L’essor rapide de l’IA générative a posé un défi crucial à chaque entreprise : comment permettre aux équipes d’innover à la vitesse de cette nouvelle technologie sans compromettre la sécurité, la confidentialité et la souveraineté des données. Beaucoup considèrent cela comme un choix entre avancer rapidement et rester en sécurité.
Chez Okta, nous estimons qu’il s’agit d’un faux dilemme. Nous considérons que l’adoption responsable de l’IA n’est pas un frein à l’innovation, mais plutôt un élément essentiel pour la favoriser. Pour concrétiser cette conviction, nous avons lancé une initiative interne, « Take Okta^AI », avec l’objectif ambitieux d’intégrer l’IA dans l’ADN de notre entreprise afin d’économiser plus de 250 000 heures de travail. Mais pour y parvenir, nous avons d’abord dû résoudre le même problème auquel est confronté tout dirigeant aujourd’hui : maîtriser la Shadow AI, la prolifération des clés API décentralisées, les politiques incohérentes de traitement des données et le risque inhérent de fuite involontaire de données d’entreprise sensibles dans les grands modèles de langage (LLM) publics.
Notre réponse stratégique a été la création d’une gateway d’IA unifiée. Voici comment nous avons déployé avec succès un environnement d’IA sécurisé et indépendant du modèle pour nos collaborateurs, ainsi que l’architecture de sécurité fondamentale qui le sous-tend.
Un point de contrôle pour les identités de l’IA
Au lieu d’autoriser un « Far West » d’intégrations non gérées, nous avons établi un point de contrôle unifié pour canaliser toute l’utilisation externe de l’IA. Cette approche considère les outils d’IA non seulement comme des applications, mais également comme des identités non humaines nécessitant une gouvernance tout au long de leur cycle de vie.
Détails du déploiement
Notre gateway est un service résilient et évolutif, optimisé par LiteLLM et déployé au sein du cloud privé sécurisé d’Okta. Elle fonctionne comme un proxy sécurisé et un point d’entrée unique pour chaque interaction avec l’IA, qu’il s’agisse d’un développeur appelant une API de génération de code ou d’un collaborateur utilisant notre interface web interne. Cette architecture nous offre un emplacement central pour appliquer la sécurité, gérer les coûts et garantir la conformité, tout en dissociant nos utilisateurs internes des fournisseurs de LLM sous-jacents.
La sécurité avant tout : les quatre piliers de notre défense en matière d’IA
Notre gateway d’IA unifiée repose sur quatre piliers de sécurité non négociables, illustrant comment nous utilisons nos propres produits pour résoudre certains des défis les plus complexes du secteur.
1. L’identité comme périmètre (optimisée par Okta)
Nous considérons l’accès à l’IA comme une ressource d’entreprise essentielle. Voici l’identité comme périmètre en action, optimisée par notre propre technologie. L’accès est strictement contrôlé par Okta Single Sign-On (SSO), et nous appliquons une authentification multifacteur (MFA) résistante au phishing pour chaque utilisateur. Nous vérifions également que seuls les terminaux gérés de confiance peuvent se connecter à la gateway. Il est essentiel que, lorsqu’un collaborateur change de rôle ou quitte l’entreprise, son accès soit immédiatement et automatiquement résilié. Ce processus centré sur l’identité réduit le risque de comptes orphelins et d’identifiants égarés.
2. Confidentialité des données et censure automatisée des données à caractère personnel
Pour atténuer le risque de fuite accidentelle de données, notre gateway comprend une couche centralisée de censure des données à caractère personnel. Avant qu’une invite ne quitte notre environnement de confiance, le système est conçu pour rechercher et supprimer automatiquement les données à caractère personnel telles que les noms, les e-mails ou les numéros de téléphone. Cela fournit un filet de sécurité essentiel qui protège nos collaborateurs et nos clients, quel que soit le modèle d’IA utilisé.
La fuite de données à caractère personnel constitue l’un des risques les plus importants de l’IA en entreprise. Nous atténuons ce risque de manière proactive et centralisée, avant même que les données ne quittent notre environnement de confiance.
3. Garantie « sans apprentissage » (aucune conservation des données)
Notre propriété intellectuelle n’est pas négociable. Dans la mesure du possible, nous incluons l’absence de conservation des données dans nos accords avec nos fournisseurs de modèles et leur interdisons d’utiliser les données d’Okta pour entraîner des modèles. Cela permet à nos équipes d’utiliser ces outils puissants en toute confiance.
4. Observabilité et auditabilité complètes
En centralisant tout le trafic LLM, nous obtenons une visibilité totale sur l’utilisation de l’IA. Chaque interaction est méticuleusement journalisée et transmise à notre équipe des opérations cyberdéfensives (DCO, Defensive Cyber Operations) pour un audit continu. Cela nous permet de suivre l’utilisation, de surveiller les abus et d’attribuer de manière fiable chaque requête à une identité utilisateur spécifique et authentifiée, ce qui est essentiel pour conserver des certifications importantes telles que SOC 2 Type 2 et ISO 27001.
Stimuler l’innovation avec « l’agilité des modèles »
En relevant le défi de la sécurité de manière centralisée, nous avons débloqué un avantage opérationnel majeur : l’agilité des modèles. Étant donné que la sécurité et la conformité sont gérées au niveau de la gateway, nous ne sommes pas limités à un seul fournisseur d’IA. Nous pouvons intégrer rapidement les derniers modèles et les mettre à la disposition des collaborateurs avec un minimum de friction. Les ingénieurs écrivent du code sur une API endpoint unique et standardisée, et si nous décidons de changer le modèle backend, il s’agit d’une simple mise à jour de configuration dans la gateway ; aucune modification de code, aucun cycle d’achat ni aucun contrôle de sécurité répétitif ne sont requis.
- Pour tous les collaborateurs : ils accèdent à un outil de travail universel où ils peuvent comparer et exploiter différents modèles côte à côte. Par exemple, ils peuvent utiliser un modèle pour les tâches d’écriture créative et un modèle distinct spécialisé dans le raisonnement logique complexe, le tout dans le même environnement sécurisé.
- Pour les ingénieurs : ils écrivent du code sur une API endpoint unique, cohérente et standardisée. Si l’entreprise décide de changer le modèle backend sous-jacent pour une fonctionnalité spécifique, nous mettons simplement à jour une configuration dans la gateway. Cela évite d’avoir à modifier le code, à initier de nouveaux cycles d’achat ou à effectuer des contrôles de sécurité répétitifs côté application.
Conclusion : la liberté d’innover, en toute sécurité
La gateway d’IA unifiée a fondamentalement transformé la façon dont Okta fonctionne. En plaçant l’identité au centre de notre stratégie, nous sommes passés d’un modèle de licence rigide à une architecture flexible basée sur l’utilisation, qui étend l’accès à l’IA à l’ensemble de nos collaborateurs tout en renforçant notre posture de sécurité. Nous pouvons ainsi offrir à nos collaborateurs la liberté d’expérimenter, d’apprendre et de créer avec les outils d’IA les plus puissants au monde, de manière sûre et responsable.
Le contenu de ce document revêt un caractère purement informatif et ne constitue pas des conseils d’ordre juridique ou commercial, de confidentialité, de sécurité ou de conformité.
Il pourrait ne pas refléter les normes de sécurité, de confidentialité et les réglementations les plus récentes. Pour obtenir de tels conseils, il vous revient de vous adresser à votre conseiller juridique ou à tout autre conseiller professionnel et de ne pas vous en remettre à ce document.
Okta ne formule aucune déclaration, garantie ou autre assurance concernant le contenu de ce document et décline toute responsabilité quant aux pertes ou dommages pouvant résulter de la mise en œuvre des recommandations fournies dans le présent document. Les informations sur les assurances contractuelles d’Okta à ses clients sont disponibles à la page okta.com/agreements.
