ↗ (en anglais).

4. Traitement des signalements d’emails via le bouton BlueSecure

Lorsqu’un utilisateur signale un email suspect via l’add-in BlueSecure pour Microsoft 365, les étapes suivantes sont suivies :

1. Extraction et anonymisation : Seul le contenu pertinent de l’email est analysé, sans métadonnées identifiables.
2. Analyse IA :
   • Détection des indicateurs de phishing et de spear-phishing.
   • Identification des liens suspects et analyse des domaines malveillants.
3. Rendu du verdict : L’utilisateur reçoit un retour immédiat sur la dangerosité de l’email.
4. Transmission aux équipes de sécurité : Un rapport détaillé est envoyé aux équipes IT en cas de menace avérée.

5. Stockage et localisation des données

Toutes les données traitées sont hébergées dans les centres de données Microsoft Azure situés en France. Aucune donnée client ne quitte l’environnement sécurisé Azure, et aucune information n’est partagée avec OpenAI ou d’autres tiers.

Pour plus d’informations, visitez la page Data, privacy, and security for Azure OpenAI Service ↗ (en anglais).

6. Confidentialité et non-réutilisation des données

Azure OpenAI Service assure la confidentialité des données de la manière suivante :

• Isolation des données : Vos invites (entrées) et complétions (sorties), vos embeddings et vos données d’entraînement ne sont pas accessibles à d’autres clients, à OpenAI, et ne sont pas utilisées pour améliorer les modèles OpenAI ou tout autre produit ou service Microsoft ou tiers sans votre permission ou instruction.
• Modèles personnalisés : Vos modèles Azure OpenAI affinés sont disponibles exclusivement pour votre usage.

7. Conformité au RGPD et légalité

Conformité au RGPD

• Adhésion aux réglementations : Microsoft Azure OpenAI est conçu pour se conformer au RGPD et aux normes telles que ISO 27001 et SOC 2 Type II.
• Propriété des données : BlueSecure reste propriétaire des données générées et contrôle leur cycle de vie.

Droits légaux d’utilisation

• Contrat valide : BlueSecure dispose d’un contrat valide avec Microsoft pour l’utilisation de ces services.
• Choix du client : Les clients peuvent choisir d’activer ou non les fonctionnalités IA selon leurs préférences.

8. Qualité et fiabilité des contenus générés

Mesures de contrôle

• Filtrage de contenu : Le système de filtrage de contenu intégré au service Azure OpenAI détecte et prend des mesures sur des catégories spécifiques de contenu potentiellement nuisible, tant dans les invites que dans les complétions.
• Journalisation et traçabilité : Toutes les interactions avec l’IA sont journalisées pour assurer la traçabilité.

9. Accès et séparation des données entre utilisateurs

BlueSecure applique une gestion fine des accès à l’IA :

• Rôles et permissions spécifiques : Restriction de l’accès aux fonctionnalités IA selon les rôles des utilisateurs.
• Gestion par groupes : Limitation de l’accès aux contenus générés en fonction des groupes d’utilisateurs.
• Règles de visibilité : Respect des mêmes règles de visibilité que pour les autres contenus de la plateforme.

L’IA fonctionne en flux entrant uniquement : les données des utilisateurs ne sont jamais réutilisées pour d’autres traitements.

10. Technologie d’IA utilisée

Azure OpenAI Service

• Modèles :  Utilisation des modèles GPT-5 mini d'Azure OpenAI, adaptés aux besoins spécifiques de BlueSecure. Nous le mettrons à jour en restant dans le cadre de ce que propose Azure dans les modèles d’OpenAI.
• Sécurité : Mise en place d’un réseau privé, de filtres de contenu et d’une surveillance active.

11. Limites et engagements de BlueSecure vis-à-vis de l’utilisation de l’IA

L’intelligence artificielle utilisée par BlueSecure est un outil d’assistance destiné à optimiser l’analyse des menaces et l’automatisation de certaines tâches, sans jamais se substituer aux experts humains. Les utilisateurs conservent un contrôle total sur les contenus générés, qui doivent être validés avant toute exploitation. L’IA ne prend aucune décision autonome et n’influence pas les processus critiques sans intervention humaine.

Toutes les données traitées sont strictement protégées et hébergées dans un environnement sécurisé et privé. Elles ne sont ni partagées avec des tiers, ni utilisées pour entraîner ou améliorer les modèles OpenAI ou tout autre service Microsoft. BlueSecure garantit une conformité rigoureuse aux réglementations en vigueur (RGPD, ISO 27001, SOC 2 Type II) et applique des mesures de sécurité avancées, incluant le chiffrement des données, une gestion stricte des accès et une auditabilité complète des interactions avec l’IA.

Besoin de précisions ? N’hésitez pas à nous contacter.
Contact interne : [email protected]

BlueDigital SAS. Société par Actions Simplifiée, immatriculée au Registre du Commerce et des Sociétés de Paris sous le numéro 833999352, et dont le siège social se situe 90 rue du Faubourg Saint Martin 75010 Paris. Noms commerciaux : BlueSecure et BlueLearning
www.bluesecure.fr