Identités agentiques : quand IBM pose la question que les DSI européens évitent

# Identités agentiques : quand IBM pose la question que les DSI européens évitent

En 2026, les agents IA prolifèrent dans les systèmes d'information des PME et ETI européennes. Ils accèdent aux bases de données, orchestrent des workflows, interagissent avec des APIs tierces — souvent sans qu'un humain valide chaque action. Cette réalité opérationnelle soulève un problème de gouvernance que les architectures IAM (Identity and Access Management) classiques ne couvrent pas : comment authentifier, autoriser et auditer une entité non humaine dont le comportement est, par nature, imprévisible ?

IBM a récemment structuré une réponse à cette question autour du concept d'identité agentique — l'idée qu'un agent IA doit disposer d'une identité propre, traçable, révocable, avec des droits d'accès circonscrits. Le raisonnement est techniquement solide. Il est aussi stratégiquement intéressé : l'acteur américain positionne ses propres briques d'infrastructure comme socle naturel de cette gouvernance. Le mouvement mérite d'être lu pour ce qu'il est — moins une avancée neutre que l'ouverture d'un nouveau terrain de dépendance.

Ce que cela implique concrètement pour les organisations européennes

La gestion des identités agentiques n'est pas un sujet purement technique. Elle touche directement la gouvernance du SI, la répartition des responsabilités internes et les compétences à maintenir en propre.

Premier enjeu : la cartographie des agents actifs. Beaucoup d'organisations ne savent pas précisément combien d'agents IA opèrent dans leur environnement, quels droits ils détiennent, ni qui en est administrativement responsable. Déléguer cette cartographie à un prestataire américain, c'est externaliser une connaissance stratégique sur son propre SI.

Deuxième enjeu : la compétence IAM en interne. Les équipes sécurité européennes ont majoritairement été formées sur des référentiels conçus pour des utilisateurs humains (RBAC, ABAC, Zero Trust appliqué aux personnes). L'extension de ces paradigmes aux agents non humains exige une montée en compétence réelle — sur les protocoles d'authentification machine-to-machine, sur la gestion des secrets à court terme, sur l'audit comportemental. Cette compétence doit rester dans l'organisation, pas chez un intégrateur dont le cœur de métier est de vendre de la récurrence.

Troisième enjeu : la gouvernance des droits d'accès agentiques. Qui valide qu'un agent peut accéder à telle ressource ? Selon quel processus ? Avec quel niveau de revue humaine ? Ces questions relèvent du RSSI et de la DSI, pas d'une plateforme tierce qui propose des workflows préconfigurés. Des initiatives européennes comme Keycloak (maintenu sous gouvernance open source via la communauté Cloud Native Computing Foundation, avec des contributions européennes significatives) ou les travaux du CENTR et de l'ENISA sur l'identité numérique de confiance offrent des bases pour construire cette gouvernance sans dépendre d'un éditeur américain dont les priorités réglementaires restent alignées sur le marché US.

La vraie question n'est pas de savoir si IBM a raison sur le fond — les identités agentiques sont effectivement un angle mort de sécurité. La question est de savoir qui, dans l'organisation, est capable de définir la politique, de choisir les outils et d'auditer le résultat sans avoir besoin de demander à un prestataire américain de traduire ses propres logs.

Les DSI qui n'ont pas encore internalisé cette compétence ont une fenêtre courte pour le faire avant que le marché ne soit structuré par des offres dont ils ne maîtriseront ni les conditions contractuelles ni les évolutions tarifaires.