The problem

Vos prompts et fichiers dépendent d'une clé que vous ne détenez pas

Par défaut, le fournisseur qui stocke vos données d'IA contrôle aussi la clé qui les protège.

Les équipes collent désormais contrats, code source et données clients dans ChatGPT Enterprise et l'API OpenAI. Sans clé gérée par le client, impossible de prouver la maîtrise de la clé à un auditeur ou de couper l'accès selon vos propres règles. OpenAI EKM résout ce point, à condition que la clé soit autorisée, enregistrée et contrôlée correctement.

Clé détenue par le fournisseur

Les clés restent chez le fournisseur d'IA, sauf si vous apportez la vôtre.

Autorisations par cloud

Key policies AWS, rôles Azure et WIF Google ont chacun leurs pièges.

Dérive silencieuse

Une autorisation retirée ou une clé révoquée passe inaperçue jusqu'à la panne.

Preuves d'audit

Les auditeurs demandent où se trouve la clé des données d'IA et qui peut la couper.

Comment ça marche

DuoKey enregistre la clé. OpenAI l'utilise directement dans votre cloud.

OpenAI enveloppe ses clés de chiffrement de données (DEK) avec votre clé de chiffrement de clés (KEK) et appelle votre KMS cloud à chaque chiffrement ou déchiffrement. DuoKey configure ce lien via l'API de gestion d'OpenAI, puis le surveille.

Enregistrement · une fois par clé, via DuoKey

DuoKey Cockpit

Conserve la clé Admin API scellée

API de gestion OpenAI

Reçoit les coordonnées de la KEK

Identifiant de clé externe

Attribué par OpenAI

Exécution · DuoKey n'intervient pas

OpenAI

Doit chiffrer ou déchiffrer

Votre KMS cloud

Enveloppe et désenveloppe la DEK

Votre KEK

Ne quitte jamais votre compte

DuoKey n'est pas dans le chemin des données : il n'enveloppe ni ne désenveloppe jamais les clés d'OpenAI, et votre KEK ne transite jamais par DuoKey.

Multi-cloud

Gardez la KEK dans le cloud que vous utilisez déjà

Chaque fournisseur demande une autorisation différente. Cockpit affiche les instructions exactes, avec votre identifiant d'organisation déjà renseigné, pour que l'autorisation soit correcte du premier coup.

AWS KMS

Déclaration de key policy

Autorise le rôle IAM EKM d'OpenAI à appeler Encrypt et Decrypt sur votre KEK, uniquement si sts:ExternalId correspond à votre identifiant d'organisation.

Enregistrée avec : l'ARN de la clé KMS

Azure Key Vault

Principal de service + rôle

Créez le principal de service d'OpenAI, créez une clé RSA, puis attribuez Key Vault Crypto User sur cette clé uniquement.

Enregistrée avec : l'URI du coffre et le nom de la clé

Google Cloud KMS

Workload Identity Federation

Un pool et un fournisseur OIDC avec votre identifiant d'organisation comme audience, autorisés en CryptoKey Encrypter/Decrypter sur la KEK.

Enregistrée avec : la ressource de la clé

Mise en place

De Cockpit à une clé enregistrée en cinq étapes

Créer l'application

Dans Cockpit, ouvrez Apps, puis Create new app, puis OpenAI EKM. Une application par organisation OpenAI.

Organisation

Nommez l'application et saisissez votre identifiant d'organisation OpenAI (org-…).

Clé Admin API

Collez une clé Admin d'organisation. Elle est stockée scellée et n'est plus jamais renvoyée par l'API.

Autoriser et enregistrer

Choisissez le cloud, appliquez l'autorisation, saisissez les coordonnées de la clé. DuoKey les transmet à OpenAI.

Activer côté OpenAI

Une fois la clé enregistrée, activez-la sur les projets OpenAI qui doivent l'utiliser.

Cycle de vie

Sachez à tout moment si votre clé est toujours en place

Chaque clé enregistrée a un statut, et vous pouvez le revérifier auprès d'OpenAI dès qu'un auditeur le demande.

draftCréée, pas encore soumise
registeredAcceptée par OpenAI, identifiant externe attribué
errorRefusée, avec la raison pour corriger l'autorisation
revokedAbsente de la liste des clés externes d'OpenAI

Valider

Confirmer que la clé est toujours enregistrée chez OpenAI.

Tester la connexion

Vérifier que la clé Admin atteint l'API de gestion.

Faire tourner la clé Admin

La remplacer sans perdre aucun enregistrement.

Désenregistrer

Retirer la clé chez OpenAI, puis l'enregistrement local.

Pour couper l'accès d'OpenAI, retirez l'autorisation

Désenregistrer la clé dans DuoKey n'empêche pas OpenAI de l'utiliser. Retirez la permission IAM, l'attribution de rôle ou la liaison de fédération sur votre KMS : selon la conception d'OpenAI, l'accès s'arrête en une heure environ.

Prérequis

Ce qu'il vous faut

Lire le guide de mise en place

Une organisation OpenAI Enterprise avec EKM disponible
Une clé Admin API d'organisation, depuis les paramètres de la plateforme OpenAI
Une KEK dans AWS KMS, Azure Key Vault ou Google Cloud KMS (ou le droit d'en créer une)
Le droit de modifier les politiques IAM, les attributions de rôle ou la Workload Identity Federation sur ce compte

Analyses

Guides pour votre programme

Qu'est-ce que BYOK ? Apportez votre propre clé de chiffrement expliqué

Découvrez ce qu'est le chiffrement Bring Your Own Key (BYOK), comment il fonctionne et pourquoi les entreprises l'utilisent pour garder le contrôle des données cloud. Guide BYOK complet.

Lire le guide

Hold Your Own Key (HYOK) : fonctionnement, BYOK vs HYOK et cas d'usage (2026)

Hold Your Own Key (HYOK) expliqué : BYOK, HYOK ou clés du fournisseur, mise en œuvre dans Microsoft 365 DKE, AWS XKS et Google CSE, et comment choisir.

Lire le guide

Engagement

Apportez votre propre clé chez OpenAI, sans nouveau chemin de clé

Voyez OpenAI EKM enregistré avec votre propre clé KMS cloud, avec les instructions d'autorisation, le suivi de statut et la validation à la demande dans Cockpit.

Demander une démo

Parlons des décisions qui comptent pour votre programme de sécurité.

Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.

Demander une démo Découvrir les solutions

Chiffrez vos données OpenAI avec une clé que vous contrôlez