L’essor des agents IA introduit un nouveau défi pour les entreprises. Ces outils ne se limitent plus à assister les collaborateurs. Ils peuvent accéder à des applications critiques, manipuler des données sensibles et exécuter des actions de manière autonome. Pour Saviynt, ils doivent donc être considérés comme une nouvelle catégorie d’identités numériques.
Le rapport montre que les modèles traditionnels de gestion des identités, conçus pour des utilisateurs humains, des applications et des usages plus prévisibles, peinent encore à encadrer ces nouveaux accès. Si 71 % des RSSI indiquent que des outils d’IA ont déjà accès à des systèmes critiques, seuls 16 % estiment que ces accès sont correctement gouvernés.
Le manque de visibilité constitue un autre point de fragilité.
92 % des organisations n’ont pas une vision complète de leurs identités IA et 95 % doutent de leur capacité à détecter ou gérer un usage abusif de ces identités. En parallèle, 86 % ne disposent pas de politiques d’accès complètes et effectivement appliquées aux identités IA.
L’exposition au risque est déjà concrète.
75 % des RSSI interrogés déclarent avoir identifié des outils d’IA générative non autorisés dans leur environnement. 47 % ont observé des comportements non intentionnels ou non autorisés de la part d’agents IA, tandis que 33 % rapportent un incident ou quasi-incident de sécurité impliquant ces technologies au cours des douze derniers mois.
Pour réduire ces risques, Saviynt recommande aux organisations d’inventorier les identités IA, de surveiller leurs activités, d’appliquer le principe du moindre privilège et d’automatiser la suppression des accès inutilisés. L’objectif est de traiter les agents IA comme des identités à part entière, avec des contrôles adaptés à leur capacité d’action autonome.
« Pendant des années, les organisations ont concentré leurs efforts sur la gestion des identités humaines et des comptes applicatifs. L’essor des agents IA introduit une nouvelle catégorie d’identités capables d’agir de manière autonome à grande échelle. Les entreprises doivent désormais savoir quelles identités IA existent dans leur environnement, quels accès leur ont été accordés et comment détecter rapidement tout comportement anormal ou toute compromission », déclare Jean-François Pruvot, Vice-Président Europe du Sud de Saviynt
