Quand un agent dérape, tous les regards se tournent vers le RSSI. Pourtant, ce n’est ni lui qui l’a créé, ni lui qui sait à quoi il sert. Quatrième volet de cette série : la responsabilité des agents doit se partager avec les métiers.
Les agents IA ne naissent pas à la direction de la sécurité. Ils naissent dans les métiers, au gré des besoins de chaque équipe. Leur responsabilité, en revanche, retombe souvent sur une seule personne. Harry Kleinbourg, ingénieur avant-vente chez F5, est formel : “Le RSSI, tout seul, ne pourra jamais tout faire.” La raison est simple.
Il n’y a que les gens du métier qui savent pourquoi ils déploient un agent, ce que cet agent sait faire et quels outils il est censé utiliser
Harry Kleinbourg, ingénieur avant-vente chez F5
Thomas Manierre, directeur commercial régional Europe du Sud de BeyondTrust, fait le même constat sous l’angle des usages. Entre outils officiels et contournements, le sujet “peut effectivement dépasser le cadre du RSSI”.
Une responsabilité partagée
L’erreur consiste à imaginer que la sécurité pourrait poser une cloche de protection sur toute l’entreprise. Seul dans son coin, le RSSI ne peut pas savoir à quoi sert chaque agent ni à quoi il est censé se connecter, et donc juger si son intention est bonne. “La responsabilité est partagée en réalité”, pour Harry Kleinbourg. “Il y a bien sûr des responsabilités du côté du RSSI et des équipes de sécurité. Mais ils ne peuvent pas porter seuls la charge quand on parle d’agents IA. La responsabilité doit aussi être partagée avec les gens du métier”.
Sandrine Tarnaud, directrice générale de Palo Alto Networks France, plaide pour un cadre clair. Un agent légitime se développe dans le cadre d’un projet, avec une organisation, une gouvernance et des règles éthiques, et non au détour d’une initiative isolée. BeyondTrust, de son côté, fixe un principe simple : chaque identité non humaine doit être attribuée à une personne ou à une équipe responsable, afin que rien ne fonctionne sans propriétaire. Un agent sans responsable est un agent sans hiérarchie.
Cartographier avec les métiers
S’il ne devait donner qu’un conseil aux RSSI pour 2027, Harry Kleinbourg commencerait par la visibilité : savoir quels agents sont déployés et où ils se trouvent. Mais cette cartographie n’a de sens que si elle ouvre le dialogue avec les métiers. “Cet agent-là, est-ce qu’il t’appartient ? Qu’est-ce qu’il est censé faire ? Où est-ce qu’il est censé se connecter ?”. Une fois ces réponses obtenues, les règles peuvent être posées en cohérence avec la mission de chaque agent.
Le rôle du RSSI change alors de nature. Il ne contrôle plus seul : il outille les métiers. “Il faut que les RSSI mettent à disposition des gens du métier une solution qui leur permette de définir les règles en cohérence avec ce que sont censés faire leurs agents”, détaille Harry Kleinbourg. Les équipes doivent pouvoir savoir ce qu’a fait tel agent à telle heure, et le bloquer si nécessaire. Soit parce qu’un problème survient, soit parce que l’agent est décommissionné et n’a plus rien à faire sur l’infrastructure. Comme un salarié qui quitte l’entreprise et rend son badge.
Un chantier d’abord organisationnel
“Ce changement-là n’est pas technique, ça n’a rien à voir avec la technicité. C’est d’abord un changement organisationnel dans l’entreprise”, insiste Harry Kleinbourg. L’outil ne vient qu’ensuite, pour le mettre en pratique.
Les fournisseurs de sécurité eux-mêmes n’échappent pas au problème. “Nous-mêmes, on a les mêmes problèmes chez nous. On est tous dans le même bateau”, reconnaît-il. Et le bateau va vite. “Il y a un an, on parlait de chatbots. Aujourd’hui, on parle d’agents. Ce qu’on se raconte aujourd’hui sera peut-être remis en cause dans deux semaines”. Raison de plus pour bâtir dès maintenant une gouvernance capable d’absorber ce qui viendra ensuite.
Le RSSI ne peut pas tout porter seul. Mais quand un agent autonome commet une faute, qui en répond devant la loi ? À découvrir dans le prochain épisode de cette série “Agents IA, les salariés sans badge” : la responsabilité.
Agents IA, les salariés sans badge : toute la série
1/7 Le recensement : Qui contrôle les nouvelles recrues de l’entreprise ?
2/7 Les habilitations : L’agent hérite de vos droits, pas de votre jugement
3/7 Le travail au noir : interdire l’IA, c’est pousser les collaborateurs à contourner
4/7 La hiérarchie : Le RSSI ne peut pas en répondre seul (vous lisez cet épisode)
5/7 La responsabilité : Qui répond des actes d’un agent autonome ? (lien à venir)
6/7 Le recrutement : Quand l’IA participe au choix de ses futurs collègues (lien à venir)
7/7 L’environnement de travail : Des agents autonomes dans des SI qui ne sont pas prêts (lien à venir)
