Sécurité et gouvernance de l'IA : guide pratique

Si vous mettez plusieurs sites dans un même dépôt et placez un CLAUDE.md ou un AGENTS.md dans le dossier de chaque site, rien ne garantit que ces règles soient lues avant le début du travail. Claude Code charge un CLAUDE.md situé sous le dossier de lancement quand Claude lit, écrit ou modifie un fichier de ce dossier, tandis que Codex ne lit que les AGENTS.md de la racine du projet jusqu’au dossier de lancement, une fois au début de chaque exécution. Cet article compare point par point le chargement dans les deux outils et la façon de vérifier qu’il a eu lieu (/context ne montre que ce qui a été chargé au démarrage), puis présente une vérification qui arrête la mise en production si quoi que ce soit change hors du dossier attribué, et les réglages des outils qui bloquent l’écriture. Il montre aussi comment distinguer des dépôts aux noms proches par l’URL remote et le commit racine, et des commandes qui n’affichent que les noms des variables d’environnement (vérifié le 1er novembre 2026).

Cet article montre comment passer Codex et Claude Code en mode analyse seule dans l'application, les IDE, Claude Desktop, VS Code, le Web, le mobile et la CLI. Vous y trouverez les différences entre lecture seule et Plan, la portée des réglages et de leur sauvegarde, la restriction des outils, une consigne prête à l'emploi et la vérification des différences.

Distinguez refus de lecture, séparation de l'environnement, approbations et restrictions réseau dans Codex. Vous y trouverez un exemple de profil de permissions, les règles concernant les fichiers .env et les variables d'environnement, les contraintes propres à Windows et au cloud, ainsi qu'une méthode pour vérifier le refus avec des fichiers fictifs.

Avant de choisir Codex Security, comparez le plugin local, le Cloud connecté à GitHub et la CLI autonome. Ce guide s'appuie sur la documentation officielle pour expliquer la facturation distincte du Cloud, les crédits gratuits sous conditions, la configuration initiale, la formulation de la première demande, les niveaux Standard et Deep, la couverture, les preuves de reproduction et la vérification des correctifs. Il précise aussi quand la CLI autonome sélectionne une clé API présente dans l'environnement et comment utiliser les limites de coût estimées.

Les mods de Claude Code (Claude Mods) sont des plugins qui exécutent dans Claude Code des fonctions JavaScript ou TypeScript, ajoutés officiellement dans la v2.1.287 le 1er octobre 2026. Cet article explique le fonctionnement d’un mod composé de trois fichiers, ses différences avec les hooks traditionnels écrits dans settings.json, les skills et MCP, ce que savent faire les mods, comme dessiner des panneaux dans l’interface, créer des commandes qui s’exécutent sans attendre et suspendre un appel d’outil pour interroger l’utilisateur, ainsi que leurs limites, comme le temps d’exécution, le tout d’après le texte original de la documentation officielle vérifié le 5 octobre de la même année. Un mod s’exécute avec vos permissions hors du bac à sable et peut passer outre les décisions de permission. Un tableau montre que les règles deny tiennent avec Team ou Enterprise ou sur une machine dotée de managed settings, mais qu’avec un abonnement individuel un mod peut approuver même des appels qu’une règle deny a refusés. Il présente aussi les résultats de la lecture du code des trois mods d’exemple officiels d’Anthropic et du relevé des API qu’ils utilisent, la lecture de claude plugin validate avant d’installer, comment essayer des mods, en faire écrire un par Claude et les désactiver, où s’exécutent les mods et les mods intégrés, ainsi qu’une liste de vérification avant d’installer.

Vous pouvez confier du développement aux sessions cloud de Claude Code sans ouvrir une nouvelle porte vers la production : gardez le code dans un dépôt GitHub privé, installez la Claude GitHub App sur ce seul dépôt, et laissez le serveur de production se contenter d’en faire des pulls avec une deploy key en lecture seule. Cet article est mon compte rendu de mes débuts avec les sessions cloud sur un projet de développement distinct, le 4 octobre 2026, vérifié par rapport au texte original de la documentation officielle à cette date. Il explique que claude --cloud sans GitHub envoie l’historique de toutes les branches ainsi que les modifications non commitées des fichiers suivis (sous Windows, quel que soit le nom des fichiers), comment corriger le problème quand un autre compte GitHub est connecté, « Only select repositories » et pourquoi des dépôts publics apparaissent dans la liste, pourquoi créer un nouvel environnement par projet puisque toute personne qui utilise un environnement peut lire ses variables d’environnement, que les fichiers locaux sont invisibles, et que dans le cloud Accept edits s’arrête à chaque commande alors qu’Auto continue, le tout réuni dans une liste de vérification avant de commencer. Il partage aussi un cas réel où une seule consigne exécutée en autonomie a consommé 226 $ de crédit à durée limitée avant que je lui dise de s’arrêter en cours de route, pourquoi le crédit fond si vite, et comment réduire les coûts.

Même avec le forfait Pro individuel, vos conversations et votre code servent par défaut à l’entraînement de ChatGPT et Codex. Ce guide explique comment désactiver ce réglage, pourquoi Include environments est un réglage distinct, quelles informations ne pas saisir et quoi faire si vous avez transmis une clé API ou des données clients. Il précise aussi les exceptions liées à la suppression et à l’évaluation.

Vos conversations Claude Code servent-elles à entraîner des modèles d'IA ? Cela dépend de votre offre et du réglage de votre compte. Sur les offres grand public Free, Pro et Max, vos données ne servent à l'entraînement que tant que le réglage d'amélioration des modèles des paramètres de confidentialité de claude.ai est activé (conservation de 5 ans), et le désactiver arrête l'entraînement (conservation de 30 jours). Le réglage appartient à votre compte : inutile de modifier les fichiers de configuration de l'ordinateur qui exécute Claude Code. En s'appuyant sur le texte original de la page « Data usage » de la documentation de Claude Code, du Privacy Center d'Anthropic et de la page « API and data retention » de Claude Platform au 4 octobre 2026, cet article explique où se trouve le réglage et comment le désactiver, le fait que le refus ne retire pas vos données des entraînements passés, le traitement des notes 👍👎, de /feedback et des conversations signalées pour violation des règles, ainsi que l'entraînement et la conservation offre par offre, Team, Enterprise, API et Bedrock compris. Il montre aussi que les entrées et sorties de l'API ne servent pas à l'entraînement par défaut et sont supprimées sous 30 jours, ce que couvre le ZDR et pourquoi les Covered Models comme Fable exigent 30 jours de conservation, les variables d'environnement qui coupent les métriques d'utilisation et les rapports d'erreur envoyés à part de l'entraînement, les transcriptions stockées en clair sur votre propre ordinateur et la configuration à choisir pour un travail confidentiel.

Si Claude Code affiche « API Error: Opus 5.5's safeguards flagged this message » ou « safeguards flagged this session », un classifieur de sécurité associé au modèle a réagi au contenu de votre conversation et a empêché ce modèle de répondre. Les titres des Issues l'appellent aussi « Message flagged by safeguards ». Les classifieurs tournent côté serveur et examinent non seulement votre dernière phrase, mais toute la conversation, les fichiers lus et même CLAUDE.md : un message ordinaire comme « hi » peut donc être arrêté, et Anthropic reconnaît les faux positifs. En nous appuyant sur la référence officielle des erreurs, la documentation de configuration des modèles, la page Refusals and fallback de l'API et le centre d'aide, nous détaillons ce que signifient les catégories cyber, bio, reasoning_extraction, general_harms et frontier_llm du champ Details, quand Claude Code bascule automatiquement vers un autre modèle et quand il s'arrête simplement, comment utiliser deux appuis sur Échap pour revenir en arrière, /clear, /model, --safe-mode et /feedback, l'extension du CVP du 6 octobre 2026 à trois niveaux qui couvrent aussi Opus 5.5 et Sonnet 5.5, et comment les requêtes arrêtées sont facturées. Les signalements GitHub publiés depuis le 22 septembre sont distingués des explications officielles et traités comme des cas non confirmés.

Les dispositions restantes de l'EU AI Act sont devenues généralement applicables le 2 août 2026, et avec elles est arrivée une vague soudaine d'affirmations selon lesquelles publier un article écrit par IA sans mention serait désormais illégal. La réponse courte est que, pour la plupart des auteurs indépendants et des blogs d'entreprise, aucune obligation de signalement ne naît. L'article 50, paragraphe 4, indique en toutes lettres que cette obligation ne s'applique pas lorsque le contenu a fait l'objet d'un processus d'examen humain ou de contrôle éditorial et lorsqu'une personne assume la responsabilité éditoriale de la publication. Le texte s'arrête là ; les orientations pratiques sur l'article 50 ajoutent que cet examen doit être substantiel et ne pas se limiter à des aspects superficiels ou à une approbation de pure forme : publier automatiquement un texte que personne n'a lu a donc peu de chances de remplir le critère. Cet article détaille pourquoi le fournisseur (provider) et le déployeur (deployer) portent des obligations complètement différentes, pourquoi le signalement des textes générés par IA se joue sur le but de la publication plutôt que sur le sujet traité, l'obligation de signalement des deepfakes et le traitement allégé des œuvres artistiques et satiriques, l'information sur les chatbots, pourquoi le marquage lisible par machine comme C2PA Content Credentials est une obligation du fournisseur, ainsi que les échéances du 2 décembre 2026 et du 2 février 2027 — le tout limité à ce qui a pu être vérifié dans le texte juridique et dans les documents de la Commission européenne.

Une affirmation générale ne peut pas répondre à la question « si une IA peut modifier les choses directement, avons-nous encore besoin d'une interface d'administration ? », parce que la seule expression « interface d'administration » recouvre un empilement de fonctionnalités de natures complètement différentes. Cet article, ancré dans l'expérience de la suppression pure et simple de l'interface d'administration de ce site, remplace cette question par une autre, plus tranchante : cet écran fournit-il quelque chose que la CLI et l'IA ne fournissent pas déjà ? Ce que la suppression de l'ensemble a révélé, c'est que la plupart des fonctionnalités retirées n'étaient pas « inutilisées » mais « structurellement cassées ». Le CRUD des articles ne pouvait pas fonctionner, parce que la source de vérité des articles vit dans le code et que chaque déploiement écrase la base de données : tout ce qui était modifié dans l'écran disparaissait au déploiement suivant. La file de modération des commentaires était toujours vide parce que les messages étaient marqués comme approuvés dès leur envoi, si bien qu'un commentaire non approuvé ne pouvait jamais exister. Une fonctionnalité que personne n'utilise est une fonctionnalité dont personne ne peut voir qu'elle est cassée. La seule capacité qui ne pouvait pas disparaître était la suppression des commentaires, et même celle-là n'avait aucune raison intrinsèque de vivre dans une interface d'administration : un bouton de suppression sur la page de l'article s'est révélé meilleur, parce que le commentaire fautif peut être retiré là où on est en train de le lire. La décision se ramène à six questions. Qui l'utilise (des personnes non techniques ou un poste qui change de titulaire plaident pour une UI ; des développeurs qui vivent dans un terminal, non). Est-ce réversible (les actions irréversibles ont besoin d'une barrière). Faut-il un jugement humain (existe-t-il une transition d'état du type approuver ou rejeter). Faut-il séparer les droits. L'opérateur sait-il ce qui est possible (la liste fait office de documentation). Existe-t-il une piste d'audit. Les droits et la piste d'audit, en particulier, paraissent inutiles sur un projet solo et deviennent les premières exigences à la seconde où une deuxième personne arrive. Les changements passés par le code atterrissent dans git, mais laisser une IA écrire directement dans la base de données n'enregistre rien par défaut, et un historique de conversation conserve ce qui a été demandé plutôt que ce qui s'est produit. Parmi les six axes, seule la réversibilité pèse d'un poids différent. Le 18 juillet 2025, un agent d'IA de Replit a supprimé la base de données de production de SaaStr pendant un gel du code en cours, a fabriqué 4 000 utilisateurs et a affirmé à tort qu'un retour arrière était impossible, retardant la reprise (AI Incident Database #1152) — un cas qui montre moins la dangerosité de l'IA qu'un problème de conception où une action irréversible pouvait être atteinte sans passer par une barrière humaine. L'article traite aussi des trois choses à mettre en place avant de déplacer le poids vers l'IA et la CLI (les changements laissent une trace durable, une marche se tient devant les actions irréversibles, la procédure est écrite quelque part, puisque supprimer l'UI supprime aussi la liste de ce qui est possible), d'une liste de contrôle à passer avant de construire quoi que ce soit, et de la troisième option que constituent les produits d'outillage interne comme Retool ou Forest Admin plutôt qu'une interface écrite à la main.

Dispatch est la fonctionnalité qui vous permet d'envoyer une instruction depuis votre téléphone pour que Claude effectue le travail sur votre propre ordinateur (bêta, Pro et Max). Ça ne tourne pas dans le cloud : c'est votre machine réelle qui bouge, et ce seul fait produit à la fois la valeur et le danger. L'aide officielle indique que vous pouvez écrire à Claude depuis votre téléphone et lui faire travailler sur votre ordinateur de bureau, en utilisant les mêmes connecteurs, plugins et accès aux fichiers que vous avez déjà configurés dans Cowork, à l'intérieur de ce qu'Anthropic présente comme une conversation continue accessible depuis l'un ou l'autre appareil. Le fonctionnement exige que le PC soit réveillé avec l'application de bureau ouverte, et l'utilisation de l'ordinateur n'est prise en charge que sur macOS et Windows, pas sous Linux. Mécaniquement, tout descend trois étages de priorité : un connecteur s'il en existe un, la navigation dans le navigateur à défaut, et l'interaction directe avec l'écran en dernier recours, avec des captures d'écran prises en chemin pour comprendre l'affichage. L'évaluation commence après cela. Les endroits où ça s'arrête sont pensés dès la conception : l'utilisation de l'ordinateur est désactivée par défaut et s'active dans Réglages, Général ; l'autorisation est demandée pour chaque nouvelle application ; la suppression définitive d'un fichier exige une autorisation explicite ; et les plateformes d'investissement et de trading ainsi que les applications de cryptomonnaies sont hors limites par défaut. Mais il existe des endroits où ça ne s'arrête pas. Les actions individuelles à l'intérieur d'une application déjà approuvée ne vous sont pas soumises, et la formulation officielle est que Claude clique, saisit du texte et navigue directement sur votre écran, sans les contrôles de permission qui encadrent les autres outils de Cowork. La documentation ajoute qu'il n'y a pas de bac à sable entre Claude et ce qui s'affiche à votre écran, et que les actions prises dans une application peuvent avoir un impact sur d'autres applications. Le plus grand risque est l'injection de prompt, qu'Anthropic décrit dans ses propres mots : le contenu web est un vecteur principal d'attaques par injection de prompt, et une instruction manipulée, une commande inattendue ou un lien de phishing ouvert dans votre navigateur pourraient déclencher en cascade des actions difficiles voire impossibles à annuler. Anthropic déclare analyser les activations du modèle pour détecter ce type de comportement, mais cela fait baisser les probabilités sans vous dispenser de tracer une limite, et les recommandations disent toujours de basculer en approbation manuelle dès qu'une tâche touche des fichiers, des comptes ou des sites sensibles. Anthropic nomme la frontière sans détour : n'accordez pas la permission d'utilisation de l'ordinateur à des applications sensibles comme les applications bancaires, de santé ou administratives, et évitez les comptes financiers, les documents juridiques, les informations médicales et les données personnelles. L'article traite aussi le côté téléphone. Ce qui fuit si vous perdez le combiné, ce ne sont pas les données qui y sont stockées mais la faculté de donner des ordres à votre PC, plus le contenu de la conversation en cours — et l'aide officielle sur Dispatch ne documente ni le désappairage ni la conduite à tenir en cas de perte, si bien que les remèdes viennent du côté du compte : terminer la session concernée sous Réglages, Compte, Sessions actives ; se déconnecter de toutes les sessions depuis claude.ai, ce qui n'est pas disponible dans les applications mobiles et nécessite donc un navigateur web ; ou simplement couper le côté PC en fermant l'application de bureau ou en laissant la machine se mettre en veille, ce qui est en fait le plus rapide puisque Dispatch exige que le PC soit réveillé et l'application ouverte. Il se termine en séparant Dispatch et l'utilisation de l'ordinateur comme deux interrupteurs distincts, en distinguant les deux de l'agent view de Claude Code (que la documentation officielle appelle également dispatch), et en traçant une limite pratique : commencez par du travail que vous pouvez reprendre.