Les agents IA sont-ils sécurisés pour une entreprise ?

Un agent IA n’est pas sécurisé simplement parce qu’il utilise une technologie moderne. Sa sécurité dépend de son architecture, de ses autorisations, des données auxquelles il accède et des contrôles placés avant chaque action sensible.

Les principaux risques

• Accès excessifs : l’agent peut consulter ou modifier plus de données que nécessaire.
• Usurpation : une route mal protégée peut être appelée par une personne non autorisée.
• Fuite de secrets : clés API ou jetons stockés de manière incorrecte.
• Injection de consignes : un contenu externe tente de détourner les instructions de l’agent.
• Action erronée : une mauvaise interprétation déclenche une modification inadaptée.
• Mélange de données : les informations de deux clients ne sont pas correctement isolées.

Les protections indispensables

1. Vérifier l’identité de l’utilisateur côté serveur.
2. Vérifier qu’il possède réellement l’espace ou le projet demandé.
3. Appliquer le principe du moindre privilège.
4. Chiffrer les secrets et protéger les données sensibles.
5. Journaliser les actions importantes.
6. Limiter le volume et la fréquence des requêtes.
7. Demander une validation avant un envoi, un paiement ou une suppression.
8. Prévoir la révocation des accès et la suppression des données.

Agent IA et RGPD

Une entreprise doit savoir quelles données sont traitées, pourquoi, pendant combien de temps et par quels prestataires. Elle doit limiter la collecte au nécessaire, encadrer les sous-traitants et permettre l’exercice des droits applicables. Le besoin d’une analyse d’impact dépend notamment du type de données, de l’échelle et des risques du traitement.

Questions à poser à un prestataire

• Comment les utilisateurs et les espaces clients sont-ils isolés ?
• Où les données et les sauvegardes sont-elles hébergées ?
• Qui peut consulter les journaux ?
• Quelles actions nécessitent une validation ?
• Comment un accès est-il révoqué ?
• Que se passe-t-il en cas d’erreur ou d’indisponibilité ?