par Stéphane 
Paris, 31 août 2026
Alors que les entreprises françaises accélèrent leur recours à l’intelligence artificielle, elles peinent encore à maîtriser les nouveaux risques liés aux agents IA. C’est l’un des principaux enseignements du rapport Global CISO Insights 2026 d’Okta, basé sur une enquête menée auprès de 306 CISO, responsables cybersécurité et dirigeants chargés des risques cyber dans six marchés.
Parmi les marchés interrogés, la France affiche le niveau de confiance le plus faible concernant la supervision des agents IA. Dans le même temps, le Shadow AI s’installe dans les entreprises françaises avec 88 % des répondants constatant au moins une utilisation non autorisée de l’IA par leurs collaborateurs. Et lorsqu’un usage est détecté, 24 % se contentent de notifier les utilisateurs et de compter sur le respect des politiques internes — un décalage qui illustre la difficulté à faire évoluer les dispositifs de gouvernance au même rythme que les usages.
Moins d’un RSSI sur deux maîtrise ses agents IA
À l’échelle mondiale, les entreprises disposent encore d’une visibilité limitée sur leurs agents. Seuls 47 % des CISO déclarent pouvoir identifier tous les agents IA présents dans leur environnement, 46 % contrôler ce à quoi leurs agents peuvent accéder et 45 % déterminer précisément les actions que chaque agent est autorisé à effectuer. Pourtant, l’absence de visibilité complète sur les identités IA reste la première barrière à la sécurité (48 %), particulièrement critique aux États-Unis où 74 % des CISO la citent comme obstacle majeur.
Cette faiblesse est d’autant plus préoccupante que 81 % des répondants se disent inquiets par les accès excessifs accordés à l’IA. Les menaces les plus redoutées sont les tentatives de phishing alimentées par l’IA (61 %), suivies des agents malveillants (49 %) et du contournement d’authentification par deepfake (45 %).
Des agents IA encore gérés comme des identités traditionnelles
Les pratiques actuelles révèlent une gouvernance encore fragmentée. 21 % des organisations utilisent des identifiants partagés ou des comptes de service dotés de larges permissions pour gérer les accès des agents IA, tandis que 20 % confient leur gestion aux équipes qui les ont déployés, sur une base ad hoc. Plus révélateur encore, un CISO sur quatre traite les agents IA exactement comme les identités humaines. Or, les agents peuvent interagir avec plusieurs applications, accéder à des données et exécuter des actions de manière autonome : les modèles traditionnels de gestion des identités et des accès doivent donc évoluer pour prendre en compte ces nouvelles identités.
Les CISO identifient comme priorités critiques le maintien du contrôle total sur qui a accès aux agents (29 %), la découverte des agents (20 %) et la gestion des credentials (20 %), autant de fonctionnalités généralement absentes des outils hérités. Parallèlement, les contraintes budgétaires et d’effectifs (39 %) ainsi que les silos entre équipes IA et sécurité (33 %) compliquent la mise en place des contrôles nécessaires.
Des approches différentes selon les pays
L’étude révèle des niveaux de maturité et des priorités très différents selon les marchés. Le Royaume-Uni apparaît comme le plus avancé : 36 % des organisations déclarent disposer d’une gouvernance avancée et entièrement automatisée des agents IA.
Aux États-Unis, l’inquiétude porte avant tout sur la compromission : 84 % des CISO américains se disent très ou extrêmement préoccupés par les attaques facilitées par l’IA. Pourtant, seuls 12 % se déclarent totalement alignés avec leur direction et leur conseil d’administration sur le niveau de risque IA acceptable.
Au Japon, le principal point de fragilité concerne la gouvernance des identités : 12 % des CISO déclarent ne disposer d’aucune approche cohérente pour gouverner les identités des agents IA, soit deux fois la moyenne mondiale. Dans le même temps, les directions japonaises considèrent davantage la sécurité de l’IA comme un enjeu de conformité que comme un levier de compétitivité, ce qui peut limiter les investissements nécessaires.
En Allemagne, le niveau de confiance élevé des CISO ne se traduit pas encore par une maturité équivalente : 58 % des organisations restent dans les catégories « developing » ou « reactive ». Paradoxalement, ces CISO affichent une confiance élevée dans leur capacité à superviser les agents, tout en signalant une vulnérabilité accentuée face aux attaques par phishing IA (81 %) — un contraste qui illustre l’écart entre confiance déclarée et maturité effective de la gouvernance.
Enfin, au Canada, 65 % des CISO identifient l’absence de standards industriels comme le principal obstacle à la sécurisation de l’entreprise agentique.
Les organisations les plus matures réduisent leur exposition
Le niveau de maturité en matière de gouvernance semble directement corrélé à l’exposition au Shadow AI. 25 % des organisations classées comme « réactives » déclarent un niveau important de Shadow AI, contre 13 % en moyenne. À l’inverse, les organisations les plus avancées disposent de capacités de réponse plus rapides : 50 % peuvent révoquer l’accès d’un agent compromis en quelques minutes, contre 26 % en moyenne. Cependant, 55 % des organisations ne peuvent révoquer l’accès que dans les heures suivant une détection — une durée problématique face à la vitesse d’exécution des systèmes IA. Plus préoccupant encore, 18 % des organisations en phase réactive ne peuvent pas identifier ou arrêter les agents malveillants du tout, une situation qui ne se rencontre dans aucune organisation de niveau avancé.
L’identité, nouveau périmètre de sécurité
Pour Okta, ces résultats montrent que la sécurité de l’IA agentique ne peut plus reposer uniquement sur des politiques d’usage ou sur la détection des outils non autorisés : elle doit intégrer une gouvernance spécifique des identités, des permissions et du cycle de vie des agents. Cette évolution devient également un sujet de gouvernance au niveau des directions générales : à l’échelle mondiale, seuls 31 % des CISO se déclarent totalement alignés avec leur direction et leur conseil d’administration sur le niveau acceptable de risque IA.
Pour les entreprises françaises, le défi est donc double : accompagner l’adoption de l’IA tout en construisant les mécanismes permettant de contrôler les agents qui agissent au nom de l’entreprise.