Sierra et Meta lancent le protocole ouvert Personal Agent pour les agents IA en entreprise

Sierra et Meta ont le 6 octobre 2026 présenté le Personal Agent Protocol (PAP), une spécification ouverte qui offre aux entreprises et aux agents IA personnels un cadre commun pour l'authentification, l'autorisation et la gestion des sessions. L'initiative bénéficie du soutien d'un large groupe d'entreprises, dont Genesys, Instinct, Rocket, Shopify, Stripe et Walmart. L'objectif est de créer une méthode transparente et interopérable permettant à un agent IA, piloté par un consommateur, de découvrir l'offre d'un site web, de se connecter d'abord en tant qu'invité, puis, si nécessaire, d'obtenir un accès aux fonctions du compte via des autorisations OAuth.

Comment fonctionnent l'authentification et l'autorisation ?

Selon l'annonce de Sierra, un agent IA personnel débute chaque interaction en analysant le contenu public d'un site web. Si l'agent ne doit qu'extraire des informations, il reste en mode invité. Pour les tâches nécessitant un compte, comme passer une commande ou modifier des paramètres, l'agent demande au consommateur une autorisation explicite via un flux OAuth. Le consommateur peut alors choisir entre des droits en lecture seule ou des droits d'écriture, ce qui contraint l'agent à n'exécuter que les actions approuvées par l'utilisateur.

Les entreprises décident ensuite comment l'agent accède à leurs systèmes. Elles peuvent opter pour une interaction simple via des pages web classiques, ou adopter une approche plus structurée en s'appuyant sur des standards d'API existants tels que le MCP (Meta Connect Protocol) et OpenAPI. Il est également possible de mettre en place un agent d'entreprise propre, spécialement adapté aux processus internes. Le protocole garantit que la session de l'agent reste cohérente sur différents canaux de communication – par exemple le web, les applications mobiles ou la messagerie – de sorte que l'utilisateur n'ait pas à se reconnecter à chaque fois.

Qui participe et quelles sont les implications pour le marché ?

Le premier tour de participants regroupe un mélange d'acteurs technologiques et de détaillants. Genesys et Instinct apportent leur expertise en contact client et en IA conversationnelle, tandis que Rocket se concentre sur l'infrastructure cloud. Shopify et Stripe, deux plateformes déjà très impliquées dans le commerce électronique et le traitement des paiements, ont confirmé leur participation. Walmart, l'un des plus grands détaillants mondiaux, teste le protocole sur ses canaux numériques. Cette diversité montre que le Personal Agent Protocol n'est pas limité à un seul secteur, mais qu'il peut aider un large éventail d'entreprises à intégrer des agents IA de façon sécurisée et standardisée.

The Next Web a noté que Stripe et Shopify participent également au Trusted Agent Protocol concurrent de Visa. Ce développement parallèle souligne l'intérêt croissant de l'industrie des paiements pour des agents IA standardisés. En même temps, The Next Web souligne que la réglementation européenne sur l'authentification forte du client (SCA) ne propose pas encore de solution aux défis spécifiques posés par les agents IA personnels. Le Personal Agent Protocol ne répond pas directement à cette contrainte, mais il fournit un cadre dans lequel les exigences européennes futures pourraient être intégrées.

Feuille de route, ateliers et implémentation de référence

La première version de la spécification, v0.1, sera publiée plus tard en octobre. En parallèle, Sierra et Meta organiseront une série d'ateliers de conception où les partenaires pourront détailler les aspects techniques et fournir des retours. Une implémentation de référence sera mise à disposition pour offrir aux développeurs une base concrète afin de construire des agents compatibles et des intégrations d'entreprise. Cette étape est cruciale pour accélérer l'adoption, car elle permet aux développeurs de tester un agent fonctionnel contre un ensemble de exigences standardisées sans devoir mener de recherches approfondies en interne.

Bien que les fonctionnalités de base – accès invité, autorisations OAuth, droits en lecture et écriture, et conservation de la session multi‑canal – soient déjà définies, des extensions importantes sont prévues pour l'avenir. L'annonce mentionne les paiements, les notifications push et des autorisations plus granulaires comme sujets qui seront développés dans les versions ultérieures de la feuille de route. Ces éléments sont essentiels pour un déploiement commercial complet, car ils permettent d'exécuter des transactions en toute sécurité et d'envoyer des mises à jour en temps réel aux utilisateurs sans devoir demander une nouvelle autorisation à chaque fois.

Limitations et questions ouvertes

Le protocole est encore à un stade précoce et plusieurs limites sont explicitement mentionnées. Premièrement, aucune solution n'est encore proposée pour l'authentification forte du client européenne, ce qui oblige les entreprises soumises à cette réglementation à mettre en place des mesures supplémentaires. Deuxièmement, les paiements et les notifications push restent hors du périmètre de la version v0.1, ce qui signifie que les entreprises qui ont besoin de ces fonctions devront développer leurs propres extensions jusqu'à ce que la norme les prenne en charge. Enfin, l'interopérabilité entre différents agents d'entreprise dépend encore des choix d'implémentation de chaque société, ce qui peut entraîner des variations dans la manière dont les agents s'authentifient.

Avec le lancement du Personal Agent Protocol, la façon dont les consommateurs interagissent avec les agents IA dans l'économie numérique évolue. Les consommateurs obtiennent davantage de contrôle sur les droits qu'ils accordent à un agent, tandis que les entreprises bénéficient d'une méthode standardisée et sécurisée pour autoriser les agents à accéder à leurs systèmes. Dans les semaines à venir, la publication de la spécification, les ateliers et l'implémentation de référence constitueront les premières étapes concrètes pour mettre ce protocole ouvert en pratique.