Le règlement sur l'IA pousse à une gouvernance de l'IA plus stricte

Le règlement sur l'IA incite les entreprises à mieux gérer leurs agents d'IA, en mettant l'accent sur des aspects tels que l'identité, le contrôle d'accès, la traçabilité et la supervision humaine. Cela répond à l'autonomie croissante des systèmes d'IA, qui peuvent désormais effectuer des actions au sein des systèmes d'information, ce qui remet en question les anciens modèles où une personne disposait d'une seule identité, assortie de droits et de responsabilités définis.

Les difficultés de suivi des agents d'IA

Selon le rapport Okta Global CISO Insights 2026, 81 % des responsables de la sécurité s'inquiètent de la trop grande étendue des accès accordés à l'IA, mais seuls 47 % affirment être capables d'identifier tous les agents d'IA présents dans leurs systèmes. Le règlement sur l'IA ne réglemente pas spécifiquement les agents d'IA, mais il exige une identification, une gestion et un contrôle renforcés de certains systèmes, en fonction de leur niveau de risque.

Le contrôle des systèmes autonomes est complexe

Garder le contrôle de systèmes d'IA capables d'agir de manière autonome représente un défi majeur. Avant d'autoriser un agent d'IA à participer à un processus critique, il faut savoir clairement à quelles données il peut accéder, quelles actions il peut effectuer, qui en est responsable et comment l'arrêter si nécessaire. Or, de nombreuses organisations ne disposent pas de la visibilité nécessaire pour gérer efficacement ces aspects.

La gestion des identités s'étend aux agents d'IA

La gestion des identités est désormais un élément clé de la gouvernance de l'IA, car elle concerne non seulement les salariés, mais aussi ces nouveaux acteurs numériques. Chaque agent d'IA doit pouvoir être identifié, rattaché à une équipe ou à un responsable, disposer d'un périmètre d'accès défini et voir ses autorisations régulièrement réexaminées. Cela est essentiel pour instaurer la confiance dans les systèmes d'IA.

La gouvernance des accès d'IA reprend les normes applicables aux humains

Les principes d'une bonne gouvernance des accès s'appliquent aux agents d'IA, notamment les droits d'accès minimaux, la limitation des accès dans le temps et la réévaluation régulière des autorisations. Le fait qu'un acteur soit une machine ne devrait pas lui accorder automatiquement davantage de confiance qu'à un utilisateur humain. En réalité, son autonomie rend les paramètres d'autorisation précis encore plus cruciaux.

La supervision humaine définit les limites de l'IA

Pour les actions à fort impact, les entreprises doivent définir clairement les cas où une intervention humaine est nécessaire. Cela peut passer par l'exigence d'une approbation avant toute action critique, la séparation des tâches et la capacité à arrêter rapidement un agent d'IA s'il dépasse les actions qui lui sont permises. La supervision consiste à fixer des limites à l'avance et à s'assurer que le contrôle peut être repris si besoin.

Le déploiement de l'IA exige un objectif clair et une supervision

L'IA ne devrait pas être utilisée uniquement à des fins d'expérimentation. Les projets dépourvus d'objectif précis ou de supervision peuvent multiplier les risques sans apporter de réelle valeur. L'accent doit être mis sur la résolution d'un problème métier, l'attente de résultats mesurables et la compréhension du niveau d'autonomie nécessaire. Cette rigueur permet de déterminer le niveau d'autonomie réellement requis pour l'IA.

Des échéances réglementaires se profilent pour l'IA à haut risque

À partir du 2 décembre 2027, les règles applicables aux systèmes d'IA à haut risque visés à l'annexe III entreront en vigueur. Toutefois, la gouvernance des agents d'IA ne commence pas au moment où un règlement est adopté, mais au moment où une entreprise décide de laisser une IA agir en son nom. Les entreprises doivent être prêtes à définir clairement qui a autorisé l'IA, ce qu'elle peut faire et comment reprendre le contrôle.