Le cadre de gouvernance que la direction a construit au fil des décennies a été conçu pour les personnes. Les agents IA ne sont pas des humains. L’écart entre ces deux faits est celui où le risque d’entreprise s’accumule actuellement le plus rapidement.
Au cours de l’année écoulée, les organisations ont été contraintes de faire face au fait que l’IA est déployée plus rapidement qu’elles ne peuvent le gérer. À mesure que l’utilisation de l’IA fantôme se développe, des lacunes concernant qui ou quoi est autorisé à faire deviennent apparentes. Nos dernières recherches montrent que 91 % des organisations utilisent déjà des agents d’IA, mais seulement 10 % disposent d’une stratégie claire pour les gérer.
Les agents IA deviennent des opérateurs, agissant seuls sans avoir besoin d’un manager humain pour les diriger.
Ces acteurs numériques autonomes peuvent analyser les données, lancer des workflows et agir au sein de l’entreprise. Mais si les gains en termes de vitesse, d’échelle et de productivité sont faciles à constater, le changement de pouvoir est moins évident.
La véritable menace pour l’adoption de l’IA dans les entreprises n’est pas l’intelligence des agents, mais plutôt la quantité de pouvoir que la gestion leur délègue. Il s’agit de prise de décision et de ce qui se passe lorsque l’autorité est déléguée à un système qu’une organisation ne comprend pas pleinement, et encore moins contrôle.
Après tout, le risque n’est pas que l’agent IA agisse de manière malveillante. Au lieu de cela, les systèmes qui ne sont pas conçus pour des identités non humaines se comporteront comme configuré.
Pendant des années, les entreprises ont construit leurs modèles de sécurité autour des employés humains. Les employés sont embauchés, qualifiés, surveillés et finalement licenciés à la retraite. La gestion des identités rend cela possible. C’est ainsi que les organisations voient qui sont leurs employés, avec quoi ils peuvent se connecter et ce qu’ils sont autorisés à faire.
Les agents IA brisent ce modèle. Plus besoin de se connecter à 9h et de se déconnecter à 17h. Fonctionne en continu sur plusieurs systèmes et environnements cloud. Capturez des données sensibles, déclenchez des processus financiers et prenez des décisions destinées aux clients en quelques secondes.
Cependant, les entreprises traitent toujours les agents comme des logiciels d’arrière-plan plutôt que comme de véritables entités opérationnelles autorisées.
Une étude récente de Gravitee, une plateforme de gestion d’API, a révélé que seulement 22 % des organisations traitent les agents d’IA comme des identités distinctes, et près de 90 % des entreprises ont signalé un incident de sécurité suspecté ou confirmé impliquant un agent d’IA.
Considérons un scénario courant. Les entreprises ont déployé des agents IA en interne pour rationaliser la gestion des effectifs. Les employés demandent aux agents de soumettre leurs congés, de mettre à jour les fiches de paie et d’informer les gestionnaires. Les agents se connectent automatiquement aux systèmes RH, aux plateformes financières et aux outils de collaboration pour répondre aux demandes.
Pensez au nombre de systèmes auxquels un agent doit accéder pour traiter une demande. De quelles autorisations disposent-ils ? Quels points d’accès sont utilisés ou pourraient être laissés ouverts ? Et si quelque chose ne va pas ?
Les gains d’efficacité sont réels. Mais à moins que chaque étape ne soit régie par une gestion claire des identités, les entreprises risquent de ne pas savoir exactement quelle autorité est déléguée ni comment intervenir en cas de problème.
C’est pourquoi le fossé identitaire n’est pas seulement un problème technique, mais aussi un problème de leadership.
Les modèles d’accès traditionnels supposent des rôles relativement stables et un comportement humain prévisible. Les agents d’IA fonctionnent via des tâches dynamiques et une autorité déléguée. Vous aurez peut-être besoin d’autorisations temporaires et très spécifiques pour effectuer une seule action et passer immédiatement au flux de travail suivant.
Sans la capacité de valider et d’approuver en permanence chaque étape, les organisations risquent d’augmenter le nombre d’attaquants non humains disposant d’un accès étendu et persistant aux systèmes critiques, souvent intentionnellement non autorisés.
Nous constatons déjà que cela se produit alors que les organisations commencent à introduire le code généré par l’IA et les actions automatisées dans des environnements réels, souvent plus rapidement que les modèles de gouvernance ne peuvent suivre. Des incidents récents comme la violation du chatbot de McDonald’s, où des contrôles faibles ont exposé des millions de dossiers de candidats et où l’agent de codage IA de Replit a supprimé une base de données de production en direct, montrent à quelle vitesse ces lacunes peuvent se transformer en désastres réels.
Les agents d’IA configurés pour optimiser les décisions liées à la chaîne d’approvisionnement pourraient déclencher des accords d’achat à grande échelle. Les agents du service client peuvent potentiellement révéler des informations de compte sensibles. Les agents d’information financière peuvent diffuser des informations confidentielles provenant de sources multiples à un large éventail de personnes.
Tous ces cas proviennent d’une mauvaise gouvernance de l’autonomie.
Les autorités de régulation commencent également à agir. Sur certains marchés, comme à Singapour et en Australie, les décideurs politiques soulignent que les organisations sont responsables de leurs systèmes automatisés.
Cela pose un défi de conformité aux dirigeants d’entreprise. Comment prouver quel système a initié la décision ? Comment prouver que l’accès était approprié au moment où l’action a été entreprise ? Comment suspendre ou révoquer des privilèges si un agent se comporte de manière inattendue ?
Pour protéger les agents IA, les organisations doivent être en mesure de répondre à trois questions fondamentales : Où se trouvent les agents ? À quoi peuvent-ils se connecter ? Que sont-ils autorisés à faire ?
Heureusement, les entreprises n’ont pas besoin de réinventer la roue. Ils disposent déjà des pratiques nécessaires pour gérer les agents IA. Les dirigeants doivent simplement traiter les agents IA de la même manière qu’ils traitent les employés humains.
En pratique, cela signifie appliquer les disciplines de sécurité établies pour les employés à de nouvelles situations opérationnelles. Les organisations ont besoin d’une gestion du cycle de vie des agents. L’étendue et la durée de l’autorité doivent être définies, les activités doivent être surveillées en permanence et les actions à haut risque doivent nécessiter une approbation renforcée. Les agents doivent fonctionner avec des informations d’identification juste à temps liées à des tâches spécifiques plutôt qu’avec un accès large et de longue durée.
Les organisations qui réussissent la mise en œuvre de l’IA ne sont pas celles qui déploient le plus d’IA ou la plus intelligente. Ce seront eux qui le mettront en œuvre, indiquant clairement qu’ils ont le pouvoir d’agir et un moyen fiable de le prouver. Ce faisant, vous pouvez transformer l’IA d’une expérience (ou d’un risque) en un véritable atout.
Les opinions exprimées dans les articles de commentaires de Fortune.com sont uniquement celles de l’auteur et ne reflètent pas nécessairement les opinions ou les croyances de Fortune.
