Naoplay

09/09/2026

Les agents IA commencent à agir sur nos systèmes d’information.
Plus ils gagnent en autonomie, plus la question de ce qu’on leur permet réellement de faire devient un sujet d’architecture.

Notre réflexion chez Naoplay sur la Smart Proxization appliquée aux agents 👇
https://lnkd.in/p/eaYQzH8h

03/07/2026

☀️ Les vacances scolaires démarrent ce soir, certains ont déjà pris le large… et chez Naoplay, on garde le cap sur quelques sujets de fond.

Parmi eux : la plateforme présentée par Roméo lors d’APItime #8, qui continue de se diversifier.

L'objectif ? Former nos consultants à accompagner concrètement les DSI sur deux sujets qui deviennent incontournables :
- réduire les factures IA, en choisissant les bons LLM selon les usages, en travaillant le caching, les quotas et les arbitrages coût / performance ;
- mieux maîtriser les enjeux de souveraineté, en contrôlant les sorties d’information, les données injectées dans les prompts, et les impacts des contenus entrants sur le SI.

Bref, même en été, les API ne prennent pas complètement de congés.

On se retrouve mardi 25 août à 13h15 pour APItime #9, consacré à l’API Economy : comment faire des API un vrai levier de valeur, de gouvernance et d’investissement.

Bel été à toutes et tous.

24/06/2026

Le replay d’APItime #8 est disponible sur YouTube.

Dans cet épisode, nous parlons de Shadow AI en entreprise : comment identifier les usages réels de l’IA générative, évaluer les risques associés et construire une gouvernance qui soit réellement adoptable par les utilisateurs.

Avec Keren Bismuth et Roméo Carecchio, nous abordons les enjeux de données, conformité, cybersécurité, fiabilité, auditabilité, mais aussi la façon de connecter l’IA au système d’information via des API, des tools et MCP sans perdre le contrôle.

À voir ou revoir ici : https://www.youtube.com/watch?v=K5bSQ5WFeiI&list=PLRN88m3gqz4tF3H3t9oFrh1iBMxsxtJls&index=1

L’IA générative est déjà utilisée dans les entreprises, souvent san...

17/06/2026

N’oubliez pas : demain à 13h15, nouvel épisode d’APItime.

Au programme : Shadow AI en entreprise
Comment évaluer les risques et mettre en place une gouvernance utile, sans bloquer les usages.

Inscription pour les retardataires :
https://naoplay.webinargeek.com/apitime8

11/06/2026

Le “Shadow AI”, c’est en bon français l’IA non encadrée que l’on voit déjà apparaître dans de nombreux services de l’entreprise.

Des gains de temps réels, des usages souvent utiles, mais aussi des risques parfois sous-estimés.

Et souvent, une zone grise entre besoin métier, sécurité, conformité et gouvernance.

Le réflexe classique consiste à bloquer. Mais une règle trop rigide ne fait pas toujours disparaître les usages, surtout quand ils apportent un bénéfice tangible. Elle peut aussi les repousser hors cadre.

Dans une semaine, on en parle avec Keren Bismuth dans APItime.

Rendez-vous jeudi 18 juin à 13h15.

Un événement LinkedIn est disponible ici pour suivre l’actualité du webinaire, mais l’inscription sur WebinarGeek reste nécessaire pour recevoir le lien d’accès.

Inscription : https://naoplay.webinargeek.com/apitime8

hashtag hashtag hashtag hashtag hashtag

18/05/2026

L’IA générative est déjà entrée dans l’entreprise. Parfois par les outils officiellement validés, souvent par des usages plus discrets : assistants SaaS, extensions, outils de rédaction, plateformes de résumé, génération de code ou analyse documentaire.

Faut-il tout interdire ? Ce serait simple sur le papier, mais rarement réaliste. Faut-il tout laisser faire ? Ce serait prendre le risque d’exposer des données sensibles, de perdre la maîtrise des usages et de laisser se développer une forme de Shadow AI difficile à contrôler.

Dans cet APItime, nous verrons comment aborder le sujet de manière pragmatique : identifier les usages réels, évaluer les risques, poser des règles compréhensibles et construire une gouvernance compatible avec les besoins des utilisateurs.

La session abordera notamment :
- les usages actuels de l’IA générative en entreprise
- les limites d’une stratégie fondée uniquement sur l’interdiction
- les principaux risques liés au Shadow AI : données sensibles, conformité, traçabilité, dépendance aux SaaS, qualité des réponses
- les bonnes pratiques pour définir un cadre d’usage clair et acceptable
- un retour d’expérience Naoplay autour de Shyrka, une application d’accès à l’IA générative via Google Chat
- le rôle des API LLM et du MCP pour connecter les modèles à des outils internes de manière plus sécurisée et gouvernée.

L’objectif : passer d’usages dispersés et peu maîtrisés à une IA interne plus lisible, plus utile et mieux encadrée.

Ce webinaire sera co-présenté par Keren Bismuth, Cyber Threat Intelligence Analyst, et Roméo Carecchio, consultant API et cybersécurité chez Naoplay.

APItime 8
Shadow AI en entreprise : comment évaluer ses risques et établir une gouvernance user-friendly
📅 18 juin 2026

Inscription : https://naoplay.webinargeek.com/apitime8

07/05/2026

Tout DSI le sait : les métiers n’attendent pas. Ils branchent des modèles sur leurs données, connectent des SaaS, testent des assistants IA, puis, quand ils veulent passer à l’échelle, arrive la question qui change la nature du sujet :

“Est-ce qu’on peut lui faire déclencher une action dans le SI ?”

Créer une commande, lire un dossier client, changer un statut, lancer un workflow : à ce stade, on ne parle plus seulement d’expérimentation ou d’accès à l’information.

C’est souvent là que le dialogue avec la DSI, le RSSI ou le DPO se tend. Une IA qui consulte une information, c’est déjà sensible. Une IA qui agit dans le SI, c’est un risque opérationnel.

Pour les équipes Cloud et les DSI, contrôler l’infrastructure ne suffit plus. Il faut contrôler les points de passage vers les actions métier.

C’est le rôle des API : exposer des capacités métier claires, gouvernées, traçables et réutilisables. Pas pour ralentir les métiers, mais pour leur offrir un chemin sécurisé, au lieu de laisser chaque équipe bricoler son propre raccourci.

Avec l’IA, la gouvernance API devient un moyen de reprendre la main : organiser l’accès aux données, aux services et aux capacités exposées via MCP, avant que les usages ne se dispersent partout dans l’entreprise.

Les métiers utilisent déjà l’IA. Reste à décider par quels chemins l’entreprise accepte de la laisser agir dans son SI.

28/04/2026

Les dernières publications d’Anthropic sur les agents IA confirment une tendance déjà visible en entreprise : l’IA ne se limite plus à répondre.
Elle agit.

Elle utilise des outils, exécute des tâches longues, navigue entre applications et déclenche des opérations dans le système d’information.

C’est précisément là que le sujet devient critique.

Dans beaucoup d’organisations, les métiers créent déjà leurs propres solutions IA, et ils ont souvent raison de le faire. Personne ne connaît mieux un processus métier que ceux qui le vivent au quotidien.

Leur initiative est légitime. Elle est même précieuse. Mais elle crée un angle mort dangereux : en contournant la DSI, elle échappe aussi aux couches que la DSI porte : sécurité, traçabilité, conformité, mise en production maîtrisée.
Et sans ces couches, le gain apparent de vélocité peut devenir un risque industriel :
➔ intégrations non tracées,
➔ droits mal maîtrisés,
➔ actions difficiles à auditer,
➔ décisions opérationnelles déclenchées sans cadre clair.

Quand un agent appelle une API, il ne fait pas seulement une requête technique.
Il peut :
➔ créer une commande.
➔ modifier un stock.
➔ mettre à jour un client.
➔ déclencher un processus.

La mauvaise réponse serait d’exposer directement les endpoints back-office à ces agents. Ces endpoints n’ont pas été conçus pour porter une intention métier, contractualiser une action ou encadrer un comportement autonome.

Chez Naoplay, nous défendons une autre approche : faire consommer aux agents des capacités métier gouvernées, via des Smart Proxies.
➔ Client.
➔ Commande.
➔ Produit.
➔ Stock.

Des API orientées métier, qui masquent la complexité du SI tout en portant les règles de contrôle :
➔ droits d’accès,
➔ quotas,
➔ budgets d’usage,
➔ idempotence,
➔ journalisation,
➔ observabilité,
➔ actions autorisées.

L’enjeu n’est pas d’opposer les métiers à la DSI.
L’enjeu est de réconcilier leur vélocité avec les exigences de production : pour qu’ils puissent agir vite sans créer une intégration fantôme, non traçable et non maîtrisée.

La prochaine étape de l’API-first, c’est l’API comme plan de contrôle des agents IA.

Si vos agents commencent à agir sur votre SI, le sujet n’est plus seulement l’IA. C’est l’architecture de contrôle.

Parlons-en.

hashtag

23/04/2026

L’affaire ANTS ne raconte pas seulement un incident cyber.
Elle raconte un problème plus profond : beaucoup d’organisations exposent encore aujourd'hui des API critiques comme de simples tuyaux techniques.

Les faits publics sont déjà suffisants pour mesurer la gravité : des données d’identification ont été exposées, 11,7 millions de comptes seraient concernés selon le point d’étape du 21 avril, sans fuite confirmée à ce stade des pièces jointes ni des données biométriques. Le risque principal est désormais celui des escroqueries ciblées. (cf. Ministère de l’Intérieur : https://www.interieur.gouv.fr/actualites/communiques-de-presse/incident-de-securite-relatif-au-portail-antsgouvfr)

Sur la cause technique, prudence : l’hypothèse IDOR/BOLA circule, mais elle n’est pas officiellement confirmée (cf. https://itsocial.fr/cybersecurite/cybersecurite-actualites/lants-confirme-un-incident-de-securite-une-fuite-de-donnees-et-une-configuration-dmarc-inactive-depuis-au-moins-2019/).

Mais même sans attendre la conclusion forensique, une chose est claire : quand des API donnent accès à des objets métier sensibles, la question centrale devient celle de l’autorisation.
Qui peut voir quoi ?
Qui peut appeler quoi ?
Sur quel objet ?
Avec quelles propriétés ?
Dans quel contexte métier ?

C’est exactement le cœur de l’OWASP API Top 10 :
➔ API1:2023 Broken Object Level Authorization (le fameux BOLA)
➔ et parfois API3:2023 Broken Object Property Level Authorization quand l’API retourne plus que ce qu’elle devrait. (OWASP)

Chez Naoplay, nous défendons une idée simple : une gateway ne sécurise pas magiquement une mauvaise API.

La sécurité se joue d’abord dans le design du proxy API qu’elle expose, et dans les règles de gouvernance qu’il porte.

Avec la Smart Proxization, nous poussons des proxys métier gouvernés, portés par :
➔ une gouvernance transverse dès la conception ;
➔ des normes explicites ;
➔ un proxy owner responsable de la documentation, des droits, des contraintes de sécurité et de l’évitement des bypass ;
➔ un pilotage clair de qui consomme quelles données et dans quelles conditions.

16/04/2026

Le replay d’APItime #7 est disponible.

Quand les agents IA passent à l’action, la question n’est plus seulement le modèle.

C’est ce qu’on expose, comment on le gouverne, et avec quel contrôle.

Replay ▶️ : https://youtu.be/EXf-YtbwCfo

Les agents IA ne fonctionnent pas seuls : pour agir, ils doivent découvrir des outils, appeler des API, interagir avec des modèles de langage et parfois coll...