Comment les administrateurs informatiques d'entreprise configurent la confidentialité des données, les règles DLP et les restrictions d'IA générative dans Grammarly Business

L'intégration d'assistants d'écriture fondés sur l'intelligence artificielle pose un défi majeur aux équipes de sécurité et aux directions des systèmes d'information (DSI) : si les collaborateurs bénéficient de gains substantiels de productivité et de clarté rédactionnelle en anglais, des extensions de navigateur et des applications de bureau non régulées risquent d'exposer du code source propriétaire, des résultats financiers non publics, des dossiers médicaux protégés et des données personnelles identifiables (PII) à des serveurs cloud tiers.

Grammarly Business (notamment dans son offre Enterprise) apporte une réponse centralisée conforme aux exigences Zero Trust. Plutôt que de s'en remettre à la vigilance individuelle des utilisateurs, les administrateurs informatiques peuvent assainir les flux sortants grâce à la prévention des pertes de données (DLP), isoler les logiciels internes et les domaines intranet via des listes de blocage, synchroniser les étiquettes de confidentialité de l'écosystème d'entreprise et segmenter l'accès aux fonctions d'IA générative par département.

Ce guide fournit une méthodologie détaillée pour configurer les règles DLP, les exclusions d'applications et de domaines, le mode confidentiel et la gouvernance de l'IA générative au sein de la console d'administration de Grammarly.

1. L'architecture de sécurité d'entreprise en quatre piliers

La sécurité de Grammarly Enterprise s'articule autour de quatre niveaux de protection interconnectés :

2. Configuration de la Prévention des Pertes de Données (DLP) et assainissement du contenu

La fonctionnalité native de DLP de Grammarly neutralise les informations sensibles directement sur le terminal client avant tout transfert vers le cloud. Elle s'applique aux extensions de navigateur (Chrome, Firefox, Edge), aux applications pour ordinateurs de bureau (Windows, macOS) ainsi qu'à l'éditeur web. Contrairement aux solutions DLP traditionnelles qui alertent ou bloquent a posteriori, Grammarly remplace à la source les données ciblées par des jetons anonymisés, garantissant qu'aucune donnée sensible ne franchit le périmètre de l'entreprise.

Étape 2.1 : Accéder aux paramètres DLP

1. Connectez-vous à la Grammarly Admin Console avec un compte administrateur.
2. Dans le menu de navigation, sélectionnez Organization.
3. Dans la section Enterprise Security, cliquez sur Data.
4. Repérez la section Data Loss Prevention (DLP) pour vérifier son état d'activation.

Étape 2.2 : Types de données sensibles pris en charge

Lorsque le module DLP est activé, il détecte et masque automatiquement les motifs suivants :

• Identifiants de contact personnels : Adresses e-mail (Email addresses), numéros de téléphone (Phone numbers) et URL web.
• Numéros d'identification officiels : Numéros de sécurité sociale américains (US SSN), numéros d'assurance nationale britannique (UK NINO) et numéros d'assurance sociale canadiens (Canada SIN).
• Données financières et bancaires : Numéros de cartes bancaires (Credit card numbers) et identifiants de compte bancaire international (IBAN).

Lorsqu'un collaborateur saisit du texte contenant ces formats, Grammarly masque ces chaînes localement avant de solliciter les modèles de correction, empêchant tout enregistrement sur les infrastructures distantes.

Étape 2.3 : Validation des règles avec l'outil « Test out DLP »

Avant d'activer la politique à grande échelle, les administrateurs peuvent simuler l'assainissement dans un bac à sable dédié :

1. Sur la page Data, cliquez sur Test out DLP.
2. Saisissez ou collez un texte d'exemple contenant des numéros de carte de test, de faux numéros de sécurité sociale ou des URL internes.
3. Vérifiez que le détecteur identifie immédiatement les chaînes cibles et applique le masquage sous forme de jetons neutres.
4. Personnalisations spécifiques : Si votre organisation requiert des expressions régulières (Regex) adaptées à des identifiants d'employés internes, contactez votre Customer Success Manager (CSM) Grammarly pour configurer un profil personnalisé au niveau de l'infrastructure backend.

3. Déploiement du Mode Confidentiel tiers (Étiquettes Microsoft Purview)

Les équipes juridiques, financières et RH manipulent quotidiennement des documents soumis à des accords de non-divulgation (NDA) ou à des réglementations strictes (RGPD, HIPAA). Grammarly intègre un Third-Party Confidential Mode qui désactive automatiquement l'assistant en présence de documents sensibles.

Étape 3.1 : Activer le mode confidentiel

1. Dans la console, accédez à Organization → Enterprise Security → Data.
2. Activez le bouton bascule de Third-Party Confidential Mode sur On.

Étape 3.2 : Lier les étiquettes de confidentialité Microsoft Word (Purview / MIP)

Pour les collaborateurs sous Windows utilisant Grammarly for Windows, l'application analyse les métadonnées de classification du document Word actif :

1. Dans la section du Mode Confidentiel, repérez le tableau Labels.
2. Cliquez sur Add.
3. Saisissez le nom usuel de l'étiquette (par exemple : Strictement Confidentiel ou Usage Interne Exclusif).
4. Renseignez l'identifiant unique global correspondant : Label ID (GUID), généré dans le centre de conformité Microsoft Purview / Microsoft 365.
5. Cliquez sur Save.

Dès qu'un collaborateur ouvre un fichier Word associé à ce GUID, Grammarly désactive instantanément toute analyse et suggestion pour ce document.

Étape 3.3 : Comportement avec le mode confidentiel de Gmail

Pour les organisations équipées de Google Workspace, dès qu'un utilisateur rédige un courriel en activant le « Mode confidentiel » natif de Gmail sur Chrome, Edge ou Firefox, l'extension Grammarly suspend automatiquement la lecture du texte dans la fenêtre de rédaction.

4. Configuration des listes de blocage (Blocklists) pour les domaines et les applications de bureau

Pour éviter que l'assistant d'écriture n'analyse du code source dans des dépôts Git internes, des consoles cloud, des outils de gestion RH ou des logiciels médicaux, les administrateurs doivent définir des listes d'exclusion centralisées.

Étape 4.1 : Exclure des domaines web

1. Rendez-vous sur Organization → Enterprise Security → Domains and apps.
2. Cliquez sur Add to block list et sélectionnez Domain.
3. Saisissez le domaine sans protocole ni préfixe (ex. : portail-interne.societe.fr ou workday.com ; n'ajoutez pas https:// ni www).
4. Cochez Include subdomains pour étendre le blocage de manière récursive à tous les sous-domaines associés (ex. : *.societe.fr).
5. Choisissez la portée :
   • Entire organization : Application générale à l'ensemble des collaborateurs.
   • Specific groups : Restriction ciblée sur des groupes particuliers (Ingénierie, Juridique).
6. Validez en cliquant sur Add.

Étape 4.2 : Bloquer des applications logicielles de bureau

Grammarly for Windows et Grammarly for Mac s'appuient sur les API d'accessibilité du système d'exploitation pour fonctionner dans les fenêtres locales. Pour neutraliser les terminaux de commande, les consoles de bases de données, les IDE de développement ou les logiciels de paie, ajoutez le nom du processus :

1. Dans la page Domains and apps, cliquez sur Add to block list et choisissez Application.
2. Renseignez le nom exact du fichier exécutable :
   • Sous Windows : Nom du fichier avec extension .exe (ex. : powershell.exe, cmd.exe, dbeaver.exe, devenv.exe).
   • Sous macOS : Nom binaire de l'application (ex. : Terminal, Xcode, iTerm2).
   • Parcs mixtes : Enregistrez séparément les exécutables Windows et Mac correspondants.
3. Définissez le groupe d'utilisateurs ciblé et cliquez sur Add.

Note d'architecture critique : Modèle de liste de blocage

La console d'administration de Grammarly fonctionne selon un modèle de liste de blocage (Blocklist). Il n'existe pas de mode natif en liste blanche (Allowlist) qui désactiverait l'assistant par défaut sur tout le système pour ne l'autoriser que sur quelques logiciels désignés. Par conséquent, les équipes de sécurité doivent identifier les applications sensibles et maintenir la liste d'exclusion à jour.

Pour les postes hautement sécurisés, il est recommandé de combiner cette politique avec des solutions de gestion des terminaux (MDM tel que Microsoft Intune ou Jamf) ou des stratégies de groupe (GPO). De plus, sous Organization → Enterprise Security → Client apps, les administrateurs peuvent définir le statut de chaque produit comme Managed (géré) ou Blocked (bloqué).

5. Gestion segmentée des accès aux fonctionnalités d'IA générative

Si l'IA générative offre des gains de temps majeurs pour les équipes de communication, de marketing et de support client, elle suscite des réserves légitimes en matière de propriété intellectuelle, de conformité financière et de protection du secret des affaires dans les équipes de R&D ou juridiques. Grammarly Business permet d'attribuer ces accès de manière ciblée.

Étape 5.1 : Accéder au contrôle des fonctionnalités

1. Dans la console, cliquez sur Organization.
2. Ouvrez l'onglet Feature access.

Étape 5.2 : Configurer le bouton bascule AI Assistant

• Désactivation globale pour l'entreprise : Basculez AI assistant sur Off. Les utilisateurs conservent l'intégralité des corrections orthographiques, grammaticales et stylistiques, mais n'ont plus accès à la génération de texte par invite (prompts).
• Activation ciblée par groupes : Laissez l'interrupteur sur On, mais restreignez son application aux groupes autorisés (par exemple Marketing ou Support-Client). Les groupes juridiques et de développement peuvent être exclus afin d'éviter toute injection de code ou de données confidentielles dans les modèles de langage.

Étape 5.3 : Encadrement de Docs with agents et de la reformulation avancée

• Docs with agents : Activez ou désactivez l'espace documentaire augmenté par agents dans Feature access. Si activé, vous pouvez affiner les autorisations pour chaque agent dans Organization → Agent access.
• Réécriture de paragraphes et traduction : Bloquez de manière autonome la réécriture complète de paragraphes (Paragraph-level rewrites) et la traduction automatique pour les équipes manipulant des données hautement réglementées.

6. Garanties de confidentialité, chiffrement et politique de rétention zéro

Lors de revues de conformité ou d'audits menés par les délégués à la protection des données (DPO), les équipes de sécurité peuvent s'appuyer sur les engagements d'infrastructure de Grammarly.

6.1 : Données d'entreprise exclues de l'entraînement des modèles

Grammarly s'engage formellement sur le plan contractuel et architectural : les textes rédigés par les clients professionnels ne sont jamais utilisés pour entraîner ses propres algorithmes ni les modèles de langage de tiers. Dans les souscriptions Enterprise, les options de partage de données à des fins d'amélioration produit sont désactivées par défaut à l'échelle du locataire (tenant).

6.2 : Microsoft Azure OpenAI Service et rétention zéro des données (Zero-Day Retention)

L'infrastructure d'IA générative de Grammarly repose sur Microsoft Azure OpenAI Service dans un cadre d'entreprise strict :

• Rétention zéro : Les requêtes et les résultats générés ne sont ni journalisés, ni mis en cache, ni conservés sur les serveurs de Microsoft.
• Cloisonnement des locataires : Les flux d'entreprise transitent dans des environnements cloud virtuellement isolés.
• Désidentification en amont : Les informations personnelles identifiables sont nettoyées avant d'être transmises au modèle d'IA.

6.3 : Chiffrement avec clés personnalisées (BYOK via AWS KMS)

Pour les entreprises imposant des exigences rigoureuses de souveraineté sur leurs données stockées au repos, le forfait Enterprise prend en charge le mécanisme BYOK (Bring Your Own Key) via AWS Key Management Service (KMS) :

• L'entreprise provisionne sa clé dans son compte AWS et communique l'Amazon Resource Name (ARN) à Grammarly.
• Toutes les données au repos (comme les textes enregistrés dans l'éditeur) sont chiffrées en AES-256 avec cette clé.
• En cas de révocation de la clé dans AWS KMS, les données stockées chez Grammarly deviennent instantanément illisibles et détruites sur le plan cryptographique (Crypto-shredding).
• Les opérations d'accès à la clé sont consignées dans les journaux d'audit AWS CloudTrail de l'entreprise.

6.4 : Gestion des identités et conformité réglementaire

• SAML 2.0 SSO et SCIM : Intégration transparente avec Okta, Microsoft Entra ID (Azure AD), Google Workspace ou PingIdentity, avec révocation automatisée des accès lors du départ d'un collaborateur.
• Gestion des sessions : Possibilité de configurer des délais d'expiration automatiques des sessions inactives sur la console d'administration.
• Certifications reconnues : Audits indépendants certifiant la conformité aux normes SOC 2 (Type II), ISO/IEC 27001, 27017, 27018, 27701, avec possibilité de conclure un accord BAA pour les structures assujetties à la réglementation HIPAA.

7. Liste de contrôle pour le déploiement par étapes

Pour assurer un déploiement sécurisé et vérifiable, suivez cette séquence opérationnelle :

[ ] Étape 1 : Identité et synchronisation de l'annuaire
    - Configurer le SSO SAML 2.0 et le provisionnement SCIM.
    - Synchroniser les groupes de sécurité métier (Juridique, Finance, Ingénierie, Marketing).

[ ] Étape 2 : Périmètre réseau et isolation logicielle
    - Inscrire les dépôts de code, portails RH et domaines internes dans la liste de blocage web.
    - Ajouter les exécutables de consoles de commande et les IDE dans la liste d'applications bloquées.

[ ] Étape 3 : Assainissement DLP et étiquetage de sensibilité
    - Vérifier l'activation du moteur DLP sous Enterprise Security → Data.
    - Réaliser un test d'assainissement avec l'outil « Test out DLP ».
    - Activer le Third-Party Confidential Mode et enregistrer les GUID des étiquettes Microsoft Purview.

[ ] Étape 4 : Gouvernance ciblée de l'IA générative
    - Dans Feature access, restreindre l'AI Assistant aux seuls départements autorisés.
    - Désactiver Docs with agents et la réécriture de paragraphes pour les équipes manipulant des données sensibles.

[ ] Étape 5 : Sécurisation cryptographique et conformité
    - Configurer le chiffrement BYOK via AWS KMS en cas d'obligation de souveraineté des clés.
    - Faire signer l'accord BAA avec Grammarly en cas de traitement de données de santé (PHI).

En associant le masquage préventif des données via le DLP natif, la reconnaissance des étiquettes de confidentialité Purview, le blocage des outils critiques et une distribution raisonnée des droits d'accès à l'IA générative, les équipes informatiques permettent à leurs collaborateurs de tirer pleinement parti de l'assistance rédactionnelle par IA tout en préservant l'intégrité et la conformité des données d'entreprise.

Références

• The Grammarly User Trust Center | Security, Privacy, & Compliance
• Security at Grammarly
• Grammarly for Enterprise
• Grammarly for Business | AI Writing Assistance for Teams of all Sizes
• Grammarly Support