Comment limiter les accès d'un agent IA aux logiciels de l'entreprise

Gartner avance un chiffre qui a de quoi retenir l'attention : 40 % des applications d'entreprise intégreront des agents d'intelligence artificielle d'ici fin 2026. Un an plus tôt, elles étaient moins de 5 %. IDC, autre cabinet d'études, anticipe une généralisation dès 2027. Dit autrement : les entreprises françaises sont en train d'accueillir des collaborateurs numériques par milliers, souvent sans l'avoir décidé formellement, presque jamais après un entretien d'embauche.

Un agent IA ressemble en effet à une recrue qui arriverait un matin avec un badge déjà activé. Il travaille vite, ne dort pas, et personne n'a vérifié quelles portes son badge ouvre. Cet article explique où se trouvent ces portes et comment les refermer une par une, sans priver l'agent des accès dont il a réellement besoin pour travailler.

Un agent IA, à quoi cela accède-t-il vraiment ?

Un agent IA se distingue d'un simple assistant conversationnel par sa capacité à agir. Il ne se contente pas de répondre à des questions : il lit des courriels, met à jour des fiches clients, génère des factures, planifie des rendez-vous. Pour cela, il passe par les interfaces de programmation, souvent appelées API, qui relient vos logiciels entre eux. Ce sont les couloirs de votre système informatique.

Quand vous connectez un agent à votre messagerie ou à votre logiciel de gestion commerciale, vous lui remettez une clé d'accès : un jeton technique qui joue le rôle du badge. Et c'est là que les choses se compliquent. La plupart de ces jetons sont créés avec des droits très larges, parce que c'est plus simple à installer. Lecture et écriture sur toute la messagerie plutôt que sur une boîte dédiée. Export complet du fichier client plutôt que l'accès aux seules affaires en cours.

Pourquoi les contrôles habituels ne suffisent plus

Ces interfaces ont été conçues pour des humains. Un commercial consulte quelques dizaines de fiches par jour. Il clique de temps en temps, puis il part déjeuner. Les mécanismes de sécurité classiques, du mot de passe aux plafonds de requêtes, ont été calibrés sur ce rythme-là.

Un agent, lui, peut pousser mille demandes à l'heure, week-end compris. La presse spécialisée américaine résumait le problème mi-août : la faiblesse des contrôles sur les API est devenue l'une des principales menaces de l'ère des agents IA (SiliconANGLE, 14 août 2026). Le raisonnement des spécialistes tient en une phrase : un compte humain compromis fait des dégâts à vitesse humaine, un agent compromis ou mal instruit fait les mêmes dégâts à vitesse machine.

Il existe un second facteur aggravant, moins connu. Un agent obéit à des instructions en langage naturel, et ces instructions peuvent venir de l'extérieur. Un courriel piégé, une page web contenant un texte invisible, et voilà l'agent qui exécute une consigne que personne dans l'entreprise n'a donnée. On parle d'injection d'instructions. Face à ce risque, la protection la plus fiable consiste à limiter ce que l'agent peut faire, et pas seulement ce qu'on lui demande de faire.

La bonne question : de quoi cet agent a-t-il besoin, précisément ?

Les recruteurs exigeants posent cette question à toute nouvelle recrue. Elle vaut aussi pour un agent IA, et la réponse mérite d'être écrite noir sur blanc avant l'activation.

Ce réflexe porte un nom en sécurité informatique : le principe du moindre privilège. Chaque outil, chaque compte, chaque connecteur ne reçoit que les droits strictement nécessaires à sa mission. Rien de nouveau sous le soleil, les administrateurs de systèmes l'appliquent depuis des décennies aux comptes humains. La nouveauté, c'est qu'il faut désormais l'appliquer à des logiciels qui prennent des initiatives.

Concrètement, pour un agent chargé de préparer des réponses aux courriels entrants, le besoin réel se limite à lire la boîte de réception concernée et à créer des brouillons. Pas envoyer. Pas supprimer. Pas fouiller les archives des cinq dernières années. L'écart entre le besoin réel et les droits accordés par défaut constitue votre surface de risque.

Refermer les portes, étape par étape

La démarche tient en cinq étapes, réalisables en quelques jours pour une entreprise équipée d'une dizaine de logiciels.

1. Inventorier les agents et les connecteurs. Listez tout ce qui se connecte à vos logiciels sans être un humain : assistants IA, automatisations, extensions. Les consoles d'administration de vos outils (Google Workspace, Microsoft 365, votre logiciel de gestion commerciale) affichent les applications tierces autorisées. Cette liste réserve souvent des surprises : jetons créés pour un test et jamais révoqués, outil essayé un week-end puis oublié.

2. Écrire la fiche de poste de chaque agent. Quelques lignes par agent : sa mission, les données qu'il doit lire, celles qu'il doit pouvoir modifier. Ce document servira de référence à chaque évolution.

3. Réduire les droits au strict besoin. Remplacez les jetons trop larges par des accès restreints : une boîte de messagerie dédiée plutôt que celle du dirigeant, un accès en lecture seule quand l'agent n'a rien à écrire, un périmètre limité aux données récentes quand l'historique ne sert à rien.

4. Plafonner et journaliser. Fixez un plafond de requêtes cohérent avec la mission : un agent qui traite cinquante courriels par jour n'a aucune raison d'en demander dix mille. Conservez les journaux d'activité. Sans journal, impossible de savoir ce qu'un agent a réellement fait.

5. Prévoir la révocation. Chaque jeton doit pouvoir être coupé en moins de cinq minutes, avec une procédure écrite. Le jour où un agent se comporte anormalement, ce n'est pas le moment de chercher où se trouve le bouton.

Un exemple chiffré

Prenons une entreprise de services de quarante salariés. Elle connecte un agent IA à sa messagerie et à son logiciel de gestion commerciale pour préparer automatiquement des propositions. Le connecteur, installé avec les réglages par défaut, obtient l'accès complet : 15 000 fiches contacts, dix ans de courriels.

Un courriel piégé arrive un vendredi soir. L'agent, manipulé par une instruction cachée, commence à exporter le fichier client vers une adresse externe. À raison de 600 fiches par minute, la totalité part en moins d'une demi-heure. Conséquences : notification à la CNIL sous 72 heures, information de chaque contact concerné, plusieurs semaines de temps de direction absorbées par la gestion de l'incident, et une confiance à reconstruire auprès des clients.

Rejouons la scène avec un agent au moindre privilège. Le jeton n'ouvre que les fiches des affaires en cours, soit 200 contacts, en lecture seule, avec un plafond de 100 requêtes par heure. La même attaque produit une fuite de quelques dizaines de fiches avant que le plafond bloque le flux et déclenche une alerte. Dégâts divisés par cent. Même agent, même attaque : seuls les droits remis au départ ont changé.

Les pièges à éviter

Deux excès guettent. Le premier consiste à tout interdire : privé d'accès, l'agent ne sert à rien, et les équipes finissent par le brancher en douce avec leurs identifiants personnels, ce qui est pire que la situation de départ. Le second consiste à traiter le sujet une fois pour toutes. Les missions des agents évoluent, leurs droits doivent être relus régulièrement, et un rythme trimestriel suffit dans la plupart des cas.

Méfiez-vous aussi des connecteurs "tout-en-un" qui réclament l'accès complet dès l'installation. Un éditeur sérieux propose des périmètres réglables. Quand ce n'est pas le cas, c'est un signal sur la maturité du produit.

Par où commencer

L'inventaire des accès existants, première étape de la démarche, prend une demi-journée et révèle en général l'essentiel du risque. Les agents IA vont porter l'activité de nombreuses entreprises dans les années qui viennent, la trajectoire décrite par Gartner ne laisse guère de doute là-dessus. Autant leur remettre un badge qui n'ouvre que les bonnes portes.

Autensai accompagne les entreprises françaises sur ce chantier, de l'inventaire des accès au réglage fin des droits. Pour en parler, le plus simple est de prendre rendez-vous : trente minutes suffisent pour un premier état des lieux.