Le 2026 CISO AI Risk Report de Saviynt montre que les entreprises tentent encore de contrôler des agents autonomes avec des solutions conçues pour des utilisateurs humains. Face à des identités capables d’agir à la vitesse des machines, les RSSI privilégient désormais l’inventaire, la surveillance continue et l’automatisation des retraits d’accès.
Les outils de gestion des identités reposent historiquement sur des connexions humaines, des rôles relativement stables et des processus de validation manuels. L’arrivée des agents IA remet en cause ce modèle. Ces systèmes peuvent invoquer des API, utiliser des jetons d’accès, modifier des configurations et enchaîner plusieurs actions sans passer par un terminal ou une session utilisateur classique.
Selon le 2026 CISO AI Risk Report de Saviynt, 60 % des organisations s’appuient encore sur des mécanismes traditionnels de gestion des accès, tels que le SSO et l’authentification multifacteur, pour encadrer les identités liées à l’IA. Ces contrôles restent utiles, mais ne permettent pas à eux seuls de suivre le cycle de vie des jetons, de limiter précisément le périmètre des autorisations ou d’appliquer des règles pendant l’exécution d’un agent.
Des agents plus rapides que les contrôles
Le rapport montre que seules 25 % des organisations utilisent des outils de supervision ou des contrôles spécialement conçus pour les usages de l’IA. Dans le même temps, 22 % déclarent ne disposer d’aucune solution de gouvernance pour les identités associées aux modèles de langage et aux agents.
Cette situation crée un décalage opérationnel. Les agents exécutent des actions à la vitesse des machines, tandis que l’attribution des droits, leur révision et leur retrait reposent encore souvent sur des interventions humaines. Lorsque plusieurs outils distincts prennent en charge les accès, les privilèges et la gouvernance, les équipes peinent également à déterminer qui contrôle une identité et si ses autorisations restent justifiées. Les agents sans interface utilisateur compliquent encore ce suivi. Les politiques appliquées aux terminaux ne les concernent pas et les contrôles périmétriques ne les accompagnent pas lorsqu’ils interagissent avec plusieurs services cloud.
L’identité devient le point de contrôle
Face à cette évolution, les RSSI réorientent leurs investissements. Si les budgets le permettaient, 73 % privilégieraient la découverte et l’inventaire des identités liées aux API et aux charges de travail. La surveillance continue et l’analyse de la posture arrivent ensuite, citées par 68 % des répondants, devant la détection des anomalies alimentée par l’IA, à 58 %. L’objectif n’est plus seulement de produire des rapports périodiques. Les équipes cherchent à répondre en temps réel à plusieurs questions : quels systèmes un agent peut-il consulter, qui a autorisé cet accès, agit-il toujours dans le périmètre prévu et a-t-il créé d’autres identités ?
Pour Saviynt, l’identité constitue ainsi une couche de contrôle commune entre les environnements. Elle permet d’associer chaque action à un agent, à un niveau de privilège et à une durée d’autorisation, même lorsque les applications et les données sont réparties dans plusieurs clouds.
Vers une gouvernance automatisée
Les premières évolutions sont déjà visibles. Le rapport indique que 44 % des organisations mettent en place une gestion automatisée du cycle de vie afin de créer, de réévaluer et de révoquer les accès des agents selon des règles définies. Près d’un tiers des répondants, soit 31 %, évoluent également vers des plateformes unifiées réunissant gouvernance des identités, gestion des accès privilégiés et analyse des comportements. Ces architectures doivent réduire le délai entre la détection d’un risque et l’action corrective.
Parmi les mécanismes envisagés figurent la suppression automatique des comptes d’IA inactifs, l’élévation temporaire des privilèges, la révocation d’un accès lorsqu’un seuil de risque est dépassé et le rétablissement automatique du principe du moindre privilège.
À mesure que les agents IA gagnent en autonomie, les entreprises ne peuvent plus se contenter d’appliquer des contrôles conçus pour des usages humains et prévisibles. L’enjeu consiste désormais à intégrer ces nouvelles identités dans des dispositifs capables de suivre leurs accès, d’ajuster leurs privilèges et d’intervenir automatiquement en cas de comportement anormal. Une évolution nécessaire pour accélérer les usages de l’IA sans multiplier les angles morts.
