Selon le 2026 CISO AI Risk Report de Saviynt, les agents IA accèdent déjà à des systèmes critiques dans de nombreuses organisations, alors que la majorité d’entre elles ne dispose pas encore d’une visibilité complète ni de politiques adaptées pour encadrer ces nouvelles identités numériques.
Les agents IA s’installent rapidement dans les environnements d’entreprise, mais leur gouvernance reste encore très immature. C’est le principal constat du 2026 CISO AI Risk Report publié par Saviynt, plateforme de sécurité des identités à l’ère de l’IA. L’étude met en évidence un décalage important entre l’adoption de ces technologies et la capacité des organisations à contrôler leurs accès.
Le risque ne tient pas seulement à l’usage croissant de l’IA, mais à la manière dont ces agents interagissent avec les systèmes d’information. Contrairement à de simples assistants, ils peuvent accéder à des applications critiques, manipuler des données sensibles et exécuter des actions de manière autonome. Or, les modèles traditionnels de gestion des identités ont été conçus pour des utilisateurs humains, des comptes applicatifs ou des usages plus prévisibles.
Selon Saviynt, 71 % des RSSI déclarent que des outils d’IA ont déjà accès à des systèmes critiques comme Salesforce ou SAP. Pourtant, seuls 16 % considèrent que ces accès sont correctement gouvernés. Le manque de visibilité est également massif, puisque 92 % des organisations n’ont pas une vision complète de leurs identités IA, tandis que 95 % doutent de leur capacité à détecter ou gérer un usage abusif de ces identités.
Cette exposition est d’autant plus préoccupante que 86 % des organisations ne disposent pas de politiques d’accès complètes et effectivement appliquées aux identités IA. Dans un contexte où les agents peuvent agir à grande échelle, l’absence de contrôles clairs peut rendre plus difficile l’attribution des responsabilités, la détection des comportements anormaux et la limitation des privilèges excessifs.
L’étude montre aussi que le risque est déjà concret. Trois quarts des RSSI interrogés ont identifié des outils d’IA générative non autorisés dans leur environnement. Près de la moitié, soit 47 %, ont observé des comportements non intentionnels ou non autorisés de la part d’agents IA, tandis qu’un tiers déclare avoir connu un incident ou quasi-incident de sécurité impliquant ces technologies au cours des douze derniers mois. Pourtant, seules 25 % des organisations utilisent des contrôles ou outils de supervision spécifiquement conçus pour les usages IA. Pour Saviynt, ces résultats confirment l’émergence d’une nouvelle catégorie d’identités numériques.
Dès lors qu’un agent IA dispose d’accès, de privilèges et d’une capacité d’action autonome, il doit être gouverné au même titre qu’un collaborateur, une application ou un service. Les organisations doivent donc inventorier ces identités, surveiller leurs activités, appliquer le principe du moindre privilège et automatiser la suppression des accès inutilisés.
« Pendant des années, les organisations ont concentré leurs efforts sur la gestion des identités humaines et des comptes applicatifs. L’essor des agents IA introduit une nouvelle catégorie d’identités capables d’agir de manière autonome à grande échelle. Les entreprises doivent désormais savoir quelles identités IA existent dans leur environnement, quels accès leur ont été accordés et comment détecter rapidement tout comportement anormal ou toute compromission », déclare Jean-François Pruvot, Vice-Président Europe du Sud de Saviynt.
L’étude a été réalisée par Cybersecurity Insiders auprès de 235 RSSI, DSI et responsables seniors de la sécurité aux États-Unis et au Royaume-Uni, au sein d’organisations de plus de 5 000 employés. Elle souligne que l’IA ne pourra être déployée à grande échelle que si ses identités, ses accès et ses privilèges sont gouvernés avec le même niveau d’exigence que le reste du système d’information.
