En bref
Le 30 avril, Okta a lancé sa plateforme de gestion des identités pour les agents IA. Sa fonction phare ? Shadow Agent Discovery, un outil qui analyse votre entreprise pour trouver les agents IA dont vous ignoriez l’existence. Que l’entreprise leader mondial de l’identité ait construit un produit autour de la recherche de vos agents IA dit tout de l’état de la gouvernance de l’IA agentique. La plupart des organisations n’ont aucune idée du nombre d’agents en service, des permissions qu’ils détiennent ou des données auxquelles ils peuvent accéder. La réponse d’Okta consiste à greffer des contrôles d’identité sur le problème, après coup. Il existe une meilleure approche : intégrer la gouvernance à l’agent dès le premier jour.
Le problème des agents fantômes
Voici un scénario qui se joue en ce moment dans des milliers d’entreprises. Au marketing, quelqu’un connecte un assistant de rédaction IA au Google Drive de l’entreprise. Aux ventes, un outil de prospection IA reçoit l’accès au CRM. À l’ingénierie, un agent de revue de code est branché sur le dépôt GitHub. Personne n’a ouvert de ticket. Personne n’a demandé au service informatique. Personne n’y a réfléchi à deux fois.
Multipliez maintenant cela par chaque service, chaque personne, chaque outil SaaS doté d’une intégration IA. Vous obtenez une flotte fantôme d’agents IA qui opèrent au sein de votre entreprise avec des identifiants que personne ne suit, des permissions que personne n’a approuvées et des accès que personne ne peut révoquer.
Okta appelle cela le problème des « agents fantômes », et ses chiffres confirment l’urgence. Entre 88 % et 90 % des organisations ont déjà connu des incidents de sécurité liés à des agents IA. 51 % des entreprises ont déployé des agents IA. Mais seules 22 % traitent ces agents comme des identités à part entière, qu’il faut gérer. Les autres avancent à l’aveugle.
Ce n’est pas un risque théorique. 23 % des organisations signalent des incidents d’exposition d’identifiants liés à des agents IA. Il ne s’agit pas de scénarios de faille hypothétiques tirés du livre blanc d’un fournisseur. Ce sont de vrais incidents, qui se produisent en ce moment, en production, à grande échelle.
Ce que construit Okta (et pourquoi c’est important)
La réponse d’Okta est complète. Sa plateforme, disponible pour tous depuis le 30 avril, comprend la découverte des agents fantômes, des contrôles d’accès dynamiques selon le principe du moindre privilège, la gestion des identifiants à privilèges avec rotation automatique et une fonction de déconnexion universelle qui sert de bouton d’arrêt d’urgence face aux agents incontrôlés. Une Agent Gateway dotée d’un plan de contrôle centralisé doit suivre peu après.
C’est une infrastructure sérieuse, construite par une entreprise sérieuse. Et le fait qu’Okta la construise confirme ce que nous disons depuis notre lancement : la gouvernance de l’IA agentique n’est pas un simple plus. C’est le défi central de toute la catégorie.
Mais c’est là que le débat devient intéressant.
L’identité est nécessaire, mais pas suffisante
L’approche d’Okta résout le problème du « qui ». Qui est cet agent ? De quels identifiants dispose-t-il ? Pouvons-nous les révoquer ? Ce sont des questions essentielles, et Okta y répond bien.
Ce qu’Okta ne résout pas, c’est le problème du « comment ». Comment cet agent a-t-il été autorisé à agir au départ ? Comment définir les limites de ce qu’il a le droit de faire ? Comment faire en sorte que ces limites expirent quand le contexte change ? Comment conserver une chaîne de preuves cryptographiques de chaque décision prise par l’agent ?
La gestion des identités vous dit quels agents existent et vous permet de les arrêter. Elle ne vous dit pas si un agent aurait dû recevoir l’autorité dont il dispose, ni si cette autorité est encore appropriée trois semaines plus tard.
C’est toute la différence entre une gouvernance ajoutée après coup et une gouvernance intégrée.
Ajoutée après coup ou intégrée
Le modèle de la gouvernance ajoutée après coup fonctionne ainsi : vous déployez vos agents IA comme vous le souhaitez, puis vous les entourez d’une couche de gestion des identités et des accès. C’est le schéma que le secteur a suivi pour la sécurité du cloud dans les années 2010. On laissait les équipes de développement créer des ressources librement, puis on tentait d’encadrer la prolifération avec un plan de contrôle.
Ce modèle a produit une décennie d’incidents de sécurité dans le cloud, d’informatique fantôme et de casse-tête de conformité. Nous nous apprêtons à répéter le cycle avec les agents IA, à moins de changer d’architecture.
Le modèle de la gouvernance intégrée part d’un autre principe. La gouvernance n’est pas une couche que l’on ajoute. C’est une propriété de l’agent lui-même. Chaque action de l’agent est autorisée dans le cadre d’une délégation d’autorité. Les permissions sont circonscrites, limitées dans le temps et auditables. L’agent n’a pas seulement une identité. Il a un mandat, avec des limites claires, des dates d’expiration et une trace complète de ses décisions.
Nous l’avons expliqué en détail il y a trois semaines dans « Votre agent IA a le droit d’agir. Mais qui le lui a donné ? » L’argument central tient toujours : la question n’est pas de savoir si vous pouvez arrêter un agent qui dérape. La question est de savoir pourquoi il a dérapé.
Le bouton d’arrêt d’urgence d’Okta, c’est l’extincteur. La gouvernance intégrée, ce sont les règles de sécurité incendie.
L’écart des 94 % reste entier
Le rapport 2026 d’OutSystems sur l’état du développement de l’IA a interrogé 1 900 responsables informatiques dans le monde. Il montre que 96 % des organisations utilisent des agents IA. 94 % s’inquiètent de leur prolifération, de leur gouvernance et de leur sécurité. Seules 12 % utilisent une plateforme centralisée pour gérer leurs agents. Seules 36 % disposent d’une gouvernance centralisée de l’IA, quelle qu’en soit la forme.
Le lancement d’Okta aidera à combler une partie de cet écart pour les grandes entreprises qui ont le budget et l’infrastructure nécessaires à son déploiement. Mais pour les petites et moyennes entreprises, la réponse n’est pas d’ajouter un fournisseur de plus. C’est de choisir des plateformes dont l’architecture intègre nativement la gouvernance.
Ce que les PME doivent exiger de leurs agents IA
Si vous évaluez des plateformes d’agents IA pour votre entreprise, voici une liste de contrôle pratique, nourrie de ce que le lancement d’Okta révèle de l’état du secteur :
Une autorité déléguée, pas un accès ouvert. Votre agent IA doit agir dans le cadre de permissions définies explicitement, que vous avez accordées, et non de permissions héritées du périmètre OAuth d’une application connectée.
Des permissions limitées dans le temps. L’autorité doit expirer. Un agent autorisé à gérer un projet au premier trimestre ne devrait plus avoir cet accès au troisième sans nouvelle autorisation.
Des pistes d’audit complètes. Chaque action, chaque décision, chaque accès aux données doit être enregistré et traçable. Pas seulement pour la conformité, mais pour que vous compreniez ce que votre agent a réellement fait, et pourquoi.
Aucun agent fantôme. Si votre plateforme permet aux agents de se multiplier facilement sans supervision, vous finirez par avoir besoin de l’outil de découverte d’Okta pour les retrouver. Choisissez une plateforme où le déploiement des agents est encadré dès la conception.
Une supervision humaine qui passe à l’échelle. L’objectif n’est pas d’approuver chaque action à la main. Il s’agit de définir les limites assez clairement pour que l’agent puisse agir de façon autonome à l’intérieur, avec des voies d’escalade pour tout ce qui en sort.
Le moment est venu
Le lancement d’Okta, le 30 avril, marque un tournant pour la gouvernance de l’IA agentique. Il signale que le secteur a dépassé la phase « déployer d’abord, encadrer ensuite » pour entrer dans la phase « attendez, il faut encadrer tout ça ».
Pour les PME, c’est en fait une bonne nouvelle. Les grandes entreprises se démènent pour greffer après coup une gouvernance sur des flottes d’agents déjà déployées. Vous n’avez pas encore commis cette erreur. Vous pouvez choisir des plateformes qui ont traité la gouvernance correctement dès le départ.
Les agents fantômes sont déjà dans vos murs. Reste à savoir si vous les trouverez avec un outil de détection, ou s’ils n’auront jamais été des fantômes.
Outermind déploie des agents IA autonomes qui traitent les e-mails, la recherche et les tâches opérationnelles des petites et moyennes entreprises. La gouvernance, les pistes d’audit et l’autorité déléguée sont intégrées à chaque agent dès le premier jour. Pour en savoir plus, rendez-vous sur outermind.ai.