Une amende de 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. C’est le niveau que peuvent atteindre les sanctions en cas de non-conformité au règlement européen sur l’IA, le premier cadre complet d’IA au monde.
Bien que l’application complète ne soit prévue qu’en 2027, les cadres dirigeants ressentent déjà la pression. Ce mois-ci, les règles de transparence de la loi sont entrées en vigueur, imposant aux entreprises de signaler lorsque des utilisateurs interagissent avec des systèmes d’IA. D’autres règles importantes désormais en vigueur imposent notamment aux entreprises de concevoir des systèmes d’IA gérés par des personnes, en leur donnant la possibilité de « surveiller, interpréter et reprendre la main sur le système », et exigent que les entreprises puissent expliquer comment les systèmes d’IA déployés prennent leurs décisions.
L’identité fait partie des méthodes permettant de répondre à ces exigences.
La loi fixe une exigence claire : les entreprises doivent démontrer qu’elles disposent des protocoles et des frameworks nécessaires pour leurs déploiements d’IA. Ces réglementations ne concernent pas uniquement la confiance des entreprises. La confiance des consommateurs repose également sur des garde-fous solides qui protègent les personnes et leurs données.
Combler la lacune de responsabilité de l’IA grâce à l’identité
D’ici 2027, la loi européenne sur l’IA imposera une norme stricte de responsabilité pour les systèmes d’IA « à haut risque », avec des exigences qui s’appliqueront aux entreprises qui développent ces systèmes ainsi qu’à celles qui les déploient. Cela inclut des dispositions imposant une surveillance continue des systèmes d’IA, des exigences en matière de journalisation et une supervision humaine, dont beaucoup comportent un volet lié à l’identité.
Alors que les entreprises ont passé des années à standardiser la gouvernance des identités pour leurs collaborateurs, les agents d'IA ont bouleversé la donne. Aujourd’hui, toute personne peut créer un agent d’IA, souvent en dehors des contrôles de sécurité, ce qui donne lieu à de la shadow AI sans responsables officiels.
Il s’avère que de nombreuses entreprises ne disposent pas actuellement des moyens nécessaires pour savoir combien d’agents d’IA sont présents dans leurs systèmes, et encore moins pour en attribuer la responsabilité à une personne. Selon le rapport Global CISO Insights 2026 d’Okta, 81 % des CISO se disent préoccupés par un accès excessif à l’IA. Moins de la moitié des personnes concernées sont capables d’identifier tous les agents d’IA présents dans leurs systèmes, et encore moins d’en contrôler ou d’autoriser l’accès. Seules 31 % des personnes interrogées déclarent être en phase avec leur conseil d’administration concernant les risques liés à l’IA.
Ces données reflètent les échanges en cours au sein de la communauté des entreprises en Europe. Pour de nombreux cadres dirigeants, le principal défi n’est pas la nuance de la conformité, mais la réalité du Shadow AI, la hausse des coûts et l’absence de retours clairs issus d’expérimentations isolées de l’IA. À la place, ils recherchent un cadre clair qui les aide à déployer l’IA en toute sécurité.
La solution à bon nombre de ces lacunes est également l’un des éléments clés de la conformité : l’identité.
Sécurisation de l’IA agentique : un cadre pratique
Une entreprise agentique sécurisée établit des responsabilités claires et une visibilité complète avant que les agents ne soient déployés à grande échelle.
Le plan directeur d’Okta pour l’entreprise agentique sécurisée, présente les contrôles d’identité et d’accès nécessaires pour adopter l’IA agentique en toute sécurité, tout en préservant la visibilité et la responsabilité.
Règlement européen sur l’IA : sécuriser l’IA à haut risque grâce à la supervision humaine
Certaines exigences du règlement européen sur l’IA qui entreront en vigueur en décembre 2027 imposent une supervision humaine concrète et une gouvernance prête à l’audit pour les systèmes d’IA à haut risque. L’identité joue un rôle important pour répondre à ces exigences.
Pour répondre aux questions des autorités de régulation concernant le déploiement d’IA à haut risque, les entreprises qui utilisent des agents d’IA dans le cadre de ces déploiements doivent considérer les agents d’IA comme des identités à part entière, soumises à la même rigueur de gouvernance que leur personnel humain. L’intégration des agents d’IA commence par trois questions liées à l’identité: où se trouvent mes agents ? À quoi peuvent-ils se connecter ? Que peuvent-ils faire ? Les réponses peuvent offrir la visibilité de base nécessaire pour répondre aux exigences des autorités de régulation.
Comment les entreprises tournées vers l’avenir peuvent s’adapter
Le règlement européen sur l’IA n’est pas le seul cadre à transformer le paysage réglementaire européen. Elle s’ajoute à une vague complexe de réglementations dans la région EMEA telles que DORA, NIS2 et eIDAS 2.0, qui interagissent avec un ensemble nuancé de lois nationales. Pourtant, bien qu'elles s'adressent à des secteurs différents, ces réglementations à l'échelle régionale ont un point commun : il est impossible de protéger, d'auditer ou de gouverner ce que l'on ne peut pas identifier de manière fiable.
Pour les entreprises, se conformer aux réglementations du règlement européen sur l’IA ne doit pas être considéré comme un simple obstacle technique à franchir. Ils devraient plutôt y voir une incitation à comprendre le fonctionnement des systèmes numériques et à identifier les personnes qui en ont la responsabilité.
Pour poser ces bases, les équipes de direction peuvent commencer par ces quatre étapes concrètes :
Commencez par établir une visibilité de référence: il est impossible de sécuriser ou d’auditer ce que vous ne pouvez pas voir. Une étape vers la conformité consiste à réaliser un audit complet de votre empreinte active en matière d’IA : cartographier les outils utilisés, les données auxquelles ils ont accès et les angles morts qu’ils génèrent.
Gérer l’IA avec la même rigueur que les effectifs: les mêmes principes d’identité que les entreprises appliquent aux collaboratrices et collaborateurs humains, comme l’accès au strict nécessaire, les droits limités dans le temps et la recertification régulière, doivent être étendus aux agents d’IA.
Maintenir l’humain dans la boucle: les systèmes autonomes à haut risque ne devraient jamais fonctionner sans supervision. Les entreprises peuvent réduire les risques en définissant une séparation claire des responsabilités et en exigeant une validation humaine avant que les agents d’IA puissent effectuer des actions sensibles ou à haut risque.
Aligner l’IA sur les objectifs métier existants: utiliser de la Shadow AI non supervisée ou mener des expérimentations isolées accroît les risques sans démontrer la valeur ajoutée. Les entreprises qui s'interrogent activement sur la capacité de leurs programmes d'IA à faire progresser les métriques métier réduisent leur exposition aux risques de sécurité liés à l'IA et veillent à ce que leurs investissements technologiques apportent une réelle valeur ajoutée.
Qui se cache réellement derrière votre IA ?
Le règlement européen sur l’IA place l’ identité au premier plan.
Bien que l’application complète soit prévue pour la fin de l’année 2027, les entreprises internationales doivent dès aujourd’hui commencer à préparer leur mise en conformité.
À l’instar du RGPD, l’AI Act de l’UE engage la responsabilité de toute entreprise proposant ses services à des clients européens, quel que soit son lieu d’implantation. Protéger les identités numériques associées à chaque action automatisée constitue l’un des aspects nécessaires pour répondre aux exigences de conformité.
En abordant la gouvernance de l’IA comme un enjeu d’identité, les organisations du monde entier peuvent sortir de la phase d’IA fantôme, exploiter cette technologie en toute sécurité et ouvrir la voie à une croissance durable.
Le contenu de ce document revêt un caractère purement informatif et ne constitue pas des conseils d’ordre juridique ou commercial, de confidentialité, de sécurité ou de conformité.
Il pourrait ne pas refléter les normes de sécurité, de confidentialité et les réglementations les plus récentes. Pour obtenir de tels conseils, il vous revient de vous adresser à votre conseiller juridique ou à tout autre conseiller professionnel et de ne pas vous en remettre à ce document pour vos décisions de conformité, de mise en œuvre ou d'achat.
Okta ne formule aucune déclaration, garantie ou autre assurance concernant le contenu de ce document et décline toute responsabilité quant aux pertes ou dommages pouvant résulter de la mise en œuvre des recommandations fournies dans le présent document. Les informations sur les assurances contractuelles d’Okta à ses clients sont disponibles à l’adresse okta.com/agreements.
