Agents d’IA dans le secteur public et le déficit de gouvernance

Un nouvel agent de la fonction publique n’obtient pas l’accès à tous les dossiers citoyens dès son premier jour. Il reçoit un accès limité à son rôle, une supervision de la part d’un responsable, et chaque action qu’il effectue est tracée. Pourtant, la plupart des organismes qui déploient des agents IA sur leurs systèmes de gestion de dossiers négligent ces trois éléments. L’agent IA est connecté, bénéficie d’un accès large pour aller vite, et fonctionne avec beaucoup moins de supervision que le plus récent et le moins expérimenté des agents humains.

Ce fossé n’est pas un simple oubli. Un agent IA capable de lire des dossiers citoyens, d’envoyer des communications ou de transférer des données pour le compte d’un organisme agit comme un véritable acteur ayant accès à des systèmes sensibles, tout comme un agent de la fonction publique. Cet article explique pourquoi les agents IA dans le secteur public bénéficient systématiquement d’une gouvernance moindre que les humains, et ce qu’implique réellement l’application du même niveau d’exigence.

Résumé Exécutif

Les organismes qui n’accorderaient jamais à un nouvel agent de la fonction publique un accès illimité à tous les dossiers citoyens le font pourtant régulièrement pour des agents IA, car leur déploiement est considéré comme un simple problème d’intégration technique, et non de gouvernance. Résultat : des systèmes capables de lire, transférer et envoyer des données citoyennes avec moins de contrôles que ceux qui les ont conçus. Pour les responsables IT et conformité, la question est simple : ce niveau d’accès serait-il acceptable si l’acteur était une personne, et si ce n’est pas le cas, pourquoi l’est-il pour un agent IA ?

Résumé des Points Clés

1. Les agents IA dans le secteur public bénéficient souvent d’un accès plus large aux données citoyennes que n’importe quel nouvel arrivant. La rapidité d’adoption a dépassé les règles de gouvernance de base déjà appliquées aux humains.
2. Un agent doit hériter des autorisations de la personne qui l’autorise, et non disposer d’identifiants permanents distincts. Un compte de service large pour un agent IA recrée exactement les accès surdimensionnés que les organismes ont mis des années à éliminer pour les humains.
3. Les actions sensibles, comme le partage externe de dossiers citoyens, doivent toujours passer par une étape de validation, quel que soit l’initiateur.
4. Toute action d’un agent IA doit être attribuée à une personne précise et consignée avec la même rigueur que l’activité humaine. Un journal d’audit qui se contente de « l’IA l’a fait » n’est pas un vrai journal d’audit.
5. Mettre en place une gouvernance adaptée aux agents IA dès le départ ne nécessite pas de nouvelle infrastructure. Le modèle de contrôle d’accès, de validation et de journalisation déjà utilisé pour le personnel s’applique directement aux agents IA.

Pourquoi les Agents IA Sont Accueillis Avec Moins de Contrôle Que les Humains

Ce décalage n’est que rarement volontaire. Il résulte de la rapidité avec laquelle les fonctions des agents IA sont passées de l’expérimental à l’opérationnel, et de la différence de perception entre équipes techniques et équipes conformité.

La Vitesse d’Adoption Dépasse la Gouvernance Par Conception

Connecter un agent IA à un système de gestion de dossiers est souvent une opération de configuration qui prend quelques minutes : on accorde une clé API, on autorise un périmètre, et c’est terminé. La gouvernance équivalente pour un nouvel agent humain, avec des rôles définis et une revue documentée des accès, a été pensée pour des arrivées à un rythme humain.

Considérer l’Agent Comme un Simple Outil Sous-estime ses Capacités Réelles

Parce qu’on décrit un agent IA comme un outil plutôt qu’un utilisateur, il est facile de le considérer comme un logiciel, et non comme une personne ayant accès à des données citoyennes. Un outil capable de lire de façon autonome un dossier citoyen, de décider de le transmettre ou d’agir sur des instructions intégrées au contenu qu’il traite exerce un jugement qu’un simple tableur n’a pas.

Ce que Signifie Réellement « Même Gouvernance que pour les Humains »

Étendre la gouvernance appliquée aux humains aux agents IA ne relève pas d’une nouvelle discipline. Il s’agit d’appliquer systématiquement aux agents les trois mêmes composantes déjà en vigueur pour les personnes.

Héritage d’Identité Plutôt que Privilèges Permanents

Le choix de conception le plus important consiste à déterminer si un agent fonctionne sous ses propres identifiants permanents et larges, ou s’il hérite des autorisations précises de la personne qui l’a autorisé. Un compte de service permanent et étendu pour un agent IA recrée exactement le type de compte surdimensionné que les équipes de sécurité cherchent à éliminer depuis des années. Un agent qui ne peut agir que dans le périmètre de l’utilisateur authentifié est limité de la même façon qu’un collègue humain agissant pour le compte d’un autre.

Validation Avant les Actions à Enjeu

Un agent de la fonction publique qui partage des dossiers citoyens avec l’externe doit généralement valider son action avant qu’elle ne soit effective. Un agent IA qui tente la même opération doit rencontrer le même type de validation.

Attribution et Audit, Pas Seulement des Journaux d’Activité

Un journal d’audit digne de ce nom attribue chaque action à une personne responsable. Les actions d’un agent IA doivent respecter la même exigence : il ne suffit pas de noter « un processus automatisé a fait ceci », il faut savoir quel utilisateur a autorisé l’agent, et ce qu’il a réellement fait.

Où le Fossé se Manifeste Concrètement dans le Secteur Public

Le cas le plus courant : un identifiant large, délivré une fois et valable indéfiniment, combiné à des agents configurés pour partager des dossiers citoyens sans validation, car ajouter cette étape demande plus d’efforts techniques que de laisser l’agent agir. Même lorsque l’activité est tracée, le journal ne permet souvent pas d’identifier la personne responsable d’une action donnée.

Construire la Gouvernance des Agents sur le Modèle d’Accès Déjà en Place

La voie pragmatique n’est pas de créer un nouveau cadre de gouvernance spécifique à l’IA, mais d’appliquer, de façon cohérente, le modèle d’identité, de validation et d’audit déjà utilisé pour le personnel, aux agents IA.

Comment un Data Control Plane Applique une Gouvernance de Niveau Humain aux Agents IA

Le Data Control Plane de Kiteworks connecte les agents IA via une interface sécurisée basée sur l’authentification OAuth 2.0, où chaque opération d’agent hérite des autorisations existantes de l’utilisateur authentifié, et non d’un identifiant permanent distinct. Des règles basées sur les attributs évaluent dynamiquement les requêtes des agents comme s’il s’agissait de requêtes humaines. Les actions sensibles, comme les modifications de membres ou les envois externes, nécessitent une validation explicite avant d’être exécutées, et les administrateurs peuvent désactiver globalement les outils destructifs. Chaque opération d’agent est enregistrée dans un journal d’audit infalsifiable et non limité, attribuée à l’utilisateur autorisant et intégrée directement aux outils SIEM, rendant l’activité de l’agent aussi traçable et responsable que celle d’un agent humain.

Les organismes qui souhaitent vérifier si leurs déploiements actuels d’agents IA passeraient la même revue d’accès qu’un nouvel arrivant peuvent réserver une démo personnalisée pour découvrir comment la gouvernance des agents, basée sur l’identité et l’audit, s’applique à leur environnement.