Les identités d'agents deviennent une nouvelle obligation pour les entreprises réglementées

Le 29 septembre 2026, RSA a publié un communiqué de presse annonçant le lancement d’Agent ID, une plateforme spécialement conçue pour les secteurs fortement réglementés afin d’identifier, de classer et de contrôler l’utilisation des agents d’intelligence artificielle. Cette annonce s’adresse aux institutions financières, aux assureurs, aux prestataires de services de santé ainsi qu’à d’autres industries où les exigences légales imposent que chaque décision automatisée soit traçable et documentée de façon exhaustive. RSA souligne que la solution ne se limite pas à un simple module technique supplémentaire, mais qu’elle doit devenir un composant central de la stratégie de conformité, du fait que de plus en plus d’entreprises s’appuient sur des agents d’IA autonomes dans des processus critiques, ce qui rend indispensable une visibilité totale sur ces entités numériques.

Qu’est-ce qu’Agent ID ?

Agent ID se compose de trois modules – Discover, Secure et Govern – qui, ensemble, offrent une gestion complète du cycle de vie des agents d’IA. Le module Discover analyse les environnements réseau et applicatifs, détecte à la fois les agents autorisés et non autorisés, puis les associe à leurs propriétaires respectifs. En outre, il identifie les serveurs MCP (Model‑Control‑Plane) et les relie aux agents correspondants, fournissant ainsi une vue d’ensemble exhaustive de l’infrastructure d’IA déployée. Les résultats sont présentés dans un tableau de bord centralisé, permettant aux responsables de voir immédiatement quels agents sont actifs, où ils s’exécutent et qui en est le responsable.

Le module Secure examine en temps réel chaque combinaison d’appel d’outil et d’argumentation par rapport à des politiques pré‑définies. Si un appel ne respecte pas les règles établies, Secure peut exiger une autorisation distincte et authentifiée avant d’exécuter l’action. Cette mécanique empêche les opérations d’agents non autorisées ou potentiellement risquées de passer inaperçues. RSA précise que la vérification en ligne n’introduit aucune latence supplémentaire au réseau, car le moteur de politiques est intégré directement dans le flux de données. Les entreprises reçoivent également des journaux détaillés des appels refusés, ce qui renforce la traçabilité et améliore les rapports d’audit.

Comment fonctionne la gouvernance ?

Govern, le troisième module d’Agent ID, assure l’enregistrement complet de toutes les actions réalisées par les agents d’IA. Chaque interaction est classée selon l’un des dix cadres de règles prédéfinis, couvrant les exigences réglementaires courantes – de la protection des données aux règles financières en passant par les normes de santé. Les preuves collectées peuvent être transmises automatiquement aux autorités de régulation ou aux équipes d’audit interne. RSA prévoit de rendre Govern disponible au grand public au cours du premier semestre 2027, tandis que les modules Discover et Secure seront déjà opérationnels pour les clients à partir du 16 novembre 2026. L’architecture modulaire permet aux organisations de commencer avec les deux premiers composants et d’ajouter la gouvernance ultérieurement, selon leurs besoins et leurs priorités.

RSA fournit, comme unique indication quantitative, le fait qu’une grande banque aurait déjà plus de 4 000 agents en service, tous soumis à une politique interne d’interdiction. Cette donnée provient directement de RSA et n’a pas été vérifiée par des études de marché indépendantes. Néanmoins, elle illustre l’ampleur déjà atteinte par les agents d’IA dans des environnements fortement régulés et souligne la nécessité d’une couche structurée d’identité et de contrôle.

Implications pour la responsabilité et l’organisation opérationnelle

L’introduction d’Agent ID offre aux entreprises un instrument qui clarifie la répartition des responsabilités. Lorsqu’un agent non autorisé prend une décision erronée, les journaux de Discover et de Govern permettent de déterminer avec précision quel développeur, quelle équipe ou quel prestataire était en charge du contrôle à ce moment‑là. Cette transparence renforce l’applicabilité juridique des réclamations en matière de responsabilité et diminue le risque d’amendes, car les exigences réglementaires peuvent être démontrées comme respectées. Sur le plan opérationnel, cela implique que les services informatiques et de conformité doivent travailler en étroite collaboration pour implémenter les politiques dans Secure, réaliser des analyses régulières avec Discover et examiner les rapports de gouvernance issus de Govern.

• Mise en place d’un inventaire centralisé des agents via le module Discover.
• Définition et implémentation de politiques dans Secure pour tous les appels d’outils critiques.
• Intégration de Govern aux processus d’audit et de reporting existants.
• Formation des départements fonctionnels aux responsabilités liées aux agents d’IA.
• Révision périodique et mise à jour des dix cadres de règles en fonction des évolutions réglementaires.

Désormais, les entreprises soumises à une réglementation stricte doivent intégrer Agent ID dans leur stratégie de conformité afin de répondre aux exigences croissantes de transparence et de contrôle des agents d’IA. La disponibilité de Discover et Secure à compter du 16 novembre 2026 permet un démarrage rapide, tandis que Govern, prévu pour l’année suivante, assurera une traçabilité complète. Les organisations qui ne traiteront pas cette nouvelle obligation de façon proactive s’exposent non seulement à des sanctions réglementaires, mais également à des incertitudes opérationnelles, car des agents non identifiés pourraient prendre des décisions imprévisibles. Agent ID représente ainsi un tournant clair : les identités des agents passent d’une pratique optionnelle à une exigence incontournable pour chaque organisation réglementée.