AI a introduit deux nouveaux problèmes – et la gouvernance des identités est le seul endroit où ils se rencontrent
AI a discrètement transformé la gouvernance des identités en un lieu où les flux de pouvoir réels sont décidés : qui (ou quoi) peut déplacer de l’argent, changer du code ou réécrire des enregistrements. Ce changement a remis aux responsables de la sécurité des systèmes d’information (RSSI) et aux directeurs des systèmes d’information (DSI) deux problèmes que personne n’avait vraiment prévus : l’IA intégrée dans la pile d’identité prenant des décisions d’accès, et l’IA agissant comme des identités puissantes au sein de l’entreprise.
La réalité des incidents
Un incident simple illustre cela : un « assistant » IA dans la gestion des services informatiques (ITSM) passe de « recommander » à « exécuter automatiquement », approuvant discrètement des règles de pare-feu risquées et des changements de configuration, n’apparaissant sur le radar que lorsque le conseil d’administration demande comment un compte d’assistance a obtenu des pouvoirs d’administrateur de facto. Ce n’est pas un phénomène mystérieux ; c’est un angle mort classique déguisé—un compte IA non sponsorisé avec des pouvoirs de niveau production et aucune trace documentaire.
Une double présence de l’IA
Vous ne « possédez pas simplement l’IA » maintenant. Vous avez l’IA dans deux domaines importants :
- L’IA intégrée dans votre pile d’identité, façonnant discrètement qui obtient quel accès.
- L’IA agissant comme des identités au sein de votre entreprise, exécutant des tâches que les humains faisaient autrefois.
Ces deux éléments sont déjà en production dans la plupart des entreprises, tandis que la gouvernance est encore souvent en phase pilote.
Évolution de la gouvernance des identités
Au fil des ans, la gouvernance des identités était centrée sur des politiques, des flux de travail et des examens. Ce processus était lent et souvent douloureux, mais au moins, vous saviez qui prenait les décisions : vos responsables, les propriétaires d’applications et les équipes de gestion des risques. Cela commence à changer.
Les plateformes modernes de gouvernance des identités s’appuient de plus en plus sur l’IA pour regrouper des demandes d’accès similaires, signaler des droits anormaux et suggérer des décisions « approuver/refuser ». Cela signifie que les algorithmes façonnent désormais l’accès autant que vos politiques écrites.
Questions de confiance et d’explicabilité
Pour les RSSI, cela soulève des questions inconfortables concernant la confiance et l’explicabilité. Si une recommandation assistée par IA aboutit à l’octroi d’un droit à haut risque, pouvez-vous expliquer à un auditeur ou à un régulateur pourquoi cette décision avait du sens à l’époque ? Si le modèle a appris à partir d’une base de référence médiocre, il peut normaliser exactement les comportements que vous essayez d’éliminer, mais à la vitesse des machines.
Pour les DSI, le calcul est différent mais tout aussi difficile. Vous avez besoin d’une gouvernance des identités qui puisse suivre les projets SaaS, cloud et IA sans que chaque sprint ne se transforme en goulet d’étranglement d’accès. L’IA semble être le seul moyen réaliste de dégager l’arriéré des approbations à faible valeur ajoutée et des examens routiniers.
Les agents IA comme nouvelle classe d’identité
Le deuxième problème est plus visible mais plus difficile à apprivoiser. Des données récentes montrent que les identités non humaines, y compris les agents IA, rivalisent ou dépassent les comptes humains dans de nombreux environnements, même si peu d’organisations peuvent voir où ces agents ont réellement accès.
Ces agents ouvrent des tickets, gèrent des incidents, fusionnent du code, déplacent des données et écrivent dans des systèmes d’enregistrement. Chaque fois qu’un système IA peut changer l’état dans un système de production, vous avez effectivement créé un nouvel opérateur.
Les programmes de gouvernance des identités sont traditionnellement centrés sur les personnes. Le résultat est un angle mort d’identité non humaine. La plupart des organisations matures pour l’identité humaine sont presque vierges en ce qui concerne les agents IA.
Vers une gouvernance intégrée
Le pivot consiste à arrêter de considérer les systèmes IA comme des effets secondaires d’autres plateformes et à commencer à les traiter comme des identités à part entière. Cela signifie que chaque agent IA doit avoir un propriétaire, un but commercial et un niveau de risque ; ses droits d’accès sont définis dans des politiques plutôt que d’être enfouis dans des configurations spécifiques à l’application.
Une fois que vous voyez l’IA comme une identité, le lieu naturel pour la contrôler n’est pas un autre outil uniquement axé sur l’IA, mais votre plan de contrôle de la gouvernance des identités.
Questions clés à considérer
Les questions opérationnelles convergent sur les mêmes enjeux :
- Qui possède ce système IA ?
- Que peut-il voir, changer ou déclencher ?
- Comment détectons-nous lorsque son comportement ou son accès change de manière significative ?
- Quelles preuves pouvons-nous produire pour montrer qu’il est sous contrôle ?
Les organisations qui réussiront avec l’IA dans les prochaines années ne seront pas seulement celles qui se déplacent le plus rapidement. Elles seront celles qui savent exactement à quelle vitesse elles peuvent avancer sans perdre le contrôle sur qui—ou quoi—est autorisé à toucher quoi.
Conclusion
La gouvernance des identités est l’endroit où vous établissez cette limite de vitesse pour les deux types d’IA : celle qui est intégrée dans votre tissu décisionnel et celle qui agit désormais comme du personnel numérique. C’est également là que vous générez la preuve permettant aux conseils d’administration, aux régulateurs et aux clients de continuer à dire « oui » alors que vous intégrez l’IA davantage dans votre entreprise.
