Knostic lève 11 millions de dollars pour sécuriser les accès aux IA d’entreprise

Les assistants d’intelligence artificielle promettent de faire gagner un temps considérable aux salariés : une question formulée en langage courant peut remplacer une longue recherche dans des dossiers, des messageries ou des bases documentaires. Mais cette simplicité soulève une question de sécurité beaucoup plus complexe : lorsque l’IA rassemble et reformule des informations, comment s’assurer qu’elle ne révèle que ce que la personne qui l’interroge a réellement le droit de connaître ?

C’est sur ce problème que veut se concentrer Knostic, une jeune entreprise fondée en 2023. Le 10 mars 2025, la startup a annoncé une levée de fonds de 11 millions de dollars, menée par Bright Pixel Capital. Son ambition est de fournir des contrôles d’accès adaptés à l’IA générative, afin de réduire les risques de divulgation excessive de données par les grands modèles de langage, souvent désignés par l’acronyme LLM.

Une levée de 11 millions de dollars pour un risque en pleine émergence

Knostic se présente comme un fournisseur de contrôles d’accès essentiels pour l’IA générative. L’expression peut sembler technique, mais elle recouvre un enjeu très concret : empêcher qu’un assistant alimenté par les données de l’entreprise ne donne à un salarié, même de bonne foi, une information qui ne relève pas de son périmètre.

Le montant levé doit permettre à la société d’intensifier ses travaux de recherche, de renforcer son équipe technique et d’élargir son offre de produits. Pour Bright Pixel Capital, qui dirige ce financement, le pari porte donc sur un segment précis de la cybersécurité : la protection de l’accès aux connaissances internes lorsque celles-ci sont interrogées au travers d’une IA.

La startup cible notamment les environnements où l’IA joue un rôle de moteur de recherche et d’analyse. Les outils tels que Microsoft 365 Copilot ou Glean, cités parmi les applications concernées, illustrent le changement en cours : l’utilisateur ne navigue plus nécessairement lui-même dans chaque espace de stockage. Il pose une question, et l’assistant cherche, rapproche et résume des contenus qui peuvent provenir de multiples sources.

Pourquoi les assistants d’IA compliquent-ils la protection des données ?

Dans une entreprise, les droits d’accès ne sont pas qu’une formalité administrative. Ils séparent, par exemple, les documents d’un projet confidentiel, les données de ressources humaines, les informations financières ou encore les échanges réservés à une équipe. Ces règles existent depuis longtemps dans les logiciels collaboratifs, les serveurs de fichiers et les outils métiers.

L’IA générative modifie toutefois la façon d’accéder à ces informations. Avec une interface de recherche classique, un salarié doit trouver un dossier, ouvrir un document et lire son contenu. Un assistant conversationnel peut, lui, produire en quelques phrases une synthèse tirée de plusieurs documents. Cette réponse est pratique, mais elle constitue aussi le point de contrôle crucial.

Le danger n’implique pas forcément qu’un pirate ait pénétré le système. Il peut naître d’une configuration insuffisante des autorisations, d’une mauvaise connexion entre l’assistant et les sources de données, ou d’une IA qui restitue trop largement des éléments auxquels elle a été reliée. Une réponse apparemment anodine peut également rapprocher plusieurs fragments d’information et rendre visible un fait sensible qui ne l’était pas isolément.

Knostic résume ce risque par l’idée d’« excès d’informations partagées » par les LLM. Sa proposition consiste à faire en sorte que l’IA ne puisse fournir que les informations nécessaires et autorisées pour une personne donnée. En d’autres termes, la question n’est plus seulement : « Qui peut ouvrir ce fichier ? » Elle devient aussi : « Que peut répondre l’assistant à cet utilisateur, à partir de l’ensemble des données auxquelles il est connecté ? »

Des contrôles d’accès pensés pour la réponse générée

Le principe le plus important en cybersécurité est souvent celui du moindre privilège : une personne ne doit disposer que des accès nécessaires à son travail, pas davantage. Ce principe reste valable avec l’IA générative, mais son application doit être adaptée à des outils capables de rechercher dans de très grands volumes d’informations et de les reformuler instantanément.

Un système de contrôle des accès destiné à une IA doit notamment pouvoir tenir compte de l’identité de l’utilisateur, de ses autorisations existantes et de la nature des données interrogées. L’objectif est d’éviter qu’un assistant contourne, même involontairement, les frontières déjà établies entre les équipes, les projets et les niveaux de confidentialité.

Knostic entend précisément apporter cette couche de contrôle aux entreprises utilisant des LLM. La startup ne promet pas de supprimer tous les risques liés à l’IA. Elle se positionne sur une difficulté identifiable : empêcher la divulgation d’informations auxquelles un utilisateur ne devrait pas avoir accès, y compris lorsque sa demande est formulée de façon naturelle et que la réponse est composée par un modèle.

Cette distinction est essentielle. La sécurité d’un outil d’IA ne se limite pas à protéger le modèle contre une attaque extérieure. Elle concerne aussi la manière dont l’outil est intégré au système d’information, les données qu’il peut interroger, les droits respectifs des collaborateurs et les garde-fous appliqués au moment où la réponse est générée.

Des droits documentaires aux droits appliqués à l’IA

Les dispositifs de sécurité traditionnels restent indispensables. Des mots de passe robustes, l’authentification renforcée, le chiffrement, la gestion des identités et les règles d’accès aux dossiers forment toujours le socle de la protection. Mais ils ne répondent pas seuls à toutes les questions posées par un assistant qui transforme des documents en réponses conversationnelles.

Dans un environnement classique, le contrôle est souvent visible : un utilisateur peut ouvrir un fichier, ou il reçoit un message lui indiquant que l’accès est refusé. Avec une IA, le cheminement est moins évident. L’utilisateur peut ignorer quelles sources ont été explorées pour produire une réponse. L’entreprise doit donc être capable de vérifier que les droits attachés aux contenus restent respectés tout au long de ce processus.

C’est ce déplacement du risque qui explique l’intérêt porté aux entreprises spécialisées dans la cybersécurité de l’IA. Knostic affirme se concentrer sur les contrôles d’accès essentiels pour les LLM. Son positionnement vise les organisations qui souhaitent tirer parti de la recherche conversationnelle sans transformer leur patrimoine informationnel en un vaste réservoir accessible sans distinction.

Un marché de la cybersécurité porté par de nouveaux usages

La levée de Knostic s’inscrit dans une dynamique plus large. L’essor rapide des IA génératives pousse les entreprises à revoir leurs pratiques de sécurité. Ces outils sont désormais employés pour la recherche, l’analyse, la rédaction, le support ou la synthèse d’informations. Plus ils sont connectés aux données internes, plus la gestion fine des accès devient déterminante.

Le marché de la cybersécurité, dans son ensemble, est déjà structuré par de nombreux acteurs et par une activité soutenue de jeunes pousses. En France, le secteur comptait en 2024 168 startups et 42 scale-ups spécialisées dans la cybersécurité. Ce chiffre concerne la cybersécurité au sens large, et non la seule protection de l’IA générative. Il témoigne néanmoins de l’ampleur de l’écosystème dans lequel s’insèrent des entreprises comme Knostic.

La spécificité des solutions dédiées aux LLM tient au fait qu’elles répondent à une couche supplémentaire de risque. Les outils de protection traditionnels surveillent les réseaux, les terminaux, les comptes ou les applications. Les solutions tournées vers l’IA doivent également s’intéresser au comportement d’un assistant lorsqu’il interroge des connaissances et restitue une réponse.

Pour les investisseurs, ce type de technologie répond à une inquiétude immédiate des directions informatiques : comment autoriser des usages productifs de l’IA sans compromettre les règles de confidentialité déjà en place ? La levée menée par Bright Pixel Capital montre que cette question est considérée comme un marché à part entière, et non comme une simple fonctionnalité secondaire des assistants conversationnels.

Ce que les entreprises doivent vérifier avant de connecter une IA à leurs données

La réponse de Knostic s’adresse à un besoin précis, mais elle rappelle plusieurs précautions utiles à toute organisation qui envisage de déployer une IA sur ses informations internes. Ces vérifications relèvent autant de la gouvernance que de la technologie.

• Cartographier les données accessibles : avant de relier un assistant à des espaces documentaires, l’entreprise doit savoir quels contenus s’y trouvent et lesquels sont sensibles.
• Vérifier les droits existants : des autorisations trop larges, héritées d’anciens projets ou de dossiers partagés, peuvent devenir plus risquées lorsqu’un assistant facilite la recherche.
• Tester les cas d’usage réels : il est utile de vérifier, avec des requêtes représentatives, qu’un collaborateur ne reçoit pas de synthèse sur un dossier auquel il n’est pas habilité.
• Prévoir une traçabilité : comprendre qui a interrogé un système, quelles données ont été mobilisées et comment une réponse a été obtenue facilite l’identification d’un problème.
• Définir les usages autorisés : tous les contenus et toutes les tâches ne présentent pas le même niveau de sensibilité. Les règles doivent donc être adaptées aux contextes de travail.

Ces principes ne remplacent pas un outil de sécurité spécialisé, mais ils évitent de considérer l’IA comme une interface neutre. Un assistant conversationnel est un nouveau point d’accès aux connaissances de l’entreprise. À ce titre, il doit être soumis au même niveau d’exigence que les autres systèmes qui manipulent des informations confidentielles.

Ce qu’il faut surveiller

Pour Knostic, le défi sera désormais de transformer cette levée de 11 millions de dollars en produits capables de s’intégrer aux environnements de travail réels. La valeur d’une solution de contrôle d’accès se mesurera notamment à sa capacité à s’adapter aux outils d’IA utilisés par les entreprises, aux sources de données déjà en place et aux droits parfois complexes accumulés au fil du temps.

Les organisations, elles, devront suivre de près l’évolution de leurs assistants d’IA. L’adoption de ces outils ne ralentit pas, car leur intérêt pour la recherche et l’analyse est tangible. Mais l’enjeu de confiance grandit au même rythme : une IA utile doit être capable de retrouver rapidement la bonne information, sans jamais livrer la mauvaise.

La trajectoire de Knostic illustre ainsi une évolution plus vaste de la cybersécurité. À mesure que les LLM deviennent des interfaces quotidiennes d’accès au savoir, la protection ne peut plus s’arrêter au document ou au dossier. Elle doit aussi s’appliquer à la réponse que l’IA met entre les mains de chaque utilisateur.