AI Act : les entreprises ont-elles encore le temps de préparer la gouvernance de leurs agents IA ?
L'AI Act pousse les entreprises à renforcer la gouvernance des agents IA. Identité, contrôle des accès, traçabilité et supervision humaine deviennent essentiels pour concilier autonomie et sécurité.
Le véritable changement avec les agents IA, c’est qu’ils peuvent désormais prendre des initiatives dans le système d’information. Cela remet en question un modèle de gouvernance construit depuis des années autour d’un principe simple : une personne = une identité, des droits et un responsable clairement identifié. Avec les agents IA, cette logique vole en éclats. Ces derniers peuvent être créés rapidement, évoluer au fil du temps et voir leurs accès s’élargir en fonction de leurs missions. Lorsqu’ils sont déployés en dehors des processus de gouvernance habituels, l’entreprise peut progressivement perdre de vue combien d’agents sont actifs, qui en est responsable et ce qu’ils sont réellement autorisés à faire. Or, difficile de sécuriser ce que l’on ne voit pas. Selon le rapport Okta Global CISO Insights 2026, 81 % des responsables de la sécurité interrogés se disent préoccupés par les accès excessifs accordés à l’IA, alors que seulement 47 % déclarent pouvoir identifier l’ensemble des agents IA présents dans leur environnement. C’est précisément là que l’AI Act prend une nouvelle dimension pour les entreprises : il ne réglemente pas les "agents IA" en tant que catégorie, mais impose, pour certains systèmes et certains niveaux de risque, une capacité accrue à identifier, encadrer, surveiller et contrôler les systèmes déployés. La question n’est donc plus seulement de savoir si l’entreprise utilise de l’IA, mais de savoir ce qui est autorisé à agir en son nom.
Quand la compliance devient une condition de confiance
Pour les systèmes d’IA à haut risque, le règlement impose des exigences concrètes en matière de gestion des risques, de traçabilité, de surveillance et de contrôle humain. Mais derrière ces obligations, il y a une question très concrète : comment garder la main sur un système capable d’agir de façon autonome ? Avant de laisser un agent intervenir dans un processus critique, il faut savoir à quelles données il peut accéder, quelles applications il peut utiliser, quelles actions il peut effectuer, qui en est responsable et surtout comment suspendre ou révoquer ses accès si nécessaire. Or, pour beaucoup d’organisations, cette visibilité reste encore largement insuffisante. C’est justement là que la compliance peut devenir un véritable levier : en obligeant les entreprises à mieux connaître, encadrer et contrôler les systèmes d’IA concernés par leurs obligations réglementaires, elle contribue à poser les fondations d’une IA de confiance, capable de se développer à grande échelle sans perdre le contrôle. Mais cette exigence dépasse désormais la seule conformité. À mesure que les agents deviennent capables d’agir dans le SI, la gouvernance de leurs identités et de leurs accès devient un enjeu de cybersécurité à part entière.
L'identité : votre infrastructure de responsabilité
Si l’identité est déjà au cœur de la gestion des accès des collaborateurs, elle doit désormais s’étendre à ces nouveaux acteurs numériques. Chaque agent doit pouvoir être identifié, rattaché à une équipe ou à un responsable, disposer d’un périmètre d’accès clairement défini et voir ses permissions et ses usages régulièrement réévalués. Un agent n’est évidemment pas un collaborateur. L’enjeu n’est donc pas de le gérer comme un salarié, mais de pouvoir reconstruire la chaîne de responsabilité lorsqu’il agit. La capacité à relier une action automatisée à une autorisation et à un responsable devient une condition essentielle de la confiance. Cette logique rejoint l’exigence de supervision humaine prévue par l’AI Act pour les systèmes à haut risque. L’objectif n’est pas de mettre un frein à l’automatisation, mais de définir clairement jusqu’où chaque agent peut aller. Certaines tâches peuvent être entièrement automatisées, tandis que d’autres doivent rester soumises à une validation humaine ou pouvoir être interrompues lorsqu’elles présentent un risque particulier. Plus un agent dispose d’autonomie et plus les conséquences de ses actions sont importantes, plus les mécanismes de contrôle doivent être précis. On peut alors se demander pour chaque usage, quelles décisions l’entreprise est-elle réellement prête à déléguer à une machine ? C’est en répondant précisément à cette question qu’elle pourra profiter de l’automatisation sans faire l’impasse sur le contrôle.
L’AI Act s’inscrit dans un mouvement réglementaire beaucoup plus large. Avec notamment DORA et NIS2, les entreprises doivent renforcer leur gouvernance et leur capacité à démontrer qu’elles maîtrisent réellement leur environnement numérique. Si ces textes répondent à des enjeux différents, ils convergent vers une même exigence opérationnelle : identifier les ressources, comprendre les accès, maîtriser les risques et être capable de démontrer ce qui s’est passé. Avec la multiplication des agents IA, cette visibilité devient donc un prérequis de la sécurité et, pour les organisations concernées, de la conformité.
Comment reprendre le contrôle, étape par étape
1. Commencer par voir ce qui existe réellement
On ne peut pas sécuriser ce que l’on ne voit pas. La première étape consiste donc à établir une cartographie claire de son environnement IA : quels outils et quels agents sont utilisés, à quelles données ils ont accès, qui les contrôle et où se situent les zones de vulnérabilité. Cette cartographie ne doit pas seulement recenser les outils officiellement déployés. Elle doit également permettre d’identifier les agents créés dans les environnements de développement, les workflows automatisés et les usages qui échappent aux processus IT traditionnels.
2. Donner à chaque agent une identité et un périmètre d’action
Un agent qui peut agir doit avoir une identité, un propriétaire clairement désigné et des autorisations correspondant à sa mission. Les principes restent ceux qui structurent depuis longtemps une bonne gouvernance des accès : privilèges minimaux, accès limités dans le temps lorsque cela est pertinent, séparation des responsabilités et réévaluation régulière des droits. Le fait qu’un acteur soit une machine ne doit pas conduire à lui accorder davantage de confiance qu’à un utilisateur humain. Au contraire, son autonomie rend la précision de ses permissions encore plus importante.
3. Garder l’humain dans la boucle lorsque le risque l’exige
Pour les actions sensibles ou à fort impact, les entreprises doivent définir clairement quand une intervention humaine est nécessaire. Cela peut passer par une approbation avant l’exécution d’une action critique, mais aussi par une séparation des tâches et une capacité à interrompre rapidement un agent qui sort de son périmètre. La supervision ne signifie pas nécessairement valider chaque action mais consiste à définir à l’avance les limites dans lesquelles l’agent peut agir, les situations qui nécessitent une intervention humaine et les moyens permettant de reprendre le contrôle.
4. Ne pas perdre de vue la valeur métier
Enfin, l’IA ne doit pas être déployée pour le simple plaisir d’expérimenter. Des projets autonomes, lancés sans objectif précis ni supervision, peuvent rapidement multiplier les risques sans démontrer leur valeur.
La question doit s’attacher à comprendre quel problème métier cherche-t-on à résoudre, quelle valeur attend-on et comment mesure-t-on les résultats. Cette discipline permet également de déterminer le niveau d’autonomie réellement nécessaire. Tous les agents n’ont pas vocation à accéder aux mêmes ressources ni à prendre les mêmes initiatives.
Le véritable enjeu commence avant l’échéance réglementaire
À partir du 2 décembre 2027, les règles applicables aux systèmes d’IA à haut risque relevant de l’Annexe III entreront en application. Mais la gouvernance d’un agent ne se construit pas au moment où une obligation réglementaire entre en vigueur mais lorsque l’entreprise décide de lui donner le droit d’agir. Alors êtes-vous prêt à laisser une IA agir en votre nom ? Et surtout, savez-vous précisément qui lui a donné ce droit, ce qu’elle peut faire et comment reprendre la main ? C’est là que l’identité entre en scène. En traitant la gouvernance des agents comme un enjeu d’identité, et pas seulement comme un sujet de compliance ou de technologie, les entreprises peuvent passer d’une logique de "shadow AI" à une logique d’IA gouvernée. L’IA agentique transformera profondément les processus métier. Mais son adoption durable dépendra moins de la performance des modèles que de la confiance que les organisations sauront construire autour de ces nouveaux acteurs numériques.