MtoM Mag - Le journal de l'MtoM.

Les agents IA autonomes sont désormais une réalité opérationnelle, et leur gouvernance s’impose comme un enjeu majeur de conformité et de maîtrise des risques. Selon le Digital Trust Digest – Édition spéciale Identité & IA publié par Keyfactor, les entreprises déploient l’IA plus rapidement qu’elles ne sont capables de l’identifier, de la contrôler et de l’auditer. Au-delà des débats réglementaires sur l’éthique et la transparence, une exigence plus fondamentale s’impose : la capacité à identifier, authentifier et gouverner les systèmes d’IA agissant au nom de l’entreprise. Faute de contrôles d’identité robustes, les agents IA deviennent eux-mêmes un risque réglementaire.

Dans ce contexte, Keyfactor identifie 4 priorités stratégiques pour structurer leur identité et détaille les mesures à mettre en œuvre dès aujourd’hui afin d’anticiper les futures exigences de conformité.

1. Considérer les agents IA comme de véritables identités numériques

Aucune norme ne définit explicitement « l’identité de l’IA ». Pourtant, plusieurs cadres (NIST AI RMF, l’ISO/IEC 42001, AI Act européen, …) reposent déjà sur des principes de traçabilité, d’attribution des actions, de responsabilité et d’autorité. Concrètement, les entreprises doivent être capables d’identifier quel agent IA a agi, dans quel contexte et sous quelle autorité. Cette exigence fait consensus : 86 % des responsables sécurité et risques financiers estiment que les agents IA ne peuvent être fiables sans identités numériques uniques et dynamiques.

2. Evaluer le niveau réel de gouvernance des agents IA

L’étude souligne un décalage dans l’avancement des dispositifs de gouvernance des entreprises : la moitié d’entre elles affirme avoir déjà mis en œuvre un cadre formel de gouvernance de l’IA, quand l’autre moitié demeure en phase de planification ou de réflexion. Un tel écart est souvent révélateur d’un marché en transition, cette phase précède généralement un durcissement du cadre réglementaire.

3. Structurer l’identité pour encadrer la responsabilité de l’IA

Les méthodes d’authentification des agents IA varient fortement : clés API, jetons statiques, signatures numériques ou certificats. Toutes n’offrent pas le même niveau de sécurité. Les identifiants partagés limitent la traçabilité et compliquent la révocation des accès. À l’inverse, les identités basées sur des certificats garantissent une authentification forte des agents, une gestion maîtrisée des accès et une traçabilité fiable des actions. Ces mécanismes sont appelés à devenir des standards réglementaires.

4. Combler le déficit de leadership et de résilience

L’étude révèle un décalage au sein des exécutifs des entreprises. Si 55% des répondants estiment que les dirigeants prennent suffisamment au sérieux les risques liés à l’identité de l’IA, une part importante demeure sceptique. En matière de résilience, les inquiétudes sont encore plus marquées : seules 28 % des entreprises pensent pouvoir stopper un agent IA malveillant avant qu’il ne cause des dommages, tandis que 69 % considèrent désormais les vulnérabilités IA comme une menace majeure. Sans contrôles d’identité robustes et applicables, la gouvernance reste fragile.

La trajectoire est désormais claire : les entreprises devront démontrer, et non simplement affirmer, que leurs systèmes d’IA autonomes sont responsables, contrôlables et auditables à grande échelle.

Par ailleurs, les agents IA ne peuvent plus être considérés comme de simples extensions applicatives, mais comme des identités numériques de premier ordre, dotées de droits, d’une autorité propre et d’un cycle de vie gouverné.

D’ici la fin de la décennie, identité, sécurité et gouvernance de l’IA convergeront. L’identité devra devenir le socle opérationnel permettant de contrôler, sécuriser et auditer en continu les agents au sein des architectures d’entreprise.

Les audits devront également évoluer, notamment en intégrant des mécanismes opérationnels tels que l’authentification forte, la traçabilité des actions, la révocation des accès et la capacité à reconstituer les opérations effectuées.

Enfin, les entreprises devront mobiliser l’IA pour sécuriser l’IA elle-même, via la détection, la réponse automatisée en temps réel et l’analyse prédictive. Mais l’efficacité de ces approches reposera sur des fondations identitaires robustes. Sans identités, autorisations et mécanismes de contrôle clairement définis, ces architectures risquent d’exposer les entreprises à des risques supplémentaires.