AssurTech / InsurTech
Saviynt, la plateforme de sécurité des identités à l’ère de l’IA, publie les résultats de son rapport 2026 CISO AI Risk Report, qui révèle un décalage croissant entre l’adoption des agents IA et la capacité des entreprises à gouverner leurs accès. Alors que ces outils accèdent désormais à des applications critiques, manipulent des données sensibles et exécutent des actions de manière autonome, la plupart des organisations ne les gouvernent pas encore comme des identités numériques à part entière.
L’étude de Saviynt montre que le risque ne réside pas seulement dans l’adoption de l’IA, mais aussi dans le décalage entre son déploiement et la capacité à en contrôler les accès. Conçus pour gérer des utilisateurs humains, des applications et des usages plus prévisibles, les modèles traditionnels de gestion des identités peinent encore à répondre aux spécificités des agents IA, capables d’exécuter des actions complexes à grande échelle et de rendre plus difficile l’attribution des responsabilités.
Ainsi, 71 % des RSSI déclarent que des outils d’IA ont déjà accès à des systèmes critiques tels que Salesforce ou SAP, mais seuls 16 % considèrent que ces accès sont aujourd’hui correctement gouvernés. Le manque de visibilité apparaît également comme un risque majeur, puisque 92 % des organisations n’ont pas une visibilité complète de leurs identités IA, tandis que 95 % doutent de leur capacité à détecter ou gérer un usage abusif de ces identités. En parallèle, 86 % des organisations ne disposent pas de politiques d’accès complètes et effectivement appliquées aux identités IA.
L’exposition au risque n’est plus théorique. Trois quarts des RSSI interrogés (75 %) déclarent avoir déjà identifié des outils d’IA générative non autorisés dans leur environnement. Près de la moitié d’entre eux (47 %) ont observé des comportements non intentionnels ou non autorisés de la part d’agents IA, tandis qu’un tiers (33 %) rapporte avoir connu un incident ou quasi-incident de sécurité impliquant ces technologies au cours des douze derniers mois. Pourtant, seules 25 % des organisations utilisent aujourd’hui des contrôles ou des outils de supervision spécifiquement conçus pour les usages IA.
Pour Saviynt, ces résultats illustrent l’émergence d’une nouvelle catégorie d’identités numériques. Dès lors qu’un agent IA dispose d’accès, de privilèges et d’une capacité d’action autonome, il doit être considéré comme une identité à gouverner au même titre qu’un utilisateur, une application ou un service.
Afin de réduire leur exposition, les organisations doivent renforcer leur visibilité sur les identités IA, inventorier les accès associés aux agents et applications d’IA, surveiller en continu leurs activités, appliquer le principe du moindre privilège, automatiser la suppression des accès inutilisés et mettre en place des contrôles adaptés aux systèmes capables d’agir de manière autonome.
« Pendant des années, les organisations ont concentré leurs efforts sur la gestion des identités humaines et des comptes applicatifs. L’essor des agents IA introduit une nouvelle catégorie d’identités capables d’agir de manière autonome à grande échelle. Les entreprises doivent désormais savoir quelles identités IA existent dans leur environnement, quels accès leur ont été accordés et comment détecter rapidement tout comportement anormal ou toute compromission », déclare Jean-François Pruvot, Vice-Président Europe du Sud de Saviynt.
Méthodologie
Le 2026 CISO AI Risk Report, présenté par Saviynt, a été réalisé par le réseau mondial de professionnels de la cybersécurité Cybersecurity Insiders. L’étude repose sur une enquête menée auprès de 235 RSSI, DSI et responsables seniors de la sécurité aux États-Unis et au Royaume-Uni. Tous les répondants travaillent au sein d’organisations de plus de 5 000 employés, issues notamment des secteurs de la technologie, des services financiers, de la santé, des sciences de la vie et de l’industrie. Les participants ont été interrogés sur l’accès des identités IA aux systèmes critiques, les dérives de privilèges, les comportements inattendus, le shadow AI, la maturité des politiques de gouvernance ainsi que la capacité des outils IAM existants à contrôler des accès autonomes. La marge d’erreur est de ±6,4 %, avec un niveau de confiance de 95 %.
Ainsi, 71 % des RSSI déclarent que des outils d’IA ont déjà accès à des systèmes critiques tels que Salesforce ou SAP, mais seuls 16 % considèrent que ces accès sont aujourd’hui correctement gouvernés. Le manque de visibilité apparaît également comme un risque majeur, puisque 92 % des organisations n’ont pas une visibilité complète de leurs identités IA, tandis que 95 % doutent de leur capacité à détecter ou gérer un usage abusif de ces identités. En parallèle, 86 % des organisations ne disposent pas de politiques d’accès complètes et effectivement appliquées aux identités IA.
L’exposition au risque n’est plus théorique. Trois quarts des RSSI interrogés (75 %) déclarent avoir déjà identifié des outils d’IA générative non autorisés dans leur environnement. Près de la moitié d’entre eux (47 %) ont observé des comportements non intentionnels ou non autorisés de la part d’agents IA, tandis qu’un tiers (33 %) rapporte avoir connu un incident ou quasi-incident de sécurité impliquant ces technologies au cours des douze derniers mois. Pourtant, seules 25 % des organisations utilisent aujourd’hui des contrôles ou des outils de supervision spécifiquement conçus pour les usages IA.
Pour Saviynt, ces résultats illustrent l’émergence d’une nouvelle catégorie d’identités numériques. Dès lors qu’un agent IA dispose d’accès, de privilèges et d’une capacité d’action autonome, il doit être considéré comme une identité à gouverner au même titre qu’un utilisateur, une application ou un service.
Afin de réduire leur exposition, les organisations doivent renforcer leur visibilité sur les identités IA, inventorier les accès associés aux agents et applications d’IA, surveiller en continu leurs activités, appliquer le principe du moindre privilège, automatiser la suppression des accès inutilisés et mettre en place des contrôles adaptés aux systèmes capables d’agir de manière autonome.
« Pendant des années, les organisations ont concentré leurs efforts sur la gestion des identités humaines et des comptes applicatifs. L’essor des agents IA introduit une nouvelle catégorie d’identités capables d’agir de manière autonome à grande échelle. Les entreprises doivent désormais savoir quelles identités IA existent dans leur environnement, quels accès leur ont été accordés et comment détecter rapidement tout comportement anormal ou toute compromission », déclare Jean-François Pruvot, Vice-Président Europe du Sud de Saviynt.
Méthodologie
Le 2026 CISO AI Risk Report, présenté par Saviynt, a été réalisé par le réseau mondial de professionnels de la cybersécurité Cybersecurity Insiders. L’étude repose sur une enquête menée auprès de 235 RSSI, DSI et responsables seniors de la sécurité aux États-Unis et au Royaume-Uni. Tous les répondants travaillent au sein d’organisations de plus de 5 000 employés, issues notamment des secteurs de la technologie, des services financiers, de la santé, des sciences de la vie et de l’industrie. Les participants ont été interrogés sur l’accès des identités IA aux systèmes critiques, les dérives de privilèges, les comportements inattendus, le shadow AI, la maturité des politiques de gouvernance ainsi que la capacité des outils IAM existants à contrôler des accès autonomes. La marge d’erreur est de ±6,4 %, avec un niveau de confiance de 95 %.
À propos de Saviynt
La plateforme d’identité de Saviynt gère et gouverne les accès humains, non humains et liés à l’IA à l’ensemble des applications, des données et des processus métiers d’une organisation. Saviynt offre un contrôle de niveau entreprise sur l’IA, permettant aux organisations d’accélérer en toute sécurité leur déploiement et leur utilisation de l’IA dès aujourd’hui. Les clients font confiance à Saviynt pour protéger leurs actifs numériques, améliorer l’efficacité opérationnelle et réduire les coûts de conformité. Saviynt est reconnu comme un leader de la sécurité des identités, avec des solutions qui protègent et renforcent les plus grandes marques mondiales, les entreprises du Fortune 500 et les institutions gouvernementales.
La plateforme d’identité de Saviynt gère et gouverne les accès humains, non humains et liés à l’IA à l’ensemble des applications, des données et des processus métiers d’une organisation. Saviynt offre un contrôle de niveau entreprise sur l’IA, permettant aux organisations d’accélérer en toute sécurité leur déploiement et leur utilisation de l’IA dès aujourd’hui. Les clients font confiance à Saviynt pour protéger leurs actifs numériques, améliorer l’efficacité opérationnelle et réduire les coûts de conformité. Saviynt est reconnu comme un leader de la sécurité des identités, avec des solutions qui protègent et renforcent les plus grandes marques mondiales, les entreprises du Fortune 500 et les institutions gouvernementales.
Accueil
Envoyer à un ami
Version imprimable
Augmenter la taille du texte
Diminuer la taille du texte