Identités agentiques : IBM joue-t-il le jeu européen ou prépare-t-il le terrain pour ses propres hyperscalers ?

Ce que les agents IA changent à l'équation de l'identité numérique

Depuis 2025, le paradigme de la gestion des identités a basculé. Ce ne sont plus seulement des humains qui s'authentifient sur vos systèmes d'information — ce sont des agents autonomes, des workflows IA pilotés par des modèles de langage, des bots décisionnels qui agissent, lisent, écrivent, orchestrent. Et ils le font sans friction, souvent sans supervision directe, parfois à une cadence que nul RSSI ne peut surveiller manuellement.

La question de *qui est autorisé à faire quoi* prend alors une dimension radicalement nouvelle. L'identité agentique — c'est-à-dire la capacité à authentifier, autoriser et tracer les actions d'entités non-humaines dans un SI — est devenue en 2026 l'un des chantiers les plus critiques de la cybersécurité d'entreprise. Et c'est précisément sur ce terrain qu'IBM a décidé de marquer son retour en force avec ses nouvelles capacités intégrées à la plateforme Verify, en ciblant explicitement les architectures multi-agents.

Pour un DSI européen, la question n'est pas de savoir si IBM a bien fait son travail produit. La question est : est-ce que ce positionnement ouvre une fenêtre pour reprendre la main sur un segment que les hyperscalers américains sont en train de verrouiller — ou est-ce simplement un acteur américain de plus qui vient occuper le terrain avant les alternatives européennes ?

La réponse est nuancée. Et c'est précisément pour ça qu'elle mérite d'être lue avec soin.

Le verrou silencieux : comment les hyperscalers US ont capturé la couche identité

Avant d'analyser le mouvement IBM, il faut comprendre ce qui s'est passé au cours des cinq dernières années dans la gestion des identités. C'est une histoire de capture progressive, presque invisible.

Lorsque les entreprises européennes ont migré vers le cloud, elles ont logiquement adopté les services d'identité intégrés aux plateformes qu'elles utilisaient. Azure Active Directory — rebaptisé Entra ID — est devenu le référentiel d'identité de fait pour une majorité d'ETI européennes, non pas par choix stratégique explicite, mais par effet de bundling. L'identité était incluse, configurée par défaut, difficile à déconnecter sans remettre en question l'ensemble de la stack.

Résultat en 2026 : la couche identité de plusieurs millions d'entreprises européennes est gérée depuis des datacenters dont la gouvernance juridique reste soumise au Cloud Act américain, même lorsque les instances sont physiquement hébergées en Europe. Ce point n'est pas un détail technique — c'est une surface d'exposition juridique et géopolitique que les équipes légales commencent seulement à mesurer correctement depuis les clarifications réglementaires de 2025.

L'arrivée des agents IA aggrave structurellement ce problème. Pourquoi ? Parce que les grandes plateformes d'orchestration agentique — qu'elles émanent de l'acteur dominant du cloud enterprise ou des nouveaux entrants en intelligence artificielle — poussent naturellement vers leurs propres couches d'authentification propriétaires. Un agent qui s'exécute dans un environnement cloud américain s'authentifie par défaut via les mécanismes de cet environnement. Et chaque token d'identité émis, chaque politique d'accès définie, chaque trace d'action enregistrée — tout cela transite et réside dans des infrastructures hors souveraineté européenne.

C'est dans ce contexte qu'IBM arrive. Et le timing n'est pas anodin.

IBM Verify et les agents : ce que le positionnement révèle vraiment

IBM ne vend pas une révolution. IBM vend une continuité — et c'est précisément ce qui rend son positionnement intéressant à analyser froidement.

La plateforme IBM Verify existe depuis des années. Elle gère des identités humaines, des accès, des politiques de sécurité pour de grands comptes. Ce que IBM a fait en 2025-2026, c'est étendre cette plateforme pour couvrir les *machine identities* dans des contextes agentiques : donner une identité vérifiable à chaque agent, lui associer des droits granulaires, tracer ses actions, révoquer ses accès en temps réel si le comportement dévie. Le tout avec une architecture qui peut s'installer on-premise ou en cloud privé.

Pour un RSSI européen, trois éléments méritent attention :

Premièrement, l'approche standards ouverts. IBM a construit ses nouvelles capacités agentiques sur des protocoles ouverts — OpenID Connect, OAuth 2.0, SPIFFE/SPIRE pour l'identité des workloads. Ce n'est pas une position philanthropique : c'est une stratégie de différenciation face aux acteurs qui ont intérêt à propriétariser la couche identité. Pour l'acheteur européen, cela signifie théoriquement une moindre dépendance et une meilleure réversibilité. Théoriquement — car l'implémentation, les connecteurs et les outils d'administration restent dans l'écosystème IBM.

Deuxièmement, la capacité de déploiement souverain. IBM Verify peut être déployé dans des environnements totalement isolés du cloud public américain. C'est une proposition que ni Azure Entra ni les solutions natives des grands fournisseurs cloud ne peuvent tenir de manière crédible pour leurs couches d'identité agentique. Pour une ETI travaillant dans des secteurs régulés — défense industrielle, santé, énergie — c'est un argument qui passe immédiatement le filtre de la DSI.

**Troisièmement, et c'est là où le DSI doit garder les yeux ouverts :** IBM reste une entreprise américaine soumise aux mêmes cadres juridiques que les hyperscalers. Le Cloud Act s'applique à IBM Global Services comme il s'applique à Microsoft. Déployer IBM on-premise dans un datacenter européen change la surface d'exposition — mais ne la supprime pas entièrement tant que du personnel IBM situé hors de l'Union Européenne a potentiellement accès aux systèmes dans le cadre de contrats de support ou de maintenance.

La différence avec les hyperscalers est donc réelle, mais partielle. IBM offre une meilleure architecture de souveraineté, pas une souveraineté pleine et entière. Nuance capitale avant de signer.

Où en sont les acteurs européens sur ce segment ?

La vérité inconfortable est celle-ci : l'Europe n'a pas encore de champion crédible sur la gestion des identités agentiques à l'échelle enterprise. Et cette lacune est en train de devenir un problème structurel.

Sur la gestion des identités humaines et des accès classiques, des acteurs européens existent et tiennent la route. La société française Wallix, spécialisée dans la gestion des accès à privilèges (PAM), a une présence réelle sur les marchés européens et une architecture pensée pour la conformité RGPD. Mais Wallix, comme ses homologues, n'a pas encore développé une offre mature sur la couche agentique — l'identité des agents IA, la gouvernance des workflows autonomes, la traçabilité des actions non-humaines dans des environnements hybrides.

La raison est structurelle, pas technique. Construire une plateforme d'identité enterprise-grade demande des années de cycles de vente longs, des certifications coûteuses, des équipes d'intégration déployées chez les clients. Les acteurs européens de taille moyenne n'ont pas les ressources pour pivoter rapidement vers ce nouveau segment tout en défendant leur position sur les marchés existants.

Ce vide est dangereux. Parce qu'en 2026, les décisions d'architecture identité pour les environnements agentiques se prennent maintenant. Les entreprises qui choisissent aujourd'hui leur couche d'identité pour leurs premiers déploiements d'agents autonomes ne changeront pas de plateforme dans dix-huit mois — sauf rupture majeure. Le coût de migration d'une infrastructure identité est prohibitif. Ce que l'on signe aujourd'hui, on le porte pendant cinq à sept ans minimum.

La Commission Européenne a identifié ce risque dans ses travaux autour de l'AI Act et du Data Act, mais les mécanismes de soutien à l'émergence d'acteurs européens sur ce segment restent insuffisants en termes de vélocité. Les appels à projets du programme Horizon Europe ne se traduisent pas en produits commerciaux en moins de trois ans.

Ce que le DSI européen devrait faire maintenant — sans attendre Godot

Face à cette cartographie, la posture attentiste n'est plus une option. Voici les leviers concrets à activer.

Cartographier les identités non-humaines existantes avant d'aller plus loin. La majorité des DSI avec qui nous échangeons sous-estiment le nombre d'identités machine déjà actives dans leur SI : comptes de service, API keys, tokens d'intégration, robots RPA. Avant même de parler d'agents IA, ce recensement est urgent. C'est la base sur laquelle toute architecture d'identité agentique sera construite.

Exiger la portabilité dans tout contrat identité. Quelle que soit la plateforme retenue — IBM, acteur européen, ou autre — le contrat doit prévoir explicitement les modalités d'export des politiques d'accès, des annuaires d'identités machine et des logs d'audit dans des formats standardisés. Ce n'est pas une clause de style : c'est la condition minimale pour éviter un lock-in dont vous ne sortirez pas.

Ne pas confondre hébergement européen et souveraineté. C'est l'erreur la plus fréquente. Un service d'identité hébergé dans un datacenter en Allemagne mais opéré par une entité américaine reste exposé juridiquement. La question à poser à tout fournisseur n'est pas « où sont vos serveurs ? » mais « qui a techniquement et contractuellement accès à mes données d'identité, depuis quel pays, sous quel régime juridique ? »

Engager la conversation avec les acteurs européens du secteur dès maintenant. Même si leur offre agentique n'est pas encore mature, un DSI qui exprime clairement ses besoins fonctionnels à un acteur comme Wallix — ou à d'autres acteurs spécialisés en sécurité identité qui émergent en Allemagne, aux Pays-Bas, en Scandinavie — contribue à orienter des roadmaps produit. Le marché se construit aussi par la demande. Un cahier des charges européen bien rédigé vaut parfois plus qu'une subvention.

Considérer IBM comme un choix de transition, pas comme une destination. Si les contraintes opérationnelles imposent de choisir dès maintenant une plateforme d'identité agentique mature, IBM Verify déployé on-premise dans une infrastructure européenne certifiée est objectivement une option moins pire que les solutions natives des hyperscalers. Mais cette décision doit être prise avec une clause de revoyure explicite et un objectif de migration vers une solution européenne dès qu'elle atteint le niveau de maturité requis.

Le marché des identités agentiques sera l'un des segments les plus stratégiques de la décennie en matière de souveraineté numérique. Parce que celui qui contrôle l'identité des agents contrôle, de fait, l'exécution des décisions automatisées dans l'entreprise. Ce n'est pas une métaphore : c'est une réalité opérationnelle qui se matérialise maintenant, dans chaque déploiement d'IA générative en production.

IBM a eu l'intelligence de voir cette fenêtre s'ouvrir. L'Europe, collectivement, n'a pas encore eu la réactivité industrielle pour y répondre à armes égales. Ce n'est pas une fatalité — mais c'est une urgence que ni les DSI ni les décideurs politiques ne peuvent se permettre d'ignorer une saison de plus.