67 % des entreprises déploient déjà des agents d’IA sans gouvernance identitaire structurée. Conséquence : des identités non-humaines invisibles, des permissions surdimensionnées et une absence de piste d’audit fiable. Alors que l’authentification et le contrôle d’accès traditionnels (IAM) peinent à suivre le rythme d’autonomie des agents, un nouveau cadre s’impose. Découvrez comment concevoir une architecture IAM pour agents IA, de l’attribution d’identité à la preuve d’exécution, en passant par les critères de choix d’un framework adapté au contexte français (RGPD, ANSSI, ISO 27001).
Pourquoi l’IAM traditionnel échoue face aux agents IA
Le fossé entre intention et exécution
Les plateformes IAM classiques excellent dans la gestion du cycle de vie des identités humaines : joiner-mover-leaver, SSO, règles d’accès au périmètre applicatif. Mais elles ne décrivent que l’accès configuré, jamais ce qu’un agent a réellement exécuté une fois à l’intérieur du système. Un agent peut enchaîner des appels API, sélectionner des outils, composer des actions qu’aucune revue d’habilitation n’avait anticipées. L’OWASP Top 10 for LLM Applications identifie ce mode de défaillance sous le terme excessive agency (LLM06) : un agent doté de permissions larges ou d’une autonomie excessive exerce des capacités au-delà de sa tâche approuvée. L’IAM traditionnel, centré sur des vérifications statiques, ne peut ni prévoir ni mesurer ce comportement.