Un rapport Pathlock a révélé que 53 % des organisations ne peuvent pas vérifier pleinement ce que font les agents d’IA dans les systèmes d’entreprise, même s’ils acquièrent une autorité sur les flux de travail en matière de finances, de ressources humaines, d’approvisionnement et de chaîne d’approvisionnement.
Les agents IA sont désormais autorisés à créer des dossiers commerciaux, à approuver des transactions et à exécuter des flux de travail financiers. La société de sécurité ERP Pathlock affirme que la plupart des organisations ne savent pas si c’est tout ce qu’elles font.
Le rapport 2026 sur les écarts de gouvernance de l’IA de l’entreprise révèle que 79 % des organisations ne disposent pas d’une équipe dédiée à la gouvernance de l’IA, bien que les agents d’IA soient de plus en plus connectés à des opérations critiques pour l’entreprise telles que les applications de finance, d’approvisionnement, de ressources humaines et de chaîne d’approvisionnement.
Plus de la moitié des organisations interrogées par Pathlock ont déclaré qu’elles ne pouvaient pas vérifier entièrement les actions exécutées par les agents d’IA sur ces systèmes d’entreprise.
«Pendant des décennies, la gouvernance s’est concentrée sur le contrôle de qui pouvait accéder à un système», a déclaré Susan Stapleton, experte GRC chez Pathlock. « Les agents IA posent un défi différent : comprendre ce qui s’est réellement passé une fois l’accès accordé. » La capacité de vérifier, tracer, enquêter et expliquer les actions basées sur l’IA en temps réel dans les applications métier déterminera la préparation d’une organisation à l’IA, a-t-elle ajouté.
Agents passant de copilotes à opérateurs financiers
L’enquête suggère que les entreprises confient déjà aux agents d’IA des responsabilités qui, jusqu’à récemment, appartenaient exclusivement aux employés.
Parmi les personnes interrogées, 38 % ont déclaré que les agents IA peuvent créer ou modifier des fournisseurs et d’autres enregistrements commerciaux, 35 % leur permettent d’exécuter des flux de travail inter-systèmes et 28 % leur permettent d’approuver des transactions. Plus d’un tiers (36 %) ont déjà déployé ou mettent activement en œuvre des agents d’IA dans des environnements financiers et comptables.
Chris Radkowski, un autre expert GRC chez Pathlock, a déclaré que trois tendances convergent simultanément : la croissance des identités machines, des applications d’entreprise de plus en plus interconnectées et des agents d’IA capables d’exécuter des processus métier de manière autonome.
Les résultats illustrent pourquoi les identités des machines deviennent un problème pour la sécurité, a déclaré Crystal Morin, stratège principale en cybersécurité chez Sysdig. « À mesure que l’automatisation et le développement basé sur l’IA explosent, le fossé entre les identités humaine et machine devient l’un des défis de sécurité déterminants de notre époque », a déclaré Morin. « Les entreprises doivent considérer les identités des machines comme un nouveau pare-feu. »
La gouvernance rattrape toujours son retard
Même si les entreprises ont commencé à introduire des contrôles de gouvernance, le rapport affirme que la plupart restent ancrées dans des modèles de sécurité centrés sur l’humain, qui se concentrent sur qui reçoit l’accès plutôt que sur ce que font réellement les systèmes autonomes une fois l’accès accordé.
Seules 19 % des organisations déclarent disposer d’une visibilité complète et en temps réel sur l’activité des agents d’IA sur l’ensemble des systèmes d’entreprise, tandis que 53 % admettent qu’elles ne peuvent pas vérifier entièrement les actions pilotées par l’IA. Près de la moitié (48 %) ne peuvent pas retracer l’activité de l’IA de bout en bout sur plusieurs systèmes, ce qui rend difficile la reconstitution de la manière dont un résultat piloté par l’IA a été produit.
Les capacités d’enquête restent tout aussi immatures. Seulement 13 % peuvent enquêter sur les incidents d’IA en temps réel, tandis que 22 % ne peuvent pas du tout enquêter de manière fiable sur les actions pilotées par l’IA.
Ram Varadarajan, PDG d’Acalvio, a déclaré qu’il est peu probable que les approches de sécurité traditionnelles soient utiles. « L’IA à usage général et les audits de sécurité traditionnels en « cochant la case » sont un faux réconfort lorsque la bataille réelle se déroule en quelques millisecondes », a-t-il déclaré. « Pour conserver leur avantage concurrentiel et protéger leur valorisation, les entreprises doivent passer d’une défense réactive à une défense active basée sur la théorie des jeux. »
