Ce que la fiche demande réellement
La fiche figure sur Google Workspace Marketplace sous le nom Grok, publiée par SpaceXAI et mise à jour le 21 juillet 2026. Elle ne coûte rien, a dépassé les six mille installations et fonctionne dans Docs, Sheets et Slides. L'installer demande à peu près l'effort d'ajouter une extension de navigateur, et n'imprime aucune trace dans un système que votre direction financière surveille.
Les autorisations méritent une lecture lente. La fiche demande de voir, modifier, créer et supprimer tous les documents Google Docs, et d'en faire autant avec toutes les présentations Google Slides. Elle demande aussi de voir et gérer les feuilles de calcul là où elle est installée, de se connecter à des services externes, d'afficher et d'exécuter du contenu web tiers dans les champs de saisie et les panneaux latéraux, et de lire l'adresse électronique principale du compte. Le mot qui travaille, dans ces formulations, est tous. Il ne s'agit pas de l'accès au document ouvert à l'écran. Il s'agit de l'accès au patrimoine documentaire que ce compte atteint, lequel comprend, dans une entreprise ordinaire, chaque fichier qu'un collègue a un jour partagé avec cette personne.
Le choix du fournisseur revient à celui qui clique sur Installer
Pourquoi c'est important: le choix de l'entreprise d'intelligence artificielle qui traite vos documents commerciaux appartient désormais à celui qui clique sur Installer, et non à quelqu'un qui a lu un contrat. Les achats ont été conçus pour intercepter les fournisseurs qui entrent par la porte principale, avec facture, questionnaire de sécurité et signature. La place de marché des modules est une porte latérale restée ouverte depuis toujours, et un modèle de pointe vient de la franchir.
Le contrôle existe pourtant. Dans la console d'administration Google, le chemin va de Menu à Applications, puis applications Google Workspace Marketplace, puis liste des applications, puis paramètres d'installation par les utilisateurs, et il propose trois états: les utilisateurs peuvent installer toutes les applications, uniquement celles autorisées, ou aucune. Toute la décision tient là, et la plupart des organisations n'ont jamais ouvert la page pour vérifier lequel des trois elles appliquent.
La liste d'autorisation cache un détail qui coupe dans les deux sens. La documentation de Google indique que la liste concerne les utilisateurs dont le réglage Gérer l'accès aux applications impose de n'autoriser que les applications validées: une liste constituée pendant que le réglage reste sur toutes les applications est donc décorative. La même documentation est catégorique dans l'autre sens: les utilisateurs perdent l'accès à une application dès que vous la retirez de la liste, même s'ils l'ont encore installée. La révocation est réelle et atteint des installations que vous n'avez jamais approuvées.
Outlook suit une autre échelle
La même société a livré un module Grok pour Outlook via Microsoft Marketplace, selon la même logique de distribution: place de marché ordinaire, installation ordinaire, aucun accord d'entreprise sur le trajet. Microsoft encadre les modules de messagerie par quatre niveaux d'autorisation cumulatifs plutôt que par une liste de portées. Ils s'appellent restricted, read item, read/write item et read/write mailbox, et chaque niveau contient ceux qui le précèdent.
Le barreau supérieur mérite une minute d'attention. Microsoft décrit read/write mailbox comme l'autorisation qui permet à un module de lire et d'écrire toutes les propriétés de n'importe quel élément de la boîte, de créer, lire et écrire n'importe quel dossier ou élément, et d'envoyer un élément depuis cette boîte. L'envoi est la ligne devant laquelle il faut s'arrêter, car un module à ce niveau ne lit pas votre courrier, il y participe. Microsoft indique aussi où regarder: les autorisations demandées apparaissent sur la fiche avant l'installation, et celles qu'exigent les modules déjà installés sont visibles dans le centre d'administration Exchange. Vérifiez le niveau que votre organisation a réellement accordé au lieu de le supposer, car c'est le seul endroit où la réponse fait foi.
Votre contrat de sous-traitance ne va pas jusque-là
Au titre du RGPD, votre entreprise est responsable de traitement pour les données personnelles logées dans ces documents et ces boîtes aux lettres: noms de clients, dossiers du personnel, tarifs, tout ce qu'une société en activité met par écrit. Tout tiers qui traite ces données pour votre compte a besoin d'un contrat de sous-traitance au sens de l'article 28. Ce n'est pas une formalité que le service juridique régularisera après coup: c'est l'instrument qui fixe ce que le sous-traitant peut faire des données et ce qu'elles deviennent une fois la mission terminée.
Les contrats que vous détenez déjà couvrent Google et Microsoft. Ils ne s'étendent pas à un éditeur indépendant qui exploite son propre service selon ses propres conditions, et la fiche le dit franchement: la politique de confidentialité et les conditions d'utilisation renvoient toutes deux au domaine de l'éditeur, pas à votre contrat Workspace. En France, la CNIL considère la diligence du responsable de traitement envers ses sous-traitants comme une obligation vivante et non comme une pièce à classer, et une société dont les salariés ont installé un module d'intelligence artificielle sur tout le fonds documentaire s'est adjoint un sous-traitant qu'elle n'a jamais évalué.
C'est précisément le prix nul qui contourne l'ensemble du dispositif. Rien n'est facturé, donc aucune commande n'est émise, donc aucun seuil d'approbation en euros n'est franchi, donc la revue fournisseur qu'un poste payant aurait déclenchée automatiquement ne s'exécute jamais. Un logiciel gratuit n'est pas un logiciel sans obligations, et l'outil le moins cher de votre parc peut porter en lui l'accès aux données le plus large.
Le réglage à vérifier avant vendredi
Commencez par l'inventaire plutôt que par la politique. Ouvrez la console d'administration, lisez la liste des applications que vos utilisateurs ont déjà installées depuis la place de marché, et notez lequel des trois états d'installation vous appliquez. S'il s'agit de toutes les applications, vous n'avez pas choisi une politique fournisseurs, vous avez choisi de ne pas en avoir. Faites ensuite l'équivalent dans le centre d'administration Exchange pour les modules Outlook et lisez le niveau d'autorisation déclaré par chacun. Prévoyez les 24 heures annoncées par Google quand vous modifiez le réglage, et c'est exactement pour cela que l'opération appartient à un jeudi calme et non au milieu d'un incident.
La leçon de fond survivra à ce module précis. La place de marché applicative est devenue un canal d'achat, et c'est le seul de votre entreprise sans étape de validation, sans facture et sans examen de la contrepartie. Traitez une demande d'installation qui réclame tous les documents comme vous traiteriez un fournisseur qui réclame une copie du serveur de fichiers, car c'est fonctionnellement la même demande. Le problème n'est pas le module: c'est que personne n'a eu à vous demander votre avis.
À lire ensuite: Renouvelez tous les secrets que Grok Build a jamais vus | Le concepteur du modèle a attaqué avant la loi
