Avec AI WATCH, TechAndTrust Consulting décrypte les points de vigilance qui apparaissent lorsque les projets d’IA passent de la démonstration à la production. Premier piège : l’identité et les droits d’accès.
Un agent IA connecté au SIRH, au CRM ou à d’autres outils métiers peut accéder à de nombreuses informations pour répondre à une demande ou réaliser une action.
Mais une question doit être posée avant même de s’intéresser à ses capacités : avec quels droits accède-t-il à ces données ?
En phase de test, le super-compte masque le problème
Lors d’un prototype ou d’une démonstration, connecter un agent avec un compte disposant de droits étendus peut sembler pratique.
L’agent trouve les informations, interroge plusieurs systèmes et produit rapidement le résultat attendu.
Cette configuration peut cependant masquer un problème qui apparaît au moment du passage en production : l’agent risque d’accéder à des informations que l’utilisateur qui l’interroge n’est lui-même pas autorisé à consulter.
L’agent ne doit pas étendre les droits de l’utilisateur
Demander au modèle de « ne pas répondre » lorsqu’une information est sensible ne constitue pas une protection suffisante.
La restriction doit être appliquée au niveau des systèmes et des mécanismes de contrôle d’accès, pas uniquement dans les instructions données au modèle.
Lorsqu’un agent agit au nom d’un utilisateur, il doit pouvoir accéder uniquement aux ressources auxquelles cet utilisateur est lui-même autorisé à accéder.
C’est le principe de l’identité et des permissions déléguées : l’agent intervient dans les limites des droits de la personne pour laquelle il agit.
Penser l’identité avant le passage en production
La gestion des identités et des accès doit donc être intégrée dès la conception d’un agent IA.
Avant son déploiement, plusieurs points doivent être clarifiés : l’identité utilisée par l’agent, les systèmes auxquels il peut accéder, les permissions nécessaires et les actions qu’il est autorisé à effectuer.
Cette réflexion devient d’autant plus importante avec les agents capables non seulement de consulter une information, mais également d’agir sur les systèmes de l’entreprise.
Avant de demander ce qu’un agent IA sait faire, il faut donc déterminer avec quels droits il pourra le faire.
Avec AI WATCH · Après la démo, TechAndTrust Consulting revient sur les pièges à anticiper pour faire passer les usages de l’IA en production dans un cadre maîtrisé.
TechAndTrust Consulting accompagne les organisations dans le cadrage, la gouvernance et le déploiement de leurs projets d’IA, en intégrant les enjeux de cybersécurité dès la conception.
