Parmi les marchés interrogés, la France affiche le niveau de confiance le plus faible concernant la supervision des agents IA. Dans le même temps, le Shadow AI s’installe dans les entreprises françaises avec 88 % des répondants constatant au moins une utilisation non autorisée de l’IA par leurs collaborateurs. Et lorsqu’un usage est détecté, 24 % se contentent de notifier les utilisateurs et de compter sur le respect des politiques internes. Un décalage qui illustre la difficulté à faire évoluer les dispositifs de gouvernance au même rythme que les usages.
Moins d’un RSSI sur deux maîtrise ses agents IA
À l’échelle mondiale, les entreprises disposent encore d’une visibilité limitée sur leurs agents. Seuls 47 % des CISO déclarent pouvoir identifier tous les agents IA présents dans leur environnement, 46 % contrôler ce à quoi leurs agents peuvent accéder et 45 % déterminer précisément les actions que chaque agent est autorisé à effectuer. Pourtant, l’absence de visibilité complète sur les identités IA reste la première barrière à la sécurité (48 %), particulièrement critique aux États-Unis où 74 % des CISO la citent comme obstacle majeur.
Cette faiblesse est d’autant plus préoccupante que 81 % des répondants se disent inquiets par les accès excessifs accordés à l’IA. Plus spécifiquement, les menaces les plus redoutées sont les tentatives de phishing alimentées par l’IA (61 %), suivies des agents malveillants (49 %) et du contournement d’authentification par deepfake (45 %).
Des agents IA encore gérés comme des identités traditionnelles
Les pratiques actuelles révèlent une gouvernance encore fragmentée. 21 % des organisations utilisent des identifiants partagés ou des comptes de service dotés de larges permissions pour gérer les accès des agents IA, tandis que 20 % confient leur gestion aux équipes qui les ont déployés, sur une base ad hoc.
Plus révélateur encore, un CISO sur quatre traite les agents IA exactement comme les identités humaines. Or, les agents peuvent interagir avec plusieurs applications, accéder à des données et exécuter des actions de manière autonome. Les modèles traditionnels de gestion des identités et des accès doivent donc évoluer pour prendre en compte ces nouvelles identités. Les CISO identifient comme priorités critiques le maintien du contrôle total sur qui a accès aux agents (29 %), la découverte des agents (20 %) et la gestion des credentials (20 %), autant de fonctionnalités généralement absentes des outils hérités. Parallèlement, les contraintes budgétaires et d’effectifs (39 %) ainsi que les silos entre équipes IA et sécurité (33 %) compliquent la mise en place des contrôles nécessaires.
Des approches différentes selon les pays
L’étude révèle des niveaux de maturité et des priorités très différents selon les marchés.
Le Royaume-Uni apparaît comme le plus avancé : 36 % des organisations déclarent disposer d’une gouvernance avancée et entièrement automatisée des agents IA.
Aux États-Unis, l’inquiétude porte avant tout sur la compromission : 84 % des CISO américains se disent très ou extrêmement préoccupés par les attaques facilitées par l’IA. Pourtant, seuls 12 % se déclarent totalement alignés avec leur direction et leur conseil d’administration sur le niveau de risque IA acceptable.
Au Japon, le principal point de fragilité concerne la gouvernance des identités : 12 % des CISO déclarent ne disposer d’aucune approche cohérente pour gouverner les identités des agents IA, soit deux fois la moyenne mondiale. Dans le même temps, les directions japonaises considèrent davantage la sécurité de l’IA comme un enjeu de conformité que comme un levier de compétitivité, ce qui peut limiter les investissements nécessaires.
En Allemagne, le niveau de confiance élevé des CISO ne se traduit pas encore par une maturité équivalente : 58 % des organisations restent dans les catégories « developing » ou « reactive ». Paradoxalement, ces CISO affichent une confiance élevée dans leur capacité à superviser les agents, tout en signalant une vulnérabilité accentuée face aux attaques par phishing IA (81 %). Un contraste qui illustre l’écart entre confiance déclarée et maturité effective de la gouvernance.
Enfin, au Canada, 65 % des CISO identifient l’absence de standards industriels comme le principal obstacle à la sécurisation de l’entreprise agentique.
Les organisations les plus matures réduisent leur exposition
Le niveau de maturité en matière de gouvernance semble directement corrélé à l’exposition au Shadow AI. 25 % des organisations classées comme « réactives » déclarent un niveau important de Shadow AI, contre 13 % en moyenne. À l’inverse, les organisations les plus avancées disposent de capacités de réponse plus rapides : 50 % peuvent révoquer l’accès d’un agent compromis en quelques minutes, contre 26 % en moyenne. Cependant, 55 % des organisations ne peuvent révoquer l’accès que dans les heures suivant une détection – une durée problématique face à la vitesse d’exécution des systèmes IA. Plus préoccupant encore, 18 % des organisations en phase réactive ne peuvent pas identifier ou arrêter les agents malveillants du tout, une situation qui ne se rencontre dans aucune organisation de niveau avancé.
L’identité, nouveau périmètre de sécurité
Pour Okta, ces résultats montrent que la sécurité de l’IA agentique ne peut plus reposer uniquement sur des politiques d’usage ou sur la détection des outils non autorisés. Elle doit intégrer une gouvernance spécifique des identités, des permissions et du cycle de vie des agents. Cette évolution devient également un sujet de gouvernance au niveau des directions générales : à l’échelle mondiale, seuls 31 % des CISO se déclarent totalement alignés avec leur direction et leur conseil d’administration sur le niveau acceptable de risque IA. Pour les entreprises françaises, le défi est donc double : accompagner l’adoption de l’IA tout en construisant les mécanismes permettant de contrôler les agents qui agissent au nom de l’entreprise.
Pour consulter l’étude complète Global CISO Insights 2026
https://www.okta.com/newsroom/articles/global-ciso-insights-2026/?utm_source=chatgpt.com
À propos de l’étude
Le rapport Global CISO Insights 2026 repose sur une enquête menée auprès de 306 CISO, responsables de la cybersécurité et dirigeants chargés de la gestion des risques cyber. Les répondants sont répartis entre six marchés : Royaume-Uni (33 %), Japon (24,8 %), États-Unis (14,1 %), France (11,1 %), Canada (8,5 %) et Allemagne (8,5 %). Les données ont été recueillies et finalisées en juin 2026 avec le cabinet de recherche Apprize360 Intelligence.
À propos d’Okta
Okta, Inc. est The World’s Identity Company™. Nous sécurisons l’identité des IA, des machines et des humains afin que chacun puisse utiliser n’importe quelle technologie en toute sécurité. Nos solutions permettent aux entreprises et aux développeurs de protéger leurs agents IA, utilisateurs, collaborateurs et partenaires tout en renforçant la sécurité, l’efficacité et l’innovation. Découvrez pourquoi les plus grandes organisations mondiales font confiance à Okta pour l’authentification, l’autorisation et bien plus encore sur okta.fr
https://www.okta.com/fr-fr/
