Identités non humaines et agents IA : pourquoi la gouvernance IAM doit étendre son périmètre

Identités non humaines : une croissance silencieuse portée par les agents IA

Pendant que les équipes sécurité concentraient leurs efforts sur les identités humaines, une autre population s'est développée en silence : comptes de service, robots, workloads cloud, clés d'API. Ces identités non humaines (NHI) ne sont pas nouvelles. Ce qui change, c'est leur autonomie avec l'arrivée des agents IA, capables de raisonner, invoquer des outils et accéder à des données sensibles sans validation humaine.

La sécurité n'est pas un frein à l'IA. C'est la condition de sa pérennité en production.

Une population d'identités devenue incontournable

Un agent IA ne se contente pas d'exécuter des tâches prédéfinies : il interprète un contexte, délègue des sous-tâches à d'autres agents et accède aux ressources selon une logique dynamique, difficile à anticiper.

Une organisation compte aujourd'hui plusieurs dizaines à plusieurs centaines d'identités non humaines par identité humaine, un ratio en hausse constante. C'est la population la plus dynamique du système d'information et souvent la moins gouvernée.

Les trois angles morts de l'IAM traditionnel

Un cycle de vie sans déclencheur RH

L'IAM classique repose sur des événements RH (arrivée, mobilité, départ). Un agent IA ne franchit aucun de ces sas :

• instancié par un workflow, parfois quelques minutes, parfois indéfiniment

• sans propriétaire ni date d'expiration, ses credentials survivent souvent à sa mission

Une délégation hors du modèle JML

Quand un utilisateur délègue une action à un agent, l'IAM traditionnel ne répond pas :

• Agit-il avec les droits complets du délégant ?

• Sous quelle identité, avec quelle traçabilité ?

Le modèle JML n'a pas été conçu pour ces chaînes d'autorisation hybrides.

Un Shadow AI hors de tout référentiel

Copilotes SaaS, scripts d'automatisation, serveurs MCP : le Shadow AI agit souvent avec les credentials de son créateur, sans figurer dans aucun référentiel ni respecter le moindre privilège.

Les quatre exigences d'une gouvernance adaptée

• Découverte continue : cartographier en continu comptes orphelins, robots, agents IA et serveurs MCP, et les intégrer immédiatement au référentiel

• Référentiel unifié : humains, machines et agents IA gouvernés selon les mêmes principes (moindre privilège, SoD, recertification, révocation automatisée)

• Délégation explicite et traçable : identité distincte, droits limités à la mission, actions journalisées, une exigence renforcée par NIS2, DORA et l'AI Act

• Contrôle d'accès contextuel en temps réel : autorisation évaluée à chaque action selon des attributs dynamiques (identité du délégant, risque, sensibilité de la donnée), via un moteur de décision (PDP) couplé à une gateway

Une fondation commune, pas un second IAM

Quand les agents IA s'organisent en réseaux, la gouvernance ne peut plus viser des entités isolées : c'est la chaîne entière qu'il faut couvrir, tracer et révoquer.

Traiter les NHI comme un chantier séparé reviendrait à recréer, côté machines, les silos qu'il a fallu deux décennies à démanteler côté humains. Le sujet NHI ne remplace pas la gouvernance des identités humaines, il s'y ajoute, dans le même socle et sous la même autorité. Cette approche permet au RSSI d'absorber la croissance des identités non humaines sans relâcher l'effort côté humains, et de prouver à l'audit que chaque identité est gouvernée selon les mêmes principes.

C'est la conviction portée par l'Identity Factory, plateforme européenne de gouvernance des accès et des identités humaines et non humaines.