Les agents IA ne se contentent plus de répondre à des questions. Ils peuvent consulter des données, utiliser des applications et effectuer des actions au nom d’une entreprise.
Cette autonomie crée un nouveau risque : comment savoir quelle IA a accédé à quelles informations et ce qu’elle a réellement fait ?
Le 27 octobre 2026, IBM a annoncé de nouvelles solutions pour mieux gérer l’identité, les autorisations et la supervision des agents IA.
🧠 Pourquoi chaque agent IA doit avoir sa propre identité
Lorsqu’une IA utilise les identifiants d’un salarié ou un compte partagé, il devient difficile de distinguer les actions humaines de celles de l’agent.
Attribuer une identité distincte à chaque agent permet de savoir :
Qui est responsable de cet agent.
Quels systèmes il est autorisé à utiliser.
Quelles actions il a réalisées.
Quand et pourquoi ses accès ont été accordés.
Cette traçabilité facilite les contrôles et les investigations en cas d’erreur.
🛡️ Le principe essentiel : donner uniquement les accès nécessaires
Un agent chargé de préparer des rapports n’a pas besoin de pouvoir supprimer des fichiers ou effectuer des paiements.
Pour limiter les risques, une entreprise doit appliquer le principe du moindre privilège : chaque agent ne reçoit que les permissions nécessaires à sa mission.
Trois mesures sont particulièrement utiles :
Limiter les autorisations : distinguer la consultation, la modification et la suppression des données.
Limiter leur durée : privilégier des accès temporaires plutôt que des identifiants permanents.
Pouvoir révoquer les accès : bloquer rapidement un agent si son comportement devient anormal.
Ces protections réduisent les conséquences possibles d’une erreur, d’un détournement ou d’un accès compromis.
🔎 Comment une PME peut-elle appliquer ces règles ?
Il n’est pas nécessaire de déployer une infrastructure complexe dès le départ.
Avant de connecter une IA à un logiciel métier, une PME peut suivre cette checklist :
Définir précisément les actions autorisées.
Attribuer un responsable à l’agent.
Tester ses permissions avec des données non sensibles.
Exiger une validation humaine pour les opérations importantes.
Conserver un historique exploitable des actions.
Prévoir une procédure d’arrêt et de révocation des accès.
Exemple : un agent qui prépare des factures peut avoir le droit de consulter les commandes et de créer des brouillons, sans pouvoir envoyer les factures ni modifier les coordonnées bancaires des clients.
🏢 Ce que change l’annonce d’IBM
IBM fait évoluer ses solutions pour aider les entreprises à identifier leurs agents, encadrer leurs accès et suivre leurs activités. Sa plateforme watsonx Orchestrate propose également des fonctions de découverte, d’évaluation et de confinement des agents.
Attention toutefois : certaines fonctions annoncées le 27 octobre 2026 sont encore en phase de test (tech preview). Elles ne sont donc pas toutes disponibles en production.
Cette actualité illustre une évolution importante : sécuriser l’IA ne consiste plus seulement à protéger les données envoyées à un chatbot. Il faut aussi contrôler les actions que les agents peuvent effectuer dans les systèmes de l’entreprise.
🎯 À retenir
Avant de confier des tâches autonomes à une IA, une entreprise doit pouvoir répondre à trois questions : qui contrôle cet agent, à quoi peut-il accéder et comment arrêter ses actions ?
L’identité propre à chaque agent, les permissions limitées et la traçabilité constituent une base essentielle pour déployer l’IA de manière responsable.