Une commerciale quitte l’entreprise. Son compte Drive est suspendu et son accès au CRM retiré. Pourtant, un assistant interne peut encore retrouver un résumé de ses dossiers dans un index de recherche, et un lien partagé donne accès à une note exportée la veille. Le départ a été traité dans les applications principales ; les copies et les accès du système IA ont été oubliés.
Retirer un accès dans un Company Brain exige de contrôler toute la chaîne : identité de l’utilisateur, droits sur les sources, recherche documentaire, caches et livrables partagés. Il faut ensuite tester ce qu’un compte privé de ses droits peut réellement retrouver. Demander à l’agent de « ne plus parler de ce dossier » ne remplace pas une restriction technique.
Les contrôles à prévoir au départ d’un salarié
- Identifier les accès personnels, les liens partagés et les connexions techniques liés à son activité.
- Empêcher la recherche de renvoyer des documents devenus interdits avant leur passage au modèle.
- Vérifier les conversations conservées, les résumés et les exports déjà produits.
- Conserver une preuve de retrait et traiter séparément les obligations de conservation ou d’effacement.
Pourquoi le retrait dans le Drive ne suffit pas toujours
Un Company Brain organise les documents, les règles et les décisions utiles au travail. Certains systèmes interrogent les sources en direct ; d’autres en stockent des copies ou des fragments dans un moteur de recherche. D’autres encore produisent des synthèses persistantes. Le comportement au changement de droits dépend de cette architecture.
Lorsqu’un index conserve un extrait, supprimer l’accès au fichier d’origine ne retire pas nécessairement cet extrait de l’index. Si un compte technique peut lire tous les dossiers, la recherche doit vérifier les droits de la personne qui pose la question. Sans ce contrôle, les droits du compte technique peuvent devenir, par erreur, ceux de tous les utilisateurs.
La documentation de Microsoft sur le filtrage de sécurité des résultats de recherche décrit un mécanisme fondé sur les identités et les groupes. Elle précise aussi qu’un simple champ non affiché ne constitue pas une protection du contenu. Ce mécanisme est un exemple technique ; il ne prouve pas que votre installation applique correctement ses propres droits.
Faire l’inventaire à partir des usages du salarié
Le responsable métier et l’administrateur partent des dossiers effectivement traités : portefeuille clients, propositions, marges, procédures et espaces d’équipe. Ils identifient les comptes utilisés, les groupes, les liens ouverts et les canaux dans lesquels l’assistant répond. Une messagerie interne peut être protégée tandis qu’un bot ou un lien de livrable reste accessible ailleurs.
Distinguez trois situations. Un accès personnel doit être révoqué au départ. Une connexion partagée par l’équipe peut devoir continuer, mais son secret doit être renouvelé si le salarié le connaissait et que le risque le justifie. Une intégration exécutée sous son identité peut cesser de fonctionner : il faut la transférer à une identité adaptée, avec des droits bornés et un responsable nommé, plutôt que réactiver son compte pour rétablir la routine.
Documentez aussi les traitements en attente. Un agent lancé avant le retrait pourrait encore produire un export ou envoyer un lien après celui-ci. Les tâches concernées doivent être suspendues, annulées ou réévaluées sous les droits actuels, selon le fonctionnement réel du système.
Contrôler les droits avant que le contenu arrive au modèle
Le contrôle utile se situe au moment où la recherche sélectionne les documents. Pour chaque requête, le système doit connaître l’identité authentifiée et les groupes autorisés, puis exclure les contenus interdits avant de constituer le contexte transmis au modèle. Un contrôle ajouté seulement à la réponse finale arrive trop tard : le contenu sensible a déjà circulé dans le traitement.
Dans un système qui synchronise des copies, demandez comment les changements de droits sont propagés et quel délai maximal est effectivement assuré. Si l’autorisation ne peut pas être déterminée, la conduite attendue est de refuser l’accès au contenu concerné, pas de réutiliser silencieusement les anciens droits.
Cette exigence vaut aussi quand le salarié ne quitte pas l’entreprise. Une mobilité du service finance vers le commercial peut retirer certains droits tout en conservant le compte. Tester uniquement les comptes entièrement désactivés laisserait ce cas de côté.
Qui peut retrouver vos marges dans l’assistant interne ?
Apportez un dossier sensible fictif et deux profils d’utilisateurs. Un First Contact permet de cartographier les sources, les connexions et les contrôles à vérifier avant d’élargir le Company Brain.
Traiter les résumés, les caches et les exports déjà produits
Un document interdit peut avoir laissé une synthèse dans une autre page. Protéger la source tout en laissant cette synthèse ouverte ne résout pas le problème. Les contenus dérivés doivent conserver une trace de leur origine et des règles de diffusion compatibles avec leur sensibilité. À défaut, il faut les examiner et restreindre leur diffusion avant réutilisation.
Les caches de réponses posent une difficulté voisine : une réponse calculée pour une personne autorisée ne doit pas être servie à une autre sans réévaluation des droits. Demandez au prestataire comment l’identité, le périmètre documentaire et les changements d’habilitation interviennent dans la réutilisation des réponses.
Enfin, un export déjà téléchargé n’est pas repris par la révocation d’un compte. Il faut distinguer le retrait des accès futurs, l’expiration des liens encore contrôlables et le traitement des copies déjà sorties. Ne promettez pas l’effacement de ce que votre système ne peut plus contrôler.
Prouver le retrait avec des comptes de test
Utilisez des données fictives ou un dossier spécialement autorisé, pas un véritable dossier RH pour faire une démonstration. Avant le retrait, vérifiez qu’un profil autorisé obtient le document témoin. Après retrait des droits, rejouez plusieurs chemins :
- une recherche avec le titre exact du document ;
- une question reformulée sur le fait sensible qu’il contient ;
- une demande de citation, de résumé ou d’export ;
- l’ouverture d’une ancienne conversation ou d’un ancien lien ;
- la même demande depuis un autre canal connecté à l’assistant.
Le résultat attendu n’est pas seulement une phrase de refus. Aucun extrait sensible ne doit être transmis dans les résultats de recherche, les aperçus ou le livrable. Un administrateur habilité doit pouvoir contrôler les traces techniques utiles sans diffuser leur contenu à toute l’équipe.
Réalisez aussi un test positif avec un utilisateur qui conserve ses droits. Une coupure générale prouve que l’accès est bloqué, mais pas que le système applique la bonne séparation entre personnes.
Attribuer le retrait, sa preuve et les exceptions
La fiche de départ doit nommer le responsable de chaque contrôle : identité et sessions pour l’administrateur, groupes documentaires pour les propriétaires de dossiers, index et caches pour l’exploitant du Company Brain, livrables partagés pour leur responsable métier. Une liste sans propriétaire ne garantit aucune exécution.
Conservez la date, le périmètre, les tests réalisés, les écarts et la personne qui accepte la clôture. Si un connecteur ne propage pas immédiatement les droits, signalez le risque et limitez le service concerné jusqu’à correction. La recette d’un projet IA doit inclure ce scénario avant son ouverture à l’équipe.
Le retrait d’accès ne décide pas à lui seul quelles données supprimer. Les durées de conservation, les besoins de preuve et les demandes d’effacement relèvent d’un examen distinct avec les responsables compétents. Les journaux de contrôle doivent eux-mêmes rester accessibles aux seules personnes habilitées.
Vérifier un périmètre avant de connecter toute l’entreprise
First Contact vise à rendre une première mémoire métier exploitable sans ouvrir tous les dossiers à tous les usages. Préparer votre cadrage avec Amplify : commencez par une source, deux profils et un test de retrait que l’équipe saura rejouer.