Quand les agents agissent seuls, la gouvernance doit se faire au niveau des données
Alors que les entreprises accordent de plus en plus d'autonomie à leurs agents d'intelligence artificielle, capables de planifier, décider et agir sur plusieurs systèmes sans validation humaine à chaque étape, l'éditeur de bases de données EDB défend une thèse centrale : la gouvernance de ces agents ne peut plus reposer sur des règles écrites en amont ou des instructions données au niveau du modèle, elle doit être appliquée directement à la couche des données, au moment précis où l'agent tente d'agir. EDB propose un cadre de neuf contrôles regroupés en plusieurs axes, dont l'application effective des règles ("Enforce it") et la traçabilité complète des actions ("See it and prove it"). Parmi les mécanismes cités : le contrôle d'accès basé sur les rôles et les attributs évalué au moment de la requête, le masquage dynamique des colonnes, et surtout la reconnaissance de l'agent comme une identité à part entière, avec un objectif déclaré dès l'ouverture de sa session et l'utilisateur pour le compte duquel il agit conservé dans les journaux.
Résumé et traduction réalisés par Le Fil IA à partir de VentureBeat AI. Lire l'article original →
Cette approche change concrètement la façon dont les entreprises doivent penser la responsabilité liée aux agents IA. Puisque ce sont leurs propres agents, tournant sur leurs propres modèles et touchant à leurs propres données, la responsabilité de ce que ces systèmes font retombe entièrement sur l'organisation qui les déploie, et non sur le fournisseur du modèle. Un agent autonome agit en quelques millisecondes et potentiellement sur de multiples systèmes simultanément, ce qui rend impossible toute supervision humaine action par action. EDB soutient qu'il ne faut plus espérer qu'un modèle choisisse de respecter une politique de sécurité, mais construire des limites techniques qu'il ne peut tout simplement pas franchir, l'accès étant refusé ou accordé par le système lui-même plutôt que par la bonne volonté de l'agent. Cela permet aussi de répondre à l'exigence croissante d'auditabilité de l'IA en entreprise, en conservant une trace de qui a agi, quelles données ont été consultées et dans quel but déclaré.
Cette réflexion s'inscrit dans un contexte plus large où les architectures d'entreprise doivent absorber l'arrivée d'agents IA capables d'exécuter des tâches de bout en bout, ce qui bouleverse les modèles de gestion des identités et des accès historiquement conçus pour des utilisateurs humains. Les contrôles évoqués par EDB, comme la sécurité au niveau des lignes et des colonnes, la classification et le masquage des données ou les politiques codifiées, existent déjà dans de nombreuses bases de données d'entreprise ; la nouveauté réside dans le fait de les étendre pour reconnaître les agents comme des acteurs à part entière au même titre que les utilisateurs humains. À mesure que l'autonomie des agents progresse, cette question de la gouvernance exécutable à la source des données devrait devenir un enjeu central pour les éditeurs de bases de données, les responsables sécurité et les équipes de conformité dans les mois à venir.
Pas d'impact direct sur la France/UE