Visualisez chaque outil d'IA en contact avec votre organisation — autorisé ou fantôme

Quelque part dans votre organisation, en ce moment même, un collaborateur utilise un outil d'IA dont vous n'avez jamais entendu parler. Peut-être s'agit-il d'une clé API DeepSeek personnelle collée dans un projet annexe. Peut-être est-ce Perplexity connecté à un compte Google professionnel. Peut-être s'agit-il de quelque chose de nettement plus capable : une plateforme d'agent autonome disposant d'un accès OAuth permanent à Notion, Gmail et GitHub, effectuant un travail en plusieurs étapes pour le compte de ce collaborateur — et sur vos données.

Jusqu'à aujourd'hui, 8200.dev faisait remonter tout cela — mais de façon fragmentée, dispersée dans le flux général des résultats. Aujourd'hui, nous lançons AI Governance : une section de tableau de bord unifiée qui répond à une seule question en un seul endroit — quelle IA fonctionne dans votre organisation, et est-elle gouvernée ?

Ce qui a réellement changé

Voici le cadrage honnête, car un cadrage honnête est le produit lui-même : AI Governance est une couche d'agrégation, pas un nouveau scanner. Chaque détection qui y figure existait déjà dans le moteur avant aujourd'hui. Ce qui est nouveau, c'est qu'elles racontent désormais une histoire cohérente au lieu d'apparaître comme des résultats isolés, ainsi qu'un ensemble de nouvelles règles de profondeur par membre décrites ci-dessous. Rien dans cette nouveauté ne collecte de nouvelles données, n'ajoute de scope, ni ne touche à quoi que ce soit qu'elle ne pouvait déjà voir. Si vous avez connecté des sources, la page est déjà alimentée.

Le tableau de bord organise ce que la plateforme sait en six domaines :

1. L'IA fantôme découverte via les autorisations OAuth. Certains fournisseurs d'IA ne peuvent tout simplement pas être gouvernés — non pas parce que vous n'avez pas souscrit le bon niveau d'abonnement, mais parce qu'aucune surface d'administration organisationnelle n'existe. DeepSeek propose une console de clé API personnelle et rien d'autre : pas de SSO, pas de journaux d'audit, pas de gestion des membres. Kimi, de Moonshot, fonctionne de la même manière — et une étude indépendante (Harmonic Security, janvier 2026) a révélé que le volume d'utilisation de Kimi en entreprise dépasse en réalité celui de DeepSeek, ce qui en fait le plus important des deux canaux d'IA fantôme dans la réalité du terrain. L'API de Grok se limite à l'inférence. L'administration d'entreprise de Perplexity se fait uniquement via l'interface utilisateur. Pour ces fournisseurs, le seul levier de gouvernance qui existe où que ce soit est la détection : 8200.dev identifie leurs autorisations OAuth dans les espaces de travail que vous connectez et vous indique quels collaborateurs les ont mises en place.

2. Les plateformes agentiques sous surveillance renforcée — le cas Manus. Manus mérite un paragraphe à part, car il s'agit d'une catégorie de risque différente. Manus est une plateforme d'orchestration agentique : elle ne se contente pas de répondre à des questions, elle exécute des tâches autonomes en plusieurs étapes, et pour cela, elle détient des connexions OAuth déléguées vers les outils utilisés par votre organisation — Notion, Gmail, GitHub, Google Workspace. Une autorisation Manus dans votre inventaire OAuth n'est pas « une application qu'un collaborateur a essayée une fois » ; c'est un acteur autonome et permanent disposant d'une portée réelle, et si la plateforme est un jour compromise, sur-autorisée ou détournée, cette autorisation constitue une voie directe de mouvement latéral vers votre espace de travail.

L'histoire de l'entreprise mérite d'être connue au moment d'évaluer ce risque. Manus a été lancé en 2025 par une start-up chinoise (Butterfly Effect) et, comme cela a été largement rapporté à l'époque, a transféré son siège social à Singapour dans un contexte de contrôle réglementaire américain visant son tour de financement mené par des investisseurs américains. En 2026, elle a été brièvement rachetée par Meta — un accord qui a été annulé en juin 2026, laissant Manus opérer de manière indépendante avec une base de clientèle entreprise vaste et en forte croissance. Rien dans cet historique ne fait de Manus une entité malveillante. Mais tout cela fait de Manus un fournisseur dont l'accès à votre organisation mérite une gouvernance délibérée — et voici le hic : Manus n'expose aucune API d'administration publique. Aucun audit des autorisations de connecteur, aucune liste de membres, aucun journal d'activité qu'une plateforme externe pourrait lire (son interface d'e-discovery est réservée aux clients entreprise via le service client). Ce que Manus fait de son accès n'est aujourd'hui pas auditable de manière indépendante. C'est pourquoi 8200.dev classe cette plateforme comme *connecteur agentique* sous surveillance renforcée : la détection par signature d'autorisation OAuth que nous proposons est, à notre connaissance, la seule couverture indépendante qui existe — et c'est exactement ce que nous indiquons dans le résultat, plutôt que de laisser entendre davantage.

3. La posture des fournisseurs en matière d'entraînement de l'IA. Chaque plateforme que vous connectez entraîne-t-elle par défaut des modèles d'IA sur vos données ? Comme nous l'avons documenté dans notre étude portant sur 17 plateformes SaaS, aucune n'expose ce paramètre comme un réglage interrogeable par API — la posture réside dans les contrats, les paramètres régionaux par défaut et les niveaux d'abonnement. La vue AI Governance fait apparaître la posture documentée et datée de chaque plateforme que vous avez connectée, afin que la réponse se trouve à côté de vos résultats en direct plutôt que dans un PDF fournisseur que personne n'ouvre. (L'échéance de contribution de données Atlassian est un exemple concret de pourquoi cela a sa place sur un tableau de bord.)

4. Les fournisseurs d'IA gouvernés — les cinq véritables connecteurs. Lorsqu'un fournisseur expose bel et bien une API d'administration, 8200.dev s'y connecte en bonne et due forme. Cinq fournisseurs d'IA disposent aujourd'hui de connecteurs de premier rang : Mistral AI, OpenAI, ChatGPT Enterprise, Anthropic et Cursor — qui font partie de l'ensemble des 23 connecteurs de la plateforme. Ceux-ci lisent (en lecture seule, toujours) la surface de gouvernance que chaque fournisseur propose réellement : clés API et leur dernière utilisation, membres et rôles, sièges et activité par siège, plafonds de dépenses, configuration des journaux d'audit, utilisation quotidienne.

5. La profondeur d'élévation par membre — nouveauté de cette version. La seule logique de règle véritablement nouvelle livrée avec le tableau de bord : signaler un *membre spécifique* dont l'accès API a survécu à son rôle. Sur Mistral, OpenAI et Anthropic, le connecteur lit déjà les membres, les rôles et la propriété des clés — la plateforme signale donc désormais une clé API active à l'échelle de l'organisation détenue par un membre dont le rôle actuel n'est plus d'un niveau privilégié. Cette incohérence signifie presque toujours qu'une personne a été rétrogradée ou a vu son rôle restreint après la création de la clé : le siège a été resserré, mais pas l'identifiant, et aucune revue des sièges ne le révélera jamais. Sur Cursor, la même logique s'applique au journal d'audit côté serveur : un siège de simple membre effectuant des actions de niveau administrateur (adhésion, rôles, facturation, clés) sans disposer du rôle de propriétaire.

Et là où les données n'existent tout simplement pas, la règle n'existe pas non plus. La surface des journaux de conformité de ChatGPT Enterprise ne comporte aucun inventaire des membres ou des clés permettant d'en déduire une incohérence d'élévation — plutôt que d'inventer une règle qui ne pourrait jamais se déclencher, le tableau de bord fait donc apparaître le signal honnête dont il dispose réellement : si votre export de journal de conformité est activé et produit effectivement des preuves (OpenAI ne conserve ces journaux que 30 jours ; chaque jour de silence est une preuve d'audit perdue de manière définitive). Le flux d'audit de Cursor dépend de votre niveau d'abonnement — lorsqu'il n'est pas disponible, la règle reste silencieuse plutôt que de deviner.

6. La gouvernance de GitHub Copilot. La politique de Copilot et l'hygiène des sièges — correspondance avec du code public, membres partis conservant des sièges, sièges inutilisés par quiconque — complète le tableau, car pour la plupart des organisations d'ingénierie, Copilot est l'outil d'IA au plus fort volume d'utilisation.

Ce que ce n'est pas — délibérément

AI Governance de 8200.dev est une posture ponctuelle, lue à partir des API d'administration des fournisseurs et des métadonnées d'autorisation OAuth, en lecture seule par défaut. Elle n'intercepte pas le trafic réseau. Elle ne fait pas office de proxy, ne consigne ni n'inspecte les invites (prompts). Elle ne lit jamais le contenu des messages ou des fichiers. Le tableau de bord l'indique sur la page elle-même, car un produit de gouvernance qui reste vague sur son propre niveau d'accès n'a aucune légitimité à évaluer le vôtre.

Nous pensons que cette frontière compte davantage en matière de gouvernance de l'IA que partout ailleurs. Le marché se remplit d'outils qui répondent à la question « quelle IA fonctionne ici ? » en se plaçant eux-mêmes dans le chemin du trafic — une approche aux capacités réelles mais aussi aux coûts réels (une nouvelle dépendance en ligne, un nouveau point de concentration des données, une nouvelle chose à laquelle faire confiance). Notre réponse est délibérément différente : gouverner ce qui peut être lu à partir des surfaces officiellement exposées par les fournisseurs, être exhaustif sur ces surfaces, et être explicite sur ce que personne ne peut voir. Lorsqu'un fournisseur n'offre aucune surface du tout — DeepSeek, Kimi, Grok, Perplexity, Manus — nous disons « la détection est le seul levier qui existe », et nous livrons cette détection.

Pourquoi cela compte en ce moment

La direction que prend la réglementation ne laisse guère de place au doute. L'AI Act européen introduit progressivement des obligations jusqu'en 2026-2027, et la responsabilité côté déployeur — l'idée que l'organisation qui *utilise* l'IA doit en répondre, et pas seulement le fournisseur qui l'a conçue — continue de se durcir devant les tribunaux et dans les réglementations des États, comme nous l'avons évoqué dans notre analyse de la responsabilité des agents d'IA. Les référentiels et les auditeurs attendent de plus en plus que vous démontriez que vous savez quelle IA touche vos données et que cet accès fait l'objet d'un examen. La vue AI Governance prend en charge précisément ce type de documentation de piste d'audit : les résultats alimentent la même console de conformité que tout le reste et se rattachent aux domaines de contrôle relatifs à la gestion des accès et des fournisseurs dans des référentiels tels que SOC 2 et ISO/IEC 42001. Pour être précis sur le sens de cette phrase : il s'agit d'une correspondance factuelle avec des domaines de contrôle, susceptible d'appuyer votre collecte de preuves — ce n'est pas une certification, et le fait de connecter 8200.dev ne rend personne « conforme à l'AI Act européen ». Quiconque vous affirme qu'un tableau de bord peut faire cela vous vend autre chose.

Où le trouver

Cette section se trouve dans l'application, sous AI Governance, juste à côté de vos résultats. Elle est disponible sur toutes les formules, y compris gratuite — car la question « quelle IA fonctionne ici ? » est le début de la conversation, pas un levier de vente additionnelle. La page des fonctionnalités montre comment elle s'intègre au reste de la plateforme, et le cas d'usage de la gouvernance des agents d'IA couvre le sujet plus large des agents — détection, cartographie des accès et application des règles.

Si vous n'avez encore rien connecté : la formule gratuite prend quelques minutes, ne nécessite aucun appel commercial, et démarre avec des scopes en lecture seule que vous pouvez révoquer à tout moment. Votre première vue AI Governance — y compris toute IA fantôme déjà connectée à votre espace de travail — n'est qu'à une connexion de distance. Commencer gratuitement.