Dans la plupart des entreprises, personne ne sait précisément combien d'identités non humaines circulent dans le système d'information : comptes de service, clés d'API, jetons OAuth, et désormais agents IA capables d'agir seuls. La question n'est plus si ces identités existent, mais qui en est responsable.
Les agents IA ne se contentent pas de répondre à des questions : ils appellent des API, ouvrent des fichiers, déclenchent des workflows et créent au passage de nouvelles identités techniques. Chaque agent Copilot Studio déployé, chaque connecteur activé, chaque automatisation Power Automate ajoute une identité de plus à un parc que peu d'organisations savent encore compter.
Pourquoi les identités non humaines échappent au contrôle
Le sujet n'est pas nouveau : comptes de service et clés d'API existent depuis toujours. Ce qui change, c'est le rythme. Un agent IA autonome ne se limite pas à un périmètre fixe comme un compte de service classique : il décide, au moment de l'exécution, quel outil appeler, quelle donnée consulter et quelle action déclencher. Il peut aussi créer des sous-agents, chacun avec ses propres accès.
Une enquête de la Cloud Security Alliance montre que seules 15 % des organisations se disent réellement confiantes dans leur capacité à prévenir une attaque basée sur une identité non humaine, et qu'une analyse plus récente de la même organisation a constaté que plus de 16 % des entreprises ne suivent même pas la création de leurs identités liées à l'IA. Autrement dit, l'angle mort n'est pas seulement technique, il est aussi organisationnel : personne n'a le réflexe de compter.
Ce que montrent les chiffres
Selon le rapport State of Non-Human Identity Security, les identités machines dépassent déjà les identités humaines dans un rapport moyen de 45 pour 1, et jusqu'à 144 pour 1 dans les environnements cloud natifs, une progression que les chercheurs attribuent en grande partie à l'accélération des agents IA. Gartner projette de son côté que 40 % des applications d'entreprise intégreront un agent IA dédié à une tâche d'ici la fin 2026, contre une part marginale l'année précédente. Un cabinet spécialisé en sécurité des agents va plus loin et estime que d'ici 2028, un quart des violations de données en entreprise sera imputable à un abus d'agent IA.
Ce constat rejoint une réalité déjà documentée pour l'IA d'usage individuel : la vitesse d'adoption dépasse souvent celle de la gouvernance (voir notre article sur le Shadow AI en entreprise). Avec les agents, le même phénomène touche désormais la couche identité, pas seulement les usages.
Agents IA : une nouvelle catégorie d'identité, pas un simple compte de service
Un compte de service classique a un périmètre fixe, défini une fois pour toutes. Un agent IA, lui, agit de façon dynamique : il peut escalader ses privilèges, enchaîner des actions sur plusieurs systèmes, ou solliciter des identités supplémentaires à la volée. C'est cette différence de comportement qui rend les modèles de gouvernance conçus pour les identités humaines inadaptés tels quels.
Le Hype Cycle for Digital Identity 2026 de Gartner classe justement les agents IA et les identités de charge de travail parmi les catégories qui progressent le plus vite dans le paysage de l'identité numérique, et Microsoft Security Research anticipe que les entreprises déploieront plus de 1,3 milliard d'agents IA d'ici 2028. À cette échelle, une gouvernance manuelle, agent par agent, n'est plus tenable.
Ce que propose l'écosystème Microsoft 365
Depuis mai 2026, Copilot Studio crée automatiquement un Microsoft Entra Agent ID pour chaque nouvel agent, plutôt qu'une simple inscription d'application Azure. Concrètement, cela permet aux administrateurs Entra et Microsoft 365 de voir, sans quitter leur console habituelle, quels connecteurs un agent peut appeler, d'appliquer des politiques d'accès conditionnel spécifiques aux agents, et de conserver un historique d'audit complet de leur activité de connexion.
Microsoft étend cette logique avec de nouveaux plans de service Entra dédiés à l'accès conditionnel et à la protection des identités pour les agents, intégrés à Microsoft 365 E7 et à Microsoft Agent 365. L'idée centrale reste la même que pour les identités humaines, appliquée à une nouvelle catégorie : chaque agent doit avoir un propriétaire nommé, un périmètre défini et un cycle de vie géré, exactement comme le préconisent les cadres de sécurité Zero Trust déjà appliqués aux collaborateurs (voir notre approche de la gouvernance des données et des accès dans Microsoft 365 Copilot).
Trois types d'identités, trois niveaux de risque
| Type d'identité | Comportement | Principal risque |
|---|---|---|
| Compte utilisateur humain | Périmètre stable, authentification interactive (MFA, biométrie) | Hameçonnage, vol d'identifiants |
| Compte de service classique | Périmètre fixe, défini à la création, rarement revu | Comptes orphelins, secrets jamais renouvelés |
| Identité d'agent IA | Périmètre dynamique, décisions prises à l'exécution, peut créer des sous-agents | Escalade de privilèges silencieuse, aucun propriétaire clair |
Plan en cinq étapes pour gouverner vos identités non humaines
- Faire l'inventaire. Recensez comptes de service, clés d'API et agents IA existants, y compris ceux créés hors du périmètre officiel (Copilot Studio, Power Automate, scripts internes).
- Assigner un propriétaire à chaque identité. Une identité sans propriétaire nommé est une identité orpheline. C'est le principe le plus simple à appliquer, et le plus souvent négligé.
- Basculer vers des identités gouvernées. Migrez les agents Copilot Studio existants vers Microsoft Entra Agent ID plutôt que de laisser des inscriptions d'application isolées, et activez l'audit dans Entra ID.
- Appliquer le moindre privilège et l'accès conditionnel. Limitez chaque agent aux connecteurs strictement nécessaires, et ciblez ses accès avec des politiques d'accès conditionnel (localisation, conformité de l'appareil, niveau de risque).
- Revoir régulièrement. Intégrez les identités non humaines dans vos revues d'accès périodiques : une identité encore active mais inutilisée depuis des mois est un signal à traiter.
Les garde-fous
- Qui possède l'identité ? Chaque agent, chaque compte de service doit avoir un responsable humain nommé, capable de justifier son existence.
- Qui audite les accès ? Les permissions héritées ou accumulées au fil du temps doivent être revues, pas seulement accordées une fois puis oubliées.
- Qui reste responsable en cas d'incident ? Une action déclenchée par un agent engage l'entreprise comme s'il s'agissait d'un collaborateur. Pour les données personnelles, la conformité à la loi 09-08 et aux exigences de la CNDP reste applicable, agent ou pas.
Comment mesurer votre maturité
| Indicateur | Ce qu'il révèle |
|---|---|
| Part des identités non humaines avec propriétaire nommé | Le niveau réel de responsabilisation |
| Nombre d'identités orphelines détectées | La qualité de l'inventaire |
| Délai moyen de révocation après fin d'usage | La réactivité de la gouvernance |
| Part des agents sous accès conditionnel | Le niveau réel d'application du Zero Trust |
FAQ : identités non humaines et sécurité des agents IA
Qu'est-ce qu'une identité non humaine (NHI) ?
Tout identifiant, jeton ou secret qui permet à un logiciel, un service ou un agent IA de s'authentifier et d'agir sans qu'un humain ne se connecte directement.
En quoi un agent IA diffère-t-il d'un compte de service classique ?
Un compte de service a un périmètre fixe. Un agent IA décide dynamiquement des outils à appeler et des données à consulter, et peut créer d'autres identités en cours d'exécution.
Microsoft Entra Agent ID remplace-t-il les identités managées Azure ?
Non. Les identités managées restent adaptées aux échanges entre ressources Azure. Entra Agent ID cible spécifiquement les agents IA autonomes, avec un cycle de vie, un propriétaire et un audit dédiés.
Faut-il traiter les agents IA comme des collaborateurs ?
Sur le plan de la gouvernance, oui : propriétaire nommé, accès limité au strict nécessaire, revues régulières. Sur le plan de la responsabilité, une action d'agent engage l'entreprise comme celle d'un collaborateur.
Par où commencer ?
Par un inventaire des identités existantes et l'attribution d'un propriétaire à chacune, avant même d'investir dans un outil dédié.
Conclusion : une identité de plus, une responsabilité de plus
Les identités non humaines ne sont pas un sujet exotique réservé aux équipes sécurité : chaque agent IA déployé pour accélérer un service en crée une nouvelle. La question n'est pas de ralentir l'adoption des agents, mais de les gouverner avec la même rigueur que les comptes des collaborateurs : un propriétaire, un périmètre, un cycle de vie.
Prochaine étape : faites l'inventaire de vos agents et comptes de service actifs cette semaine, et posez-vous une question simple pour chacun : qui en est responsable ?
Copilot & Shadow AI : la checklist de gouvernance
