12 août 2026
Les agents IA sortent des laboratoires pour être mis en production. Ils effectuent des recherches, écrivent du code, lancent des applications, effectuent des transactions et enchaînent des tâches en plusieurs étapes avec très peu de supervision humaine. Cette évolution soulève un problème d’identité des agents IA auquel la plupart des organisations ne se sont pas préparées, car les systèmes désormais chargés de les gérer n’ont jamais été conçus pour les prendre en compte.
La gestion traditionnelle des identités et des accès part du principe qu'il y a une personne à l'autre bout. Les employés se connectent, obtiennent un accès lié à leur rôle et le perdent lorsqu'ils quittent l'entreprise. Les agents bouleversent ce modèle. Un agent peut fonctionner 24 heures sur 24, interagir avec une douzaine de systèmes à la fois et agir au nom de plusieurs personnes différentes au cours d'une même journée.
Dans son rapport « Hype Cycle™ for Digital Identity 2026 », Gartner® met en avant, selon nous, trois facteurs qui redéfinissent l’identité numérique : l’essor des agents d’IA, la recherche d’une meilleure visibilité sur l’identité et la multiplication des menaces liées à l’identité. Le fil conducteur est le suivant : les responsables de la sécurité devront repenser leurs investissements s’ils souhaitent soutenir l’adoption de l’IA sans perdre le contrôle sur les personnes et les entités autorisées à accéder à leurs systèmes.
IAM a été conçu pour les utilisateurs
La gestion des identités et des accès (IAM) classique fonctionne lorsque l'utilisateur est une personne dotée d'un intitulé de poste, d'un responsable hiérarchique et d'un ensemble de responsabilités relativement stable. Un agent, lui, ne dispose d'aucun de ces éléments. Il peut avoir besoin d'accéder à la fiche d'un client pendant deux secondes, d'appeler une API, de mettre à jour un champ, puis de passer à autre chose, ses autorisations variant d'une transaction à l'autre.
De nombreuses équipes gèrent aujourd’hui cette activité à l’aide de comptes de services partagés, de clés API statiques ou d’identifiants d’employés empruntés. Ces raccourcis permettent de mettre un projet en ligne plus rapidement, mais ils laissent certaines questions fondamentales sans réponse : qui a réellement effectué l’action, de quoi l’agent était-il autorisé à disposer, avait-il besoin d’un accès aussi étendu, et qui est responsable en cas de problème ? Une fois que l’activité d’un agent est rattachée à un compte humain ou partagé, la piste d’audit perd de sa pertinence et il devient plus difficile de contrôler les autorisations.
Le nombre d'identités de machines dépasse celui des programmes destinés à les réguler
Les identités non humaines se multiplient déjà au sein des services cloud, des API, des conteneurs, des flux de travail automatisés et des applications d’entreprise, et ce avant même l’apparition des agents. L’enquête « Machine Identity 2025 » de Gartner a révélé que « 94 % des entreprises sont confrontées à une augmentation du nombre d’identités machine, principalement due aux déploiements d’IA et d’agents IA ».
Cette lacune transforme des problèmes d’hygiène informatique courants en problèmes à grande échelle. Les identifiants restent valides bien au-delà de leur finalité, les autorisations s’accumulent et les équipes perdent la trace des identités existantes et de ce à quoi elles ont accès. Un pirate n’a pas besoin de compromettre les identifiants d’un employé lorsqu’il dispose d’un compte de service doté de privilèges excessifs ou d’un agent fonctionnant avec une clé à longue durée de vie.
L'authentification à elle seule ne suffira pas à définir la prochaine stratégie IAM
L'authentification d'un agent permet de confirmer l'identité de celui qui effectue une requête. Elle ne permet toutefois pas de déterminer si cette requête est justifiée. Pour y répondre, il faut prendre en compte le rôle de l'agent, la personne pour le compte de laquelle il agit, la tâche qui lui incombe et le caractère sensible de ce à quoi il tente d'accéder ; une simple décision d'authentification unique ne peut pas englober tous ces éléments.
À notre avis, le « Hype Cycle™ » de Gartner regroupe plusieurs technologies émergentes autour de cette problématique : l’identité des agents d’IA, la gestion des accès aux charges de travail, le contrôle d’accès basé sur l’intention, la gestion de la posture de sécurité des identités et les plateformes de visibilité des identités. Ensemble, elles décrivent un modèle plus dynamique, dans lequel l’accès peut être de courte durée, limité à une seule tâche et réévalué en permanence, plutôt que d’être accordé une fois pour toutes puis oublié.
Par où commencer ?
La première étape concrète consiste à recenser la manière dont les agents sont déjà utilisés au sein de votre organisation, qu’il s’agisse de projets approuvés ou de ceux qu’un développeur a mis en place sans examen officiel. À partir de là, vous pourrez identifier les cas où des agents fonctionnent avec les identifiants d’un utilisateur, partagent des comptes de service, disposent d’autorisations étendues ou permanentes, ont accès à des données sensibles ou fonctionnent sans responsable clairement identifié.
L'objectif n'est pas de freiner l'adoption de l'IA, mais d'éviter qu'une solution de contournement temporaire ne se transforme en une architecture de sécurité permanente. Cela permet de relier la gouvernance des identités des agents IA aux travaux déjà en cours sur les identités machine et le modèle « Zero Trust ». Si vous faites de l'IA un projet de sécurité à part entière, vous créez un nouveau silo ; si vous traitez les agents comme des identités, vous pouvez appliquer des contrôles que l'entreprise maîtrise déjà.
Une série de questions plus difficiles
Pendant des années, l'IAM se résumait à une seule question : s'agit-il du bon utilisateur ? Les agents en ajoutent désormais plusieurs autres. Qu'est-ce qui est à l'origine de cette requête ? Qui l'a autorisée ? Quel est son objectif ? Devrait-elle encore disposer d'un accès à l'heure actuelle ? Il devient de plus en plus difficile d'y répondre à mesure que la charge de travail des agents augmente, et les organisations qui s'attaquent à ces questions dès le début disposeront d'une marge de manœuvre bien plus grande pour utiliser l'IA sans lui accorder un accès étendu et invisible à l'ensemble de l'entreprise.
Le « Gartner Hype Cycle™ for Digital Identity, 2026 » recense plus d'une vingtaine de technologies qui redéfinissent l'identité, allant de l'identité des agents d'IA et de la gestion des accès aux charges de travail jusqu'aux plateformes de visibilité des identités et au « Shared Signals Framework », chacune accompagnée d'une note d'intérêt attribuée par Gartner, d'une évaluation de maturité et d'une estimation du délai d'adoption généralisée.
Télécharger le « Hype Cycle » de Gartner sur l'identité numérique, 2026 ›
Gartner, « Hype Cycle for Digital Identity », 2026, Zachary Smith, Nayara Sangiorgio, 6 juillet 2026.
« Gartner » et « Hype Cycle » sont des marques déposées de Gartner, Inc. et/ou de ses filiales.
Gartner ne cautionne aucune entreprise, aucun fournisseur, aucun produit ni aucun service mentionné dans ses publications, et ne conseille pas aux utilisateurs de technologies de choisir exclusivement les fournisseurs ayant obtenu les meilleures notes ou d’autres distinctions. Les publications de Gartner reflètent les opinions de son équipe d’analyse des marchés et des technologies et ne doivent pas être interprétées comme des déclarations de fait. Gartner décline toute garantie, expresse ou implicite, concernant cette publication, y compris toute garantie de qualité marchande ou d’adéquation à un usage particulier.
Ce graphique a été publié par Gartner, Inc. dans le cadre d'un document d'étude plus vaste et doit être analysé dans le contexte de l'ensemble de ce document. Le document de Gartner est disponible sur simple demande auprès d'IPROOV LTD.
Prochain épisode de la série : pourquoi les agents IA ont besoin d'une identité propre, et pourquoi leur permettre d'utiliser les identifiants des employés pose plus de problèmes qu'elle n'en résout
