Gouvernance de l’IA : cinq preuves de maîtrise

Au premier semestre 2025, l’éditeur de sécurité Entro Security (Israël · Entro Security) a compté 144 identités non humaines pour une identité humaine dans les environnements d’entreprise qu’il analyse, contre 92 pour 1 un an plus tôt. Comptes de service, clés d’API, jetons : chaque agent d’IA en ajoute. Dans son playbook édition 2026 sur la gouvernance de l’IA, l’éditeur français Dust (France · Dust) en tire une conclusion pour les directions : l’« IA fantôme » est désormais admise ; il reste à prouver que l’IA est maîtrisée.

Une charte ne prouve rien. Ce qui compte désormais, c’est de pouvoir montrer, journal à l’appui, qui a fait quoi et via quel agent. Notre livre blanc Clairancy « Gouverner l’IA » détaille la démarche ; voici l’essentiel.

Ce qui est déjà acté

• Maîtrise de l’IA (UE · AI Act, article 4) : depuis le 2 février 2025, fournisseurs et déployeurs prennent des mesures pour développer la maîtrise de l’IA de leur personnel. Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, l’a reformulée sans la supprimer.
• Transparence (UE · AI Act, article 50) : depuis le 2 août 2026, les déployeurs signalent les hypertrucages et les textes générés publiés pour informer le public sur des questions d’intérêt public, sauf relecture humaine sous responsabilité éditoriale.
• Décisions automatisées (UE · RGPD, articles 22 et 35) : droit de ne pas faire l’objet d’une décision exclusivement automatisée aux effets significatifs ; analyse d’impact obligatoire quand le risque est élevé.
• IA agentique (France · CNIL et CIANum) : le 20 juillet 2026, une note exploratoire confirme que les agents restent soumis au RGPD et propose de cloisonner leur mémoire, de les isoler, de prévoir un arrêt d’urgence et une validation humaine pour les décisions critiques.
• La triade létale (international · Simon Willison) : le 16 juin 2025, le développeur a décrit la combinaison qui rend un agent exploitable par un attaquant.
• Une attaque de la chaîne d’approvisionnement (Royaume-Uni · The Register) : en septembre 2025, un faux serveur MCP pour un service d’envoi d’e-mails a ajouté, dans sa version 1.0.16, une copie cachée de chaque message vers une adresse externe.

Ce qui arrive

• 2 décembre 2026 (UE · AI Act) : fin du délai accordé aux fournisseurs d’outils génératifs déjà sur le marché pour marquer les contenus produits.
• 2 décembre 2027 (UE · AI Act) : obligations des systèmes à haut risque de l’annexe III (recrutement, gestion des salariés, crédit, éducation). Le déployeur devra notamment confier le contrôle humain à des personnes compétentes et conserver les journaux au moins six mois.
• 2 août 2028 (UE · AI Act) : obligations des systèmes à haut risque intégrés à des produits réglementés (annexe I).

Le vrai enjeu : cinq preuves, pas une charte

Le playbook de Dust organise les inquiétudes des RSSI autour de l’attribution, de la fuite de données et du contrôle. Nous en tirons cinq preuves qu’une direction doit pouvoir produire.

1. L’attribution : chaque action d’un agent est reliée à une personne, à l’agent lui-même, à ses droits et aux données lues. C’est une piste d’audit, pas un tableau de bord d’usage.
2. La maîtrise des données : ce qui peut entrer dans un outil d’IA, ce qui ne doit jamais en sortir, et chez quel fournisseur. Le playbook rappelle l’exposition juridique, du RGPD en Europe au CCPA en Californie.
3. Le contrôle des accès : ajouter, retirer, accorder, révoquer, puis vérifier que la carte des droits est la bonne. Exemple du playbook : aucun chemin ne doit mener de la finance aux données de santé.
4. Le déploiement par groupes : authentification unique (SSO) et provisionnement automatique (SCIM), connecteurs et secrets réservés aux administrateurs, espaces restreints.
5. Le trafic sortant : les agents n’écrivent que vers des adresses autorisées, et chaque composant tiers est validé.

Avec 144 identités machines par identité humaine, ces preuves ne s’obtiennent plus à la main. Une identité sans propriétaire ni date d’expiration est un accès que personne ne pourra révoquer.

Trois points de vigilance

1. La triade létale. Selon Simon Willison, un agent devient dangereux quand il cumule l’accès à des données confidentielles, l’exposition à du contenu non fiable (page web, e-mail entrant) et la capacité de communiquer vers l’extérieur. Un texte piégé suffit alors à lui faire envoyer des données internes. Les filtres ne suffisent pas : en sécurité, bloquer 95 % des attaques reste un échec. La parade proposée par Dust : séparer les rôles entre un agent de recherche sans accès interne, un agent rédacteur nourri d’entrées structurées et un orchestrateur sous garde.

2. Les identifiants empruntés. Quand un agent agit avec le compte d’un salarié, les journaux n’enregistrent que le salarié. Le playbook de Dust souligne que l’implication de l’agent disparaît alors des traces. La note de la CNIL et du CIANum fait le même constat : sans traçabilité de chaque étape, la responsabilité devient difficile à établir.

3. La chaîne d’approvisionnement. Serveurs MCP distants, skills téléchargés, modèles, sous-traitants : chaque maillon est un fournisseur. L’affaire de septembre 2025 montre qu’une simple mise à jour peut transformer un composant de confiance en outil d’exfiltration.

Ce qu’une direction doit exiger

1. Un inventaire complet des outils, agents, connecteurs et identités non humaines, y compris hors des outils officiels.
2. Une piste d’audit testée : reconstituer en vingt-quatre heures trois actions d’agents tirées au hasard.
3. Un propriétaire et une date d’expiration pour chaque identité non humaine.
4. Des accès par groupes, retirés automatiquement au départ d’un salarié.
5. Un contrôle de la triade pour chaque agent avant sa mise en production.
6. Une liste d’autorisation pour le trafic sortant et pour les connecteurs.
7. Un dossier de preuves à 90 jours : registre, analyses d’impact, contrats, extraits de journaux, formation.

Une IA maîtrisée est une IA dont on peut reconstituer chaque action.

La question à poser lundi matin

À votre RSSI : « Pour une action réalisée hier par l’un de nos agents d’IA, combien de temps nous faut-il pour dire qui l’a demandée, avec quels droits et sur quelles données ? »