La facture éclatée
Licences, API, notes de frais : la dépense IA est répartie sur des lignes que personne ne consolide. Des sièges payés dorment, et un modèle haut de gamme sert à reformuler des e-mails.
Produit édité par ENALIAM — Vigie IA
Gouvernance de l'IA : reprenez la main sur les coûts, les accès et les données
Vos équipes utilisent déjà ChatGPT, Claude, Copilot et Mistral — et demain des agents qui agiront seuls. Vigie IA place un point de contrôle unique devant tous ces usages : qui a droit à quel modèle, ce que cela coûte, quelles données sortent de l'entreprise, et la preuve à présenter à l'auditeur.
Pourquoi maintenant
L'IA est déjà chez vous. La question est de savoir qui la pilote.
L'IA n'est pas entrée dans l'entreprise par un projet. Elle est entrée par un abonnement payé sur une carte bancaire, un compte personnel ouvert un soir, un script qui appelle une API avec une clé copiée dans un fichier. Chacun de ces gestes est raisonnable. Additionnés, ils forment un système d'information parallèle que personne n'a dessiné et que personne ne supervise.
Sans gouvernance, l'échec ne fait pas de bruit. Il arrive par la facture, quand on découvre que la dépense IA dépasse de loin ce qui était prévu, répartie sur des lignes que personne ne rapproche. Et il arrive par une fuite, quand un contrat client, un fichier de paie ou un morceau de code source a été collé dans un outil public sans qu'aucun journal n'en garde la trace.
Interdire ne marche pas : l'usage passe sur le téléphone personnel. Laisser faire non plus. Gouverner, c'est rendre l'usage autorisé plus simple que l'usage sauvage — et c'est exactement ce que fait Vigie IA.
Une requête, cinq contrôles
- Identité Clé valide, collaborateur actif et formé à l'IA — obligation de l'AI Act.
- Droits Le modèle demandé est-il autorisé pour ses groupes ? Hébergé dans l'UE si la règle l'impose ?
- Budget et quotas Budget de l'équipe, quota personnel, tokens par minute : alerte, bascule vers un modèle moins cher ou refus.
- Données Secrets bloqués ; IBAN, cartes, n° de sécurité sociale, e-mails et téléphones masqués avant l'envoi.
- Traçabilité Coût calculé au tarif du modèle, appel journalisé — sans conserver le contenu de la requête.
Les mêmes contrôles devant OpenAI, Anthropic, Mistral ou un modèle hébergé chez vous — et un refus motivé quand une règle s'applique.
Ce qui coûte cher sans gouvernance
Quatre façons d'échouer
Aucune n'est spectaculaire au moment où elle se produit. Toutes se découvrent trop tard.
La donnée qui sort
Un collaborateur colle un fichier client dans un outil public pour aller plus vite. Il n'y a ni masquage, ni alerte, ni journal : l'incident n'existe pour personne jusqu'au jour où il existe pour tout le monde.
L'agent sans responsable
Un agent lit le CRM, écrit dans les tickets, envoie des messages. Qui l'a déployé ? Avec quels droits ? Pour le compte de qui agit-il ? Quand la question se pose, c'est généralement après l'erreur.
L'auditeur sans réponse
L'AI Act impose déjà la formation des utilisateurs et attend un registre des systèmes, une classification des risques, des journaux conservés. Une conformité qui ne se prouve pas n'en est pas une.
Ce que l'outil vous permet de répondre
Huit questions qu'un comité de direction finira par poser
Vigie IA a été conçu à partir de ces questions, pas à partir d'une liste de fonctionnalités. Chacune a sa réponse dans la console, en temps réel.
Combien nous coûte l'IA ?
Licences et API consolidées, par équipe, par fournisseur, par modèle. Chaque équipe a son budget et son action au dépassement : alerter, basculer vers un modèle moins cher, ou bloquer.
Qui a droit à quel modèle ?
Les droits suivent les groupes de votre annuaire. Un collaborateur demande un accès, son manager valide, la DSI provisionne. La fiche de chacun montre ses droits et d'où ils viennent.
Quelles données sortent ?
Les secrets sont bloqués, les données personnelles masquées avant d'atteindre le fournisseur, avec un niveau de protection par population. Le registre compte ce qui a été intercepté, par type.
Qu'utilise-t-on sans le dire ?
Le shadow AI est détecté dans les journaux de votre proxy, avec un niveau de risque par outil. Pour chacun : autoriser, tolérer sous surveillance, ou bloquer — la liste de blocage est prête à charger.
Que paie-t-on pour rien ?
Sièges achetés, attribués, réellement actifs. Les licences inactives depuis plus de trente jours remontent d'elles-mêmes et se libèrent en un clic, avec une trace de chaque retrait.
Que fait cet agent, et pour qui ?
Chaque agent a un responsable humain, une mission, un périmètre d'outils et une date de revue de ses droits. Quand il agit pour un collaborateur, c'est l'identité de ce dernier qui est contrôlée et imputée.
Sommes-nous prêts pour l'AI Act ?
Registre des systèmes, classification par référentiel, exigences avec responsable et échéance, preuves collectées automatiquement, dossier d'audit horodaté et plan d'action.
Que se passe-t-il au départ d'un salarié ?
Synchronisé avec l'annuaire, le départ révoque ses clés, libère ses licences et suspend les agents dont il était responsable. Sans ticket, sans oubli.
Agents et outils
Un agent n'est pas un outil : c'est un périmètre de droits délégué
L'usage de l'IA glisse de la conversation vers l'action : des agents qui lisent, écrivent et décident à partir des systèmes de l'entreprise. Déléguer des droits à quelque chose qui décide seul est un acte de management, pas une ligne de configuration. Vigie IA le traite comme tel.
-
1
Une identité par agent
Responsable humain, niveau d'autonomie, outils autorisés, budget, clé propre. Un agent autonome ne peut jamais appeler un outil destructif ; au départ de son responsable, il est suspendu.
-
2
L'identité de l'utilisateur, de bout en bout
Quand un agent agit pour quelqu'un, ses droits effectifs se limitent à ce que l'agent et l'utilisateur ont le droit de faire. Coûts, quotas et journaux sont imputés à l'utilisateur, chaîne d'agents comprise.
-
3
Des politiques qui descendent jusqu'à l'argument
La gateway MCP décide qui peut appeler quel outil, avec quelles valeurs : un montant plafonné, une région limitée à l'équipe de l'utilisateur, une validation humaine. Une nouvelle règle peut tourner en simulation avant d'être appliquée.
Pour qui
Un seul outil, quatre lectures du même sujet
Pensé pour les ETI et les grandes PME, de 250 à 5 000 salariés : assez grandes pour avoir le problème, pas assez pour construire l'outil elles-mêmes. Les managers valident les demandes de leur équipe ; les collaborateurs gardent un accès simple aux bons modèles.
La DSI
Un point de contrôle unique pour tous les fournisseurs, des droits qui suivent l'annuaire, des clés révocables à tout instant et une bascule automatique quand un fournisseur tombe.
La direction financière
Le coût réel de l'IA, licences et API réunies, ventilé par équipe. Des budgets qui agissent d'eux-mêmes au dépassement, et des économies identifiées plutôt que supposées.
Le RSSI
Données sensibles masquées à la source, shadow AI cartographié, agents bornés, un journal de chaque appel et un interrupteur pour couper un outil, un agent ou un collaborateur.
Le DPO et le juridique
Registre des systèmes IA, classification AI Act, conservation des journaux réglable, restriction aux modèles hébergés dans l'UE et dossier d'audit prêt à imprimer.
Intégration
Se branche sur l'existant, ne vous enferme nulle part
Une URL à changer
La gateway parle le format de l'API OpenAI. Vos outils et vos scripts compatibles fonctionnent en changeant l'URL de base et la clé. Aucune intégration à réécrire.
Votre annuaire fait foi
Connexion SSO OpenID Connect et provisionnement SCIM 2.0 avec Entra ID, Okta ou Google Workspace. Les rôles de la console sont déduits des groupes.
Multi-fournisseurs par principe
OpenAI, Anthropic, Mistral ou un modèle hébergé chez vous, derrière la même interface. Changer de modèle devient un réglage, plus un projet.
Des clés qui ne circulent plus
Chaque usage reçoit une clé virtuelle révocable. Les vraies clés des fournisseurs restent dans la plateforme, chiffrées en AES-256-GCM, et ne sortent jamais.
Comment il arrive chez vous
Voir d'abord, contrôler ensuite, prouver en continu
-
1
On commence par regarder
Import des journaux du proxy et des comptes des éditeurs : dès les premiers imports, vous voyez ce qui est réellement utilisé, par qui, et ce que cela coûte. Le mode simulation applique tous les contrôles sans encore toucher aux fournisseurs.
-
2
On décide des règles, puis on les applique
Charte IA, populations, modèles autorisés, budgets, niveau de protection des données : les décisions se prennent avec la direction, puis se traduisent dans l'outil. Une politique peut être observée avant d'être appliquée.
-
3
La conformité se maintient seule
Une fois en place, la plateforme produit ses propres preuves : journaux, formation, masquage, révocations. Le dossier d'audit se régénère à la demande au lieu de se reconstruire chaque année.
Questions fréquentes
Gouvernance IA — vos questions
Faut-il résilier nos licences ChatGPT, Copilot ou Claude ?
Non. Vigie IA ne remplace aucun abonnement : il les consolide. Les licences sont suivies siège par siège — achetés, attribués, réellement actifs — et l'usage par API est mesuré par la gateway.
Nos développeurs doivent-ils réécrire leurs intégrations ?
Non. La gateway parle le format de l'API OpenAI : tout outil compatible fonctionne en changeant l'URL de base et la clé. Les vraies clés des fournisseurs restent dans la plateforme et ne circulent plus dans les scripts.
Le contenu de nos requêtes est-il conservé ?
Non. Le journal garde les métadonnées — qui, quel modèle, combien de tokens, quel coût, quelle règle, combien de données sensibles détectées — mais pas le texte des requêtes, ni les arguments des appels d'outils. Seul le cache de réponses, désactivé par défaut, conserve du contenu.
Ne serait-il pas plus simple d'interdire l'IA ?
L'interdiction déplace l'usage sur les comptes personnels, là où plus rien n'est visible. La gouvernance rend l'usage autorisé plus simple que l'usage sauvage : un accès ouvert aux bons modèles, des données protégées sans effort, et un refus motivé quand une règle s'applique.
L'outil suffit-il à être conforme à l'AI Act ?
Il prépare l'audit, il ne remplace pas l'avis d'un juriste : registre, classification, preuves collectées automatiquement, dossier d'audit horodaté et plan d'action. La base réglementaire est datée et doit être validée par votre conseil juridique.
Où en est le produit aujourd'hui ?
La première version est complète et se démontre sur une entreprise fictive de 107 collaborateurs. ENALIAM ouvre des déploiements pilotes. Prochaines étapes : la détection des attaques propres à l'IA — injection de prompt, jailbreak, exfiltration — avec envoi vers votre SIEM ou XDR, et un portail de déploiement standardisé des agents.
Peut-on l'obtenir sans mission d'accompagnement ?
Oui, la plateforme est concédée sous licence indépendamment d'une mission. Mais un outil de gouvernance applique des décisions, il ne les prend pas : ENALIAM peut cadrer avec vous la charte IA, les règles par population et le plan de formation, puis les traduire dans l'outil.
Voyez ce que l'IA coûte et expose, avant de le découvrir
Une démonstration de trente minutes sur une entreprise de démonstration complète : coûts, droits, données interceptées, shadow AI, agents et dossier d'audit. Ensuite, si vous le souhaitez, un pilote sur votre périmètre.
Demander une démo