Comment vérifier les autorisations d’un outil d’IA avant de le connecter à vos fichiers

Autoriser l’utilisation d’un outil d’IA avec des fichiers ne décrit pas, à lui seul, tout le parcours des données. Plusieurs éléments peuvent intervenir : le service d’IA, l’application par laquelle vous l’utilisez, un compte professionnel et un connecteur qui permet de rechercher des documents ou d’agir sur ceux-ci. Avant d’accepter, identifiez le nom du service, son éditeur et le compte ou le référentiel que vous souhaitez relier. Si vous ne parvenez pas à déterminer lequel de ces éléments demande l’accès, arrêtez-vous et consultez sa documentation officielle avant de poursuivre.

La question pratique n’est pas seulement « a-t-il accès à mes fichiers ? », mais auxquels, pour quelles opérations et dans quel contexte. Faites la distinction entre une fonction intégrée à une suite professionnelle et une application externe qui demande une autorisation sur votre compte. Ne supposez pas que les réglages de l’une couvrent aussi l’autre. La présence d’un écran de consentement ne prouve pas non plus que l’accès est limité à un fichier précis : vérifiez la portée indiquée à l’écran et les explications du fournisseur. Gardez les différents éléments séparés pendant votre examen : le service, le compte et le connecteur ne sont pas nécessairement soumis aux mêmes réglages. Une connexion entre eux ne suffit pas à établir ce que chacun peut consulter ou faire. Si la documentation ne permet pas de comprendre ces relations, considérez la portée comme incertaine au lieu de supposer qu’elle est restreinte.

Vérifiez si l’autorisation permet de consulter, rechercher, modifier, créer, partager ou supprimer du contenu. Ces possibilités n’ont pas les mêmes conséquences. Un outil qui doit seulement retrouver des documents ne devrait pas recevoir, sans explication claire, le droit de les modifier ou de les partager. Il s’agit d’une règle de prudence pour l’examen, et non de la garantie que toutes les plateformes proposent des autorisations distinctes ou que le texte d’autorisation détaille chaque opération interne. Le nom d’une fonction ne suffit pas toujours à savoir quelles actions sont permises : comparez le texte des autorisations à l’usage envisagé. Si l’écran ou la documentation reste général ou imprécis, ne prenez pas cette incertitude pour une autorisation limitée.

Dans les environnements Microsoft 365, la documentation de Copilot décrit les liens entre protection des données, autorisations de l’organisation et accès au contenu ; Microsoft documente également les étiquettes de confidentialité et les contrôles de gouvernance des données SharePoint. Ces pages aident à poser des questions sur l’environnement et ses contrôles, mais elles ne prouvent pas, à elles seules, quelles autorisations une intégration précise demande ni comment un tenant particulier est configuré. Vérifiez toujours le produit et le compte concernés. Documentation sur la protection des données de Copilot et étiquettes de confidentialité. Une documentation générale fournit un contexte utile ; pour examiner une connexion précise, il faut aussi consulter son écran de consentement et les paramètres correspondants. Ne transposez pas automatiquement les conclusions d’un produit ou d’un compte à un autre.

Consultez la politique ou le centre de confidentialité qui s’applique au service que vous comptez utiliser. Cherchez quelles données sont collectées, à quelles fins, pendant combien de temps elles sont conservées et si elles servent à améliorer les modèles ou les services. Vérifiez également si les conditions diffèrent entre les comptes personnels et professionnels : ne transposez pas automatiquement une déclaration d’une formule à l’autre. Si la documentation ne répond pas à une question, considérez-la comme non résolue ; ne complétez pas la réponse par déduction. Pendant l’examen, distinguez les informations publiées par le fournisseur de ce qui reste inconnu, en tenant compte du service et du type de compte concernés.

Les centres d’aide de Google décrivent les options et les informations de confidentialité des applications Gemini, et Google fournit des instructions pour gérer les connexions entre un Compte Google et d’autres développeurs. Ce sont des sources primaires pour connaître ce que Google documente au sujet de ses propres services et mécanismes, et non une évaluation externe certifiant le comportement de chaque application connectée. De même, la documentation de Microsoft sur Copilot expose les conditions annoncées pour ses produits, mais ne vérifie pas la configuration propre à chaque entreprise. Centre de confidentialité des applications Gemini et gestion des connexions à votre Compte Google. Utilisez ces pages pour retrouver les informations publiées et les commandes de compte pertinentes. Elles ne permettent pas de conclure au fonctionnement d’une application sans rapport avec le service, ni de répondre à une question que la documentation laisse ouverte.

Avant d’autoriser la connexion, repérez la page où les connexions au compte sont gérées et vérifiez que vous pourrez y revenir. Google explique comment gérer les liaisons avec des développeurs tiers ; sur Android, Google Play fournit des instructions pour modifier les autorisations des applications. Ce sont des commandes distinctes : supprimer une connexion au compte ne modifie pas nécessairement les autorisations du système d’exploitation, et modifier celles-ci ne prouve pas que les informations déjà reçues par le service ont été supprimées. Identifiez la commande qui concerne la connexion examinée, sans confondre les paramètres du compte et ceux de l’appareil.

Avant de connecter un service, vous pouvez noter le nom de l’application et la portée affichée sur l’écran d’autorisation. Ensuite, vérifiez dans les paramètres du compte que la connexion figure parmi les autorisations accordées et qu’une option permet de la supprimer. Lors de la révocation, consultez aussi les instructions du fournisseur concernant la suppression ou la conservation des données : retirer l’accès futur ne prouve pas que les copies, journaux ou contenus déjà traités seront supprimés. Les options et leurs effets peuvent dépendre du service et du compte. Autorisations des applications Android et connexions au Compte Google. Gardez à l’esprit que l’autorisation initiale et sa révocation ultérieure répondent à des questions différentes : la première porte sur l’accès demandé, la seconde sur la possibilité de poursuivre la connexion. Aucune de ces étapes ne répond à elle seule à toutes les questions relatives aux informations déjà traitées.

Avant d’accorder l’accès, répondez aux questions suivantes à l’aide de la documentation ou de l’écran d’autorisation : qui édite l’intégration ? Quel compte est relié ? Quels types de contenu pourrait-elle atteindre ? Quelles opérations autorise-t-elle ? Que dit le fournisseur sur l’utilisation et la conservation des données ? Où peut-on révoquer l’accès ? Si une question sans réponse concerne des documents sensibles et que vous ne pouvez pas vérifier la réponse, reportez la connexion ou consultez l’administrateur de votre organisation. Une politique applicable aux comptes professionnels peut imposer des limites supplémentaires. Noter les réponses et signaler celles qui restent inconnues aide à ne pas confondre une supposition avec un fait documenté. Cette liste facilite la décision, mais ne certifie pas l’intégration.

Les guides sur la sécurité de MCP et l’accès de l’IA aux fichiers peuvent aider à repérer des risques et à formuler des questions pour l’examen. Toutefois, un guide secondaire ne remplace ni la documentation du fournisseur ni l’évaluation de l’intégration que vous comptez utiliser. Les éléments disponibles ici ne permettent pas non plus de confirmer une modification récente des autorisations d’un outil particulier, ni de préciser le comportement de tous les connecteurs du marché. La conclusion utile est plus limitée : n’autorisez qu’après avoir compris la portée documentée et considérez comme inconnue toute information que le fournisseur n’explique pas. Guide de SentinelOne sur la sécurité de MCP. Les explications publiées servent à orienter l’examen, pas à affirmer davantage que ce qu’elles établissent. Si des éléments importants manquent, cette absence doit faire partie de la décision, plutôt que d’inciter à retenir l’hypothèse la plus rassurante.