Depuis le 4 novembre, tout salarié peut créer un modèle d'identité d'agent (agent identity blueprint) dans Microsoft Entra. C'est le réglage par défaut, d'après la documentation Microsoft Entra Agent ID. Rien à activer, rien à demander. Un administrateur peut toutefois désactiver ce droit dans les paramètres utilisateurs d'Entra.
La question pour la DSI a changé. Il ne s'agit plus de bloquer, mais de décider qui a le droit de créer des agents, avec quelles règles et quel suivi.
Ce qui a changé le 4 novembre : la création passe côté métier
Une identité d'agent est un acteur de plus dans votre annuaire. Elle a des accès, elle agit, elle laisse des traces. Quand n'importe quel salarié peut créer un modèle d'identité d'agent, le parc d'agents grandit sans que personne ne l'ait décidé.
Jusqu'ici, la gouvernance consistait à autoriser ce qui entrait. Désormais, il faut organiser ce qui existe déjà et ce qui apparaîtra demain. Pour une DSI, le rôle change : on passe de gardien de la porte à architecte du cadre.
C'est un changement de posture. La gouvernance des agents n'est plus seulement une question de sécurité. C'est une décision d'adoption : vous choisissez comment l'usage de l'IA va se développer dans votre entreprise.
Pourquoi tout bloquer ne tient pas
Le réflexe est compréhensible, surtout côté RSSI. Mais dans beaucoup de cas, un blocage total produit l'inverse de l'effet recherché.
- Les équipes qui ont un vrai besoin contournent : outils personnels, comptes externes, automatisations hors de votre vue
- Vous perdez la visibilité, donc la capacité de mesurer ce qui est utilisé et ce que cela rapporte
- Le métier comprend que l'IA est un risque, pas une opportunité, et l'adoption s'arrête ou part ailleurs
Le blocage donne une impression de contrôle. L'usage, lui, continue sans vous.
L'inverse ne vaut pas mieux. Si vous laissez faire, vous verrez apparaître des agents orphelins : créés pour un test ou un projet ponctuel, puis oubliés. Leur créateur change de poste ou quitte l'entreprise. L'agent reste, avec ses accès, et personne ne sait à qui il appartient ni s'il sert encore.
Le bon objectif n'est pas zéro agent. C'est zéro agent invisible, et un maximum d'agents utiles et suivis.
Les trois décisions à prendre maintenant
Entre blocage et laisser-faire, il existe un cadre simple : qui crée, qui valide, qui supprime.
Qui crée
Tous les salariés n'ont pas besoin de ce droit dès le premier jour. Décidez par populations : des champions formés dans chaque métier, des équipes projet identifiées, l'IT. Commencez restreint, puis élargissez à mesure que l'usage se structure.
Un critère utile : celui qui crée doit pouvoir expliquer à quoi sert l'agent, quelles données il touche et qui en répond. S'il ne le peut pas, le droit est prématuré.
Restreindre n'a de sens que si un chemin clair existe pour obtenir un agent. Sans lui, vous retombez dans le contournement.
Qui valide
Tous les agents ne demandent pas le même contrôle. Un agent qui résume les documents de son utilisateur n'a pas le même profil qu'un agent qui accède à des données sensibles ou agit au nom d'un service.
Définissez deux ou trois niveaux de risque. Pour chacun, nommez qui dit oui : le manager, l'IT, la sécurité, le juridique ou la conformité. L'objectif : une réponse rapide pour les cas simples, un examen sérieux pour les cas sensibles.
Documentez chaque décision. Dans six mois, vous devrez savoir pourquoi tel agent a été accepté.
Qui supprime
C'est la décision la plus oubliée. Chaque agent doit avoir un propriétaire nommé, une personne et non une équipe. Il répond de l'agent : son utilité, ses accès, sa date de fin.
Le cycle de vie tient en trois règles :
- Un propriétaire désigné dès la création
- Un réexamen régulier : l'agent sert-il encore, ses accès sont-ils justifiés ?
- Une suppression ou une réaffectation décidée dès que le propriétaire change de poste ou part
Par où commencer cette semaine
Inutile d'attendre un programme de six mois. Cinq actions suffisent pour reprendre la main.
- Vérifiez le réglage actuel dans les paramètres utilisateurs de votre environnement Entra. Savoir si le défaut s'applique chez vous est le préalable.
- Faites l'inventaire des agents existants : qui les a créés, avec quels accès, pour quel usage.
- Réunissez une heure la DSI, le RSSI, les métiers et le juridique. Tranchez qui crée, qui valide, qui supprime pour une première version.
- Nommez un propriétaire pour chaque agent existant. Ceux qui n'en ont pas sont vos premiers sujets.
- Annoncez la règle aux équipes, avec un moyen simple de demander un agent.
Une première version imparfaite vaut mieux que le réglage par défaut. Vous l'ajustez avec ce que l'usage vous apprend.
Pour mesurer l'effet, suivez deux choses simples : le nombre d'agents avec propriétaire et le nombre d'agents réellement utilisés. Elles montrent si la gouvernance sert l'adoption.
Décider avant que le défaut ne décide
Le réglage par défaut a déjà tranché à votre place : tout le monde peut créer. Vous pouvez le garder, le restreindre ou l'encadrer, mais il faut le décider. Poser ce cadre tôt permet de garder à la fois l'adoption et la maîtrise.
Sources : documentation Microsoft Entra Agent ID et message Microsoft MC1506733, « Review who can create agents in Microsoft Entra ».
Vous avez un programme IA qui avance moins vite que prévu ? Parlons-en pour identifier ce qui bloque, réaligner les parties prenantes et remettre l'adoption en mouvement.