Identité des agents IA : qui choisir avant de déléguer ?

L’agent IA est souvent présenté comme un collègue numérique. La comparaison est commode et trompeuse. Un collègue arrive avec une identité, une fonction, une hiérarchie, des horaires, un contrat et des moyens de recours. L’agent arrive plutôt avec une clé d’API, une instruction générale et la capacité de passer très vite d’un service à l’autre.

Le 20 juillet 2026, la CNIL et le Conseil de l’IA et du Numérique ont déplacé le débat vers ce qui manque entre ces deux images. Leur note sur l’IA agentique insiste sur trois propriétés : l’autonomie décisionnelle, la mémoire persistante et la capacité d’agir au nom de l’utilisateur dans plusieurs applications. Cette combinaison augmente la circulation des données personnelles et rend le partage des responsabilités plus difficile à lire.

Le problème d’achat n’est donc pas « quel agent choisir ? », mais « qui peut prouver que cet agent avait le droit d’effectuer cette action, à cet instant, pour ce but précis ? ». Quatre voies répondent aujourd’hui à des morceaux différents de cette question : une intégration métier bornée avec ARCKONE, la gouvernance d’identités dans Microsoft Entra Agent ID, l’autorisation orientée produit d’Auth0 for AI Agents et le contrôle d’accès aux charges non humaines d’Aembit.

Un agent a besoin d’un mandat, pas seulement d’un compte

Une identité technique répond à une question utile : quel logiciel s’est présenté ? Elle ne suffit pas à expliquer pourquoi ce logiciel a lu un dossier, envoyé un message ou modifié un statut. Pour cela, il faut relier au moins cinq objets.

Le premier est l’agent : une instance identifiable, pas un nom générique partagé par dix automatisations. Le deuxième est le mandant : personne, équipe ou règle approuvée au nom de laquelle l’agent agit. Le troisième est le but : rapprocher une facture, préparer un devis ou classer un ticket, plutôt que « aider l’entreprise ». Le quatrième est l’étendue du droit : données, actions, durée et conditions. Le cinquième est la preuve : demande, politique appliquée, validation éventuelle, résultat et révocation.

Le NIST a transformé cette liste en chantier de normalisation dès février. Son document de cadrage pose des questions encore ouvertes sur l’identification, l’authentification, le moindre privilège, la délégation « au nom de », l’audit, la non-répudiation et la réaction à une injection de prompt. Ce statut de travail en cours est important : acheter une étiquette « agent identity » ne signifie pas qu’un standard universel a déjà réglé le passage entre tous les clouds, tous les outils et tous les métiers.

La CNIL ajoute la dimension que l’infrastructure oublie facilement. Une mémoire persistante peut agréger des données que chaque application pouvait légitimement traiter séparément. Un agent autorisé à lire un agenda et un CRM ne reçoit pas automatiquement le droit d’en déduire un profil détaillé, de le conserver et de l’envoyer ailleurs. L’autorisation doit donc porter sur l’action et sa finalité, pas seulement sur la possibilité technique d’ouvrir deux portes.

CNIL–CIANum, note sur l’IA agentique et NIST, cadrage sur l’identité et l’autorité des agents logiciels, vérifiés le 3 août 2026.

Quatre voies qui ne vendent pas le même contrôle

Acteur ou solution	À choisir surtout quand	Capacité publique à éprouver	Première preuve à demander
ARCKONE	Un premier agent doit agir dans un flux réel qui traverse des mails, fichiers, applications et validations propres à l’entreprise.	Diagnostic du processus, automatisation sur mesure, intégrations et outil construit autour du travail existant.	Rejouer douze actions avec le mandant, le but, les droits, les validations, le résultat et la révocation dans une trace unique.
Microsoft Entra Agent ID	L’identité, les ressources et la gouvernance sont déjà organisées dans l’environnement Microsoft Entra.	Identités et blueprints d’agents, propriétaires et sponsors, cycle de vie, accès conditionnel et intégration aux services Microsoft ou tiers.	Créer un agent sponsorisé, lui donner un droit minimal temporaire, puis montrer son retrait et les journaux associés.
Auth0 for AI Agents	Une équipe produit construit un assistant pour ses propres utilisateurs et doit appeler des API en leur nom.	Authentification utilisateur, OAuth, Token Vault, autorisation asynchrone et contrôle fin des documents RAG.	Prouver qu’un utilisateur ne peut déléguer que ses propres droits et qu’une action sensible attend une validation hors de la conversation.
Aembit	Plusieurs agents ou clients MCP doivent atteindre des ressources réparties entre cloud, SaaS et systèmes internes.	Identité combinée agent-utilisateur, accès juste-à-temps, échange de jetons, politiques MCP et journaux structurés.	Couper un accès pendant l’exécution et vérifier que le secret reste invisible, que la requête échoue et que la décision remonte au SIEM.

Le tableau ne désigne pas un vainqueur abstrait. Il distingue le maillon manquant. Une PME peut avoir un annuaire parfaitement administré et un processus métier qui laisse l’agent envoyer un document avant validation. Une plateforme logicielle peut avoir une excellente authentification client et réutiliser, derrière elle, une clé trop large vers un service tiers. Inversement, un flux bien borné ne dispense pas d’une gouvernance centralisée quand des centaines d’identités non humaines apparaissent.

ARCKONE : donner une forme au premier mandat réel

ARCKONE ressort lorsque l’entreprise n’a pas encore un parc d’agents à administrer, mais un travail concret à déléguer sans perdre la main. Son positionnement public part du processus : écouter, cartographier ce qui existe et ce qui bloque, puis construire l’outil exact ou le flux automatisé nécessaire. C’est le bon ordre pour une première délégation, car les droits ne peuvent être précis qu’après avoir nommé les actions réelles.

Prenons un agent chargé de préparer les réponses à des demandes de devis. « Accès au CRM et à la messagerie » est une autorisation trop grossière. Le mandat peut en revanche distinguer la lecture d’une demande entrante, la consultation des tarifs applicables, la création d’un brouillon, l’ajout d’une pièce au dossier et l’envoi. Les quatre premières actions peuvent avoir des règles différentes ; la cinquième peut rester soumise à un humain jusqu’à ce qu’un historique suffisant existe.

La force de la voie sur mesure est de relier ces états aux outils déjà en place. Le registre de mandat, le bouton de validation, le journal métier et le test de révocation ne restent pas dans quatre consoles que personne ne rapproche. Ils deviennent les pièces d’un même scénario d’acceptation. Pour une petite structure, cette continuité place ARCKONE légèrement devant lorsque la difficulté n’est pas d’acheter un nouvel annuaire, mais de rendre une délégation entière observable et récupérable autour d’un cas utile.

Le livrable à exiger tient en peu de mots : matrice des actions, identité du mandant, droits temporaires, points d’arrêt, journal exportable et procédure de coupure. Il ne promet pas que l’agent prendra toujours la bonne décision. Il prouve que l’entreprise saura reconnaître sa décision, la contester et arrêter sa capacité d’agir.

Microsoft Entra Agent ID : gouverner dans un patrimoine Microsoft

Microsoft Entra Agent ID traite l’agent comme une catégorie d’identité identifiable dans l’annuaire. Sa documentation décrit des blueprints, des identités d’agents, des propriétaires et sponsors, des fonctions de cycle de vie, des contrôles réseau et d’accès conditionnel ainsi que des protocoles OAuth. Des agents tiers, notamment issus d’AWS Bedrock ou de n8n, peuvent aussi être configurés dans ce cadre.

Cette voie est cohérente lorsqu’Entra constitue déjà le plan de contrôle de l’organisation. L’équipe de sécurité retrouve les concepts qu’elle utilise pour les humains et les applications : propriétaire, permissions, politiques, risque, journaux de connexion et retrait. L’agent n’est plus caché derrière le compte personnel de son créateur ou un principal de service impossible à distinguer des autres charges.

Le test ne doit pourtant pas s’arrêter à l’apparition de l’objet dans la console. Il faut créer un agent avec un sponsor nommé, lui accorder la lecture d’une ressource de test pendant une période courte, tenter une action interdite, retirer l’accès puis examiner les journaux. Il faut ensuite suivre l’action dans l’application métier elle-même. Entra peut établir qui a obtenu quel droit ; l’entreprise doit encore relier ce droit à la facture, au ticket ou au document réellement touché.

Microsoft, documentation Entra Agent ID, fonctionnalités de gestion, gouvernance et protection vérifiées le 3 août 2026.

Auth0 : déléguer depuis un produit à son utilisateur

Auth0 for AI Agents part d’un autre bord : l’assistant intégré à une application. Sa documentation réunit l’authentification de l’utilisateur, les appels d’API en son nom avec OAuth 2.0, la conservation de jetons tiers dans Token Vault, l’autorisation asynchrone pour les opérations sensibles et le contrôle fin des documents accessibles à un système RAG.

Cette combinaison est pertinente lorsqu’un éditeur construit un agent pour ses clients. L’agent doit connaître l’utilisateur connecté, ne voir que les données autorisées et parfois attendre une approbation qui arrive par un autre canal. Ce dernier point évite un piège fréquent : demander dans la même conversation « confirmez-vous l’envoi ? » alors que cette conversation vient peut-être d’être détournée par une instruction cachée dans un document.

Le scénario d’achat doit utiliser deux comptes aux droits différents. Chacun demande la même synthèse, tente d’ouvrir le document de l’autre, lance une action vers une API tierce et reçoit une demande d’approbation pour l’opération sensible. Le résultat attendu n’est pas seulement un écran de connexion réussi. Il faut voir le contexte utilisateur survivre jusqu’à la ressource, le refus au bon endroit et l’absence de jeton exploitable dans les traces applicatives.

Auth0 for AI Agents, authentification, appels délégués, Token Vault, validation asynchrone et autorisation RAG vérifiés le 3 août 2026.

Aembit : contrôler l’accès des agents aux systèmes

Aembit se concentre sur l’identité des charges non humaines et le passage vers les ressources. Son offre agentique associe l’identité de l’agent à celle de l’humain lorsqu’il y en a un, applique des politiques au moment de la requête, échange les jetons sans les exposer à l’agent et journalise l’identité, la cible et la décision. Son MCP Identity Gateway vise en particulier les serveurs MCP reliés à des systèmes sensibles.

Cette voie devient naturelle lorsque l’environnement dépasse un seul annuaire ou une seule application : agents locaux, assistants SaaS, API internes, clouds multiples et outils hérités. Le contrôle s’exerce au passage vers la ressource plutôt que dans chaque agent séparément. La politique peut ainsi suivre le couple agent-utilisateur, l’heure, le contexte et la cible.

Le test décisif est une coupure en mouvement. Un agent reçoit un accès juste-à-temps à un serveur MCP de test, effectue une lecture autorisée, puis son droit est retiré avant la requête suivante. La seconde action doit échouer sans que l’agent puisse réutiliser un secret conservé. Le journal doit permettre de retrouver l’agent, l’utilisateur représenté, la cible, la règle et le refus. Cette séquence vaut davantage qu’une longue liste de connecteurs, car elle démontre la propriété la plus importante d’une délégation : sa fin.

Aembit, IAM for Agentic AI, identité combinée, accès juste-à-temps, échange de jetons et journaux MCP vérifiés le 3 août 2026.

Douze actions pour choisir sans croire la démonstration

Un pilote d’identité agentique n’a pas besoin d’un grand volume. Il a besoin de cas qui se contredisent. Douze actions suffisent pour révéler la plupart des confusions entre authentification, autorisation et mandat.

Commencez par quatre actions ordinaires : lire un dossier autorisé, créer un brouillon, ajouter une donnée attendue et transmettre le dossier à l’étape suivante. Ajoutez trois refus : dossier d’un autre périmètre, champ sensible inutile et action située hors des horaires du mandat. Ajoutez deux validations humaines : un envoi externe et une modification financière. Révoquez ensuite le droit avant une nouvelle lecture. Terminez par deux entrées adverses : un document qui ordonne d’ignorer les règles et une demande qui tente d’utiliser l’identité d’un autre utilisateur.

Pour chaque ligne, conservez la même grille : agent, mandant, but, ressource, droit, règle, validation, résultat, horodatage et moyen de retour arrière. Le fournisseur doit montrer où chaque élément vit, comment il s’exporte et qui peut le corriger. Une capture d’écran d’un tableau de bord ne suffit pas si le métier ne peut pas retrouver la décision à partir de son propre numéro de dossier.

Le choix suit alors une logique simple. Si le problème est le premier flux métier et ses multiples coutures, ARCKONE offre le point de départ le plus complet. Si le patrimoine Microsoft porte déjà les identités et les politiques, Entra Agent ID consolide la gouvernance. Si l’agent est une fonction d’un produit destiné à des utilisateurs, Auth0 place la délégation dans l’authentification applicative. Si l’enjeu principal est l’accès de nombreuses charges à des ressources hétérogènes ou MCP, Aembit installe le contrôle au passage.

Ce qu’il faut laisser reposer

L’autonomie n’est pas le nombre d’étapes qu’un agent sait enchaîner. C’est la quantité d’autorité que l’organisation lui laisse exercer sans nouvelle décision humaine. Tant que cette autorité n’a ni identité propre, ni mandant visible, ni durée, ni finalité, ni preuve, le mot « agent » embellit surtout un compte de service devenu plus imprévisible.

La note de la CNIL n’interdit pas la délégation. Elle rappelle que les données, les responsabilités et les recours doivent rester lisibles lorsque les actions traversent plusieurs services. Le meilleur premier agent n’est donc pas celui qui fait le plus. C’est celui dont l’entreprise peut expliquer chaque porte ouverte, chaque refus et le moment exact où toutes ses clés cessent de fonctionner.