Agents IA autonomes en entreprise : le guide RSSI 2026 pour reprendre le contrôle des « Shadow Agents »

En une phrase : un agent IA autonome n'est pas un chatbot — c'est un logiciel qui décide et agit avec des droits d'accès, et la question à lui poser n'est pas « que sait-il dire ? » mais « que peut-il faire, avec quels droits, et qui le voit ? ».

Ce guide ne commente pas l'IA agentique. Il vous dit comment découvrir, encadrer et tracer les agents déjà présents dans votre système d'information, ce qui vous oblige aujourd'hui — et ce qui vous obligera le 2 décembre 2027.

Introduction : le collaborateur qui n'a ni badge ni contrat

Un agent trie les candidatures reçues pendant la nuit et écarte des CV. Une automatisation branchée par le marketing envoie des messages au nom de l'entreprise. Un assistant de développement lit le dépôt, écrit des fichiers et ouvre des demandes de fusion. Un connecteur relie un modèle à la boîte mail partagée d'une équipe.

Aucun de ces quatre n'a de compte nominatif. Trois utilisent une clé d'API créée pour autre chose. Aucun n'apparaît dans un inventaire.

C'est le sujet de ce guide, et le nom qu'on lui donne : les Shadow Agents.

1. Un agent n'est pas un chatbot, et la différence est le risque

Un agent IA autonome poursuit un objectif en plusieurs étapes, prend des décisions intermédiaires et agit sur son environnement — appeler des API, lire et écrire des fichiers, envoyer des e-mails, exécuter du code — sans validation humaine à chaque pas. Là où un assistant conversationnel répond, l'agent fait.

La différence n'est pas cosmétique. Un chatbot mal utilisé expose une donnée dans une réponse. Un agent mal gouverné exécute une action irréversible : il supprime, il envoie, il engage.

Trois propriétés définissent l'agent, et ce sont elles qu'on gouverne :

• l'autonomie — il choisit lui-même la suite d'actions ;
• l'usage d'outils — il se connecte à des systèmes réels, souvent via des protocoles comme MCP, et agit avec des droits ;
• la mémoire — il conserve un contexte entre les interactions, ce qui crée des risques propres côté données personnelles.

2. Le phénomène « Shadow Agents »

Vous connaissez le Shadow AI : des salariés qui utilisent ChatGPT ou Copilot sans autorisation. Le Shadow Agent est un problème distinct, pas une intensification du même : ce n'est plus un usage humain non déclaré, c'est un logiciel qui agit seul, avec des droits, sans inventaire ni traçabilité.

Les ordres de grandeur 2026 convergent. Gartner projette que 40 % des applications d'entreprise embarqueront des agents IA d'ici fin 2026, contre moins de 5 % un an plus tôt. Deloitte relève que 74 % des entreprises prévoient d'en déployer sous deux ans, mais que 21 % seulement déclarent une gouvernance mature. Côté identités, une minorité d'organisations traite ses agents comme des identités à part entière : le reste les confond avec des comptes de service, ou partage une clé d'API entre plusieurs agents.

C'est la définition même d'un angle mort : quand deux agents partagent une clé, plus personne ne peut répondre à la question « lequel a agi ? ».

3. Ce que l'ANSSI, la CNIL et l'OWASP ont dit en huit mois

ANSSI / CERT-FR — 13 avril 2026

Le bulletin CERTFR-2026-ACT-016 déconseille formellement le déploiement en production d'agents IA autonomes sur les postes de travail. Le CERT-FR relève que ces agents, contrairement aux chatbots, exécutent des commandes, pilotent le navigateur, lisent et écrivent des fichiers, gèrent l'agenda et envoient des courriels — le tout déclenché par un simple message. Les attaques documentées incluent des greffons malveillants et le détournement d'agents par courriel piégé.

Deux recommandations structurent la suite : validation humaine obligatoire pour toute action à effet de bord, et exécution en bac à sable, sans accès aux données sensibles.

Ce n'est pas une interdiction de l'IA agentique. C'est : gouvernez avant de déployer.

CNIL + CIANum — 20 juillet 2026

La CNIL et le Conseil de l'IA et du numérique ont publié une note conjointe exploratoire — elle ne fixe pas d'attentes réglementaires définitives et n'annonce pas de lignes directrices. Son constat : parce qu'un agent accède à de multiples sources et agit directement sur son environnement pour le compte de l'utilisateur, il provoque un changement d'échelle qui crée un risque réel de perte de maîtrise sur les données personnelles, et met en tension les principes du RGPD.

Le point le plus utile de la note est aussi le plus simple : le cadre existant s'applique déjà — RGPD comme AI Act. L'IA agentique n'est pas une zone de non-droit en attendant un texte dédié.

OWASP — 9 décembre 2025

L'OWASP Top 10 for Agentic Applications est le premier référentiel des risques propres aux agents, distinct de l'OWASP LLM Top 10 qui vise le modèle. Il nomme l'empoisonnement de mémoire, le détournement d'outils, l'abus d'identité et de privilèges, le détournement d'objectif, l'injection de prompt et les défaillances en cascade entre agents.

C'est la grille technique à laquelle raccorder vos contrôles.

4. Ce qui vous oblige aujourd'hui — et ce qui vous obligera en 2027

C'est le point sur lequel la plupart des contenus publiés se trompent, dans les deux sens. Soyons précis, parce qu'un RSSI qui cite une obligation inexistante devant son comité perd sa crédibilité pour le reste du dossier.

Un agent est bien un « système d'IA » au sens de l'AI Act. L'article 3 vise les systèmes conçus « pour fonctionner avec des niveaux d'autonomie variables », et les lignes directrices de la Commission sur la définition d'un système d'IA — publiées en février 2025 — n'excluent que les systèmes fonctionnant uniquement par intervention humaine. Les agents sont donc pleinement dans le champ du règlement.

Mais la plupart des obligations « agent » de l'AI Act ne sont pas encore applicables. Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a reporté les obligations des systèmes à haut risque de l'annexe III du 2 août 2026 au 2 décembre 2027. Ce report emporte les articles 9 à 15 — dont l'article 12 (journalisation) et l'article 14 (supervision humaine) — ainsi que les articles 16 à 27, dont l'article 26 (obligations du déployeur).

Autrement dit : l'AI Act ne vous impose pas encore de journaliser les actions de vos agents ni d'installer un point d'arrêt humain. Il le fera au 2 décembre 2027.

Ce qui vous oblige, lui, dès aujourd'hui :

L'article 50 est celui qui mord le plus vite sur les agents : un agent conversationnel exposé à des personnes doit indiquer qu'il est une IA, et cela depuis le 2 août 2026. Un tempérament existe pour le marquage des contenus générés par des systèmes déjà sur le marché avant cette date, repoussé au 2 décembre 2026.

Et l'article 22 du RGPD couvre déjà, aujourd'hui, l'essentiel de ce que l'article 14 imposera demain : dès qu'un agent produit une décision à effet juridique ou significatif sans intervention humaine réelle, la personne a droit à une intervention humaine et à la contestation.

La conclusion pratique ne change pas — seule la raison change. Gouverner ses agents maintenant, ce n'est pas obéir à l'article 14 par anticipation. C'est respecter le RGPD, suivre l'ANSSI, et arriver prêt en décembre 2027 plutôt que de refaire le travail sous contrainte.

5. Pourquoi les agents cassent vos contrôles habituels

Les dispositifs classiques ont été pensés pour des humains et des logiciels déterministes. Les agents brisent trois hypothèses.

L'identité. Un agent n'a souvent pas de compte propre : il emprunte celui d'un utilisateur ou une clé partagée. Impossible alors de dire qui a agi, ni de révoquer un accès sans casser autre chose. La pratique qui s'impose est de traiter chaque agent comme une identité non-humaine, avec cycle de vie, propriétaire et droits minimaux.

Le périmètre d'action. Un agent qui accède à un outil peut l'employer autrement que prévu, ou enchaîner plusieurs outils pour produire un effet qu'aucune règle unitaire n'interdit. Le contrôle doit porter sur les permissions d'action, pas seulement sur l'accès aux données.

La traçabilité. Un agent prend des décisions intermédiaires opaques. Sans journal horodaté de chaque action, vous ne pouvez ni expliquer une décision, ni qualifier un incident, ni démontrer quoi que ce soit — ni au titre du RGPD aujourd'hui, ni au titre de l'AI Act demain.

6. Les cinq contrôles de gouvernance d'un agent

1. Inventorier. On ne gouverne que ce qu'on voit. Recensez tout agent déployé ou en pilote : créateur, objectif, outils, accès, données, niveau d'autonomie. L'agent devient une classe d'actif du registre des usages IA. Sans inventaire, les quatre contrôles suivants sont impossibles — c'est une dépendance, pas un ordre de préférence.

2. Identifier. Une identité non-humaine dédiée par agent, avec propriétaire, périmètre et date d'expiration. Jamais une clé partagée, jamais le compte d'un salarié.

3. Restreindre. Le moindre privilège appliqué aux actions : liste blanche d'outils, quotas, cloisonnement, interdiction des actions irréversibles sans validation. C'est la recommandation ANSSI, mot pour mot.

4. Tracer. Journal horodaté et inaltérable de chaque action : objectif reçu, décisions, outils appelés, paramètres, résultats, données touchées. Exigé par l'article 12 au 2 décembre 2027 — et déjà nécessaire aujourd'hui pour répondre à une personne concernée ou qualifier un incident.

5. Superviser. Validation avant action sensible, alertes sur comportement anormal, et un bouton d'interruption testé. Ce sera l'article 14 en 2027 ; c'est déjà l'article 22 du RGPD dès qu'une décision significative est en jeu.

Ces cinq contrôles se raccordent point par point à l'OWASP Agentic Top 10 : l'identité dédiée et le moindre privilège traitent l'abus d'identité et le détournement d'outils ; le cloisonnement contient les défaillances en cascade ; la traçabilité et la supervision détectent l'empoisonnement de mémoire et le détournement d'objectif.

7. Playbook RSSI en 90 jours

1. J+0 à J+15 — Découverte. Scanner postes, SaaS, connecteurs et automatisations. Objectif : une première liste de Shadow Agents.

2. J+15 à J+30 — Registre. Consigner chaque agent, puis le classer selon l'action : risque limité, ou haut risque au titre de l'annexe III.

3. J+30 à J+45 — Identités. Remplacer les clés partagées par une identité par agent, avec propriétaire et expiration.

4. J+45 à J+60 — Droits et cloisonnement. Moindre privilège d'action, bac à sable, blocage des actions irréversibles. Appliquer la posture du CERT-FR sur les postes.

5. J+60 à J+75 — Traçabilité. Journalisation d'action horodatée et centralisée, branchée sur le SIEM.

6. J+75 à J+90 — Supervision et incident. Seuils d'alerte, point d'arrêt, intégration des agents au processus de réponse à l'incident IA. Si le traitement est à grande échelle ou à effet significatif, préparer l'AIPD.

7. En continu. Revue trimestrielle : nouveaux agents, dérives, incidents, reclassement.

8. Qui fait quoi

Le RSSI porte identités, droits, cloisonnement, traçabilité et arrêt. Le DPO porte finalités, base légale, AIPD et article 22. Le DSI intègre les agents au SI et à la gestion des identités non-humaines. Le métier, propriétaire de l'agent, répond de l'objectif et de l'usage. La direction arbitre l'appétence au risque.

Aucun de ces rôles ne gouverne seul : l'agent traverse la sécurité, la donnée et le métier. C'est ce qui le rend orphelin par défaut.

9. Ce que vous risquez, et par quel canal

Le canal le plus rapide n'est pas l'AI Act, c'est le RGPD — jusqu'à 4 % du chiffre d'affaires mondial — via l'absence d'AIPD, le défaut de base légale ou la violation de l'article 22. Les sanctions AI Act sur les pratiques interdites (jusqu'à 35 M€ ou 7 %) et sur la transparence de l'article 50 (jusqu'à 15 M€ ou 3 %) sont, elles, déjà mobilisables.

Le risque le plus immédiat reste opérationnel : une action d'agent irréversible peut à elle seule provoquer une violation de données déclenchant une notification sous 72 heures, et un dommage de réputation que l'amende n'explique pas.

10. Le prérequis, et il n'y en a qu'un

Tout ce qui précède repose sur une condition unique : savoir quels agents tournent. On n'attribue pas d'identité, on ne restreint pas de droits, on ne trace pas et on ne supervise pas un agent qu'on ne connaît pas.

Vous ne pouvez pas dire, aujourd'hui, combien d'agents agissent dans votre système d'information ? C'est exactement le point de départ.

Contenu informatif, ne constitue pas un conseil juridique. La couche datée — application des obligations de l'annexe III au 2 décembre 2027, statut de la note CNIL/CIANum, évolutions du référentiel OWASP — doit être revérifiée à chaque évolution. La couche méthode — cinq contrôles, playbook en 90 jours, raccordement à l'OWASP Agentic Top 10 — reste valable indépendamment.