Un agent utile n’a pas besoin des clés de toute l ’entreprise. Il a besoin d’un couloir d’action précis, observable et réversible.
À retenir avant de commencer
La vraie décision avec un agent IA : à quoi il peut accéder, pour quelle tâche, pendant combien de temps et avec quelle preuve.
Un agent peut raisonner, planifier, appeler des outils et enchaîner plusieurs actions. Cette capacité crée une surface de risque différente d’un simple assistant de rédaction : une autorisation trop large peut se propager d’un outil à l’autre. [2]
L’accès utile a toujours une frontière
Dans une petite entreprise, on commence souvent vite : un compte partagé, une clé d’API pratique, un accès administrateur « le temps de tester ». Puis le prototype devient utile. Le compte reste, les outils s’empilent et personne ne sait exactement ce que l’agent peut encore faire.
Trois questions doivent être séparées :
- Quelle donnée peut-il lire ?
- Quelle proposition peut-il préparer ?
- Quelle action peut-il réellement exécuter ?
Lire un dossier client, préparer une réponse et supprimer une pièce relèvent de trois permissions distinctes ; chacune vit sur son propre bouton.
Microsoft décrit ce problème sous l’angle de l’identité, du périmètre, des outils autorisés, de l’audit et de la révocation : l’agent doit être traité comme un principal identifiable, avec un propriétaire et des droits limités à sa tâche. [3]
Quatre niveaux d’autonomie à découper finement
L’autonomie se découpe. Pour une TPE ou une PME, un workflow se découpe en quatre niveaux :
Lire
Consulter uniquement les sources nécessaires. Ne rien modifier.
Préparer
Produire un brouillon visible et modifiable : réponse, synthèse ou checklist.
Exécuter
Déclencher une action précise, allowlistée et réversible.
Valider
Confirmer les opérations financières, externes, irréversibles ou sensibles.
Pour ces opérations, OWASP recommande de séparer la proposition de l’exécution et de lier l’approbation à l’action exacte, à sa cible et à sa durée de validité. [2]
Une même demande, trois niveaux de risque
Clique sur un terrain puis sur chaque niveau. Tu verras où l’agent peut avancer seul, où il doit produire une preuve et où une personne reprend la main.
Le même agent peut donc être autonome sur une tâche de lecture et bloqué sur une action voisine. Cette différence traduit exactement le risque métier de chaque action.
Le moindre privilège, en langage de terrain
Le principe du moindre privilège consiste à ne donner que les accès indispensables à une tâche. Pour un agent, cela veut dire au moins quatre limites :
- une identité dédiée et un propriétaire nommé ;
- une liste d’outils autorisés, plutôt qu’un catalogue complet ;
- des droits séparés entre lecture, préparation et écriture ;
- une validation renforcée pour les actions financières, administratives, destructives ou visibles à l’extérieur.
OWASP recommande notamment de limiter les outils à la tâche, de distinguer lecture et écriture et d’exiger une autorisation explicite pour les opérations sensibles. Microsoft ajoute la nécessité de vérifier les droits à chaque étape (orchestrateur, outil puis service cible) au lieu de faire confiance au seul agent qui coordonne le workflow. [2] [3]
Ce qu’il faut tracer
Un historique de conversation explique mal une action isolée. Pour comprendre ce qui s’est passé, il faut pouvoir retrouver :
- quel agent a agi ;
- pour quel utilisateur ou quelle équipe ;
- quel outil a été appelé ;
- sur quelle ressource ;
- avec quel périmètre ;
- quelle approbation était requise ;
- quel résultat a été renvoyé.
NIST présente l’AI RMF comme un cadre volontaire pour intégrer les considérations de fiabilité dans la conception, le développement, l’usage et l’évaluation des systèmes d’IA. [1] Pour une PME, la conformité peut rester légère : nommer les risques, décider des contrôles et pouvoir expliquer une décision.
Le bouton d’arrêt doit exister avant le pilote
Si un agent perd son accès, qui le désactive ? Si une clé est partagée, comment la révoquer sans casser trois autres automatisations ? Si une action est partie au mauvais endroit, peut-on la retrouver et la corriger ?
Désactiver l’identité, invalider les jetons, bloquer les outils sensibles, conserver la trace et vérifier que le système en aval refuse bien l’appel.
La révocation se teste comme un scénario à part entière, surtout quand l’agent touche plusieurs applications : elle doit couvrir l’orchestrateur, le CRM, la messagerie et le serveur métier pour fermer l’ancien accès.
Le résumé utile
Un agent IA doit avoir une identité, un propriétaire et un périmètre explicites.
Lire, préparer, exécuter et valider sont quatre niveaux différents.
Les outils sensibles doivent être allowlistés et les actions à fort impact séparées de la proposition.
Un audit utile décrit l’agent, l’outil, la ressource, le périmètre et l’approbation.
Pour une TPE ou une PME, la sécurité consiste à donner à l’agent un couloir d’action suffisamment précis pour être utile et suffisamment étroit pour rester maîtrisable.