63 % des entreprises françaises interrogées ne peuvent pas auditer toutes les actions des agents

L’adoption de l’IA progresse plus vite que les capacités de contrôle des entreprises. C’est l’un des principaux constats de l’étude Licensed to Act: How AI Autonomy Is Outrunning the Limits Placed on It, publiée le 21 octobre 2026 par Illumio, spécialiste de la segmentation et du confinement des incidents de sécurité. Les résultats français mettent en évidence un décalage entre la confiance accordée aux systèmes autonomes et la visibilité dont disposent les équipes informatiques pour en surveiller les actions.

Une traçabilité limitée

D’après l’étude, 58 % des organisations françaises délèguent désormais à l’IA des décisions qui nécessitaient une validation humaine un an auparavant. Dans le même temps, seules 37 % déclarent pouvoir visualiser et auditer toutes les actions d’un agent d’IA, contre 49 % au niveau mondial.

Le contraste est d’autant plus marqué que 79 % des répondants français estiment comprendre pleinement les risques liés à ces agents. Par ailleurs, 86 % se disent à l’aise avec le niveau de risque qu’ils acceptent actuellement. Ces résultats reposent sur les déclarations des décideurs interrogés et ne constituent pas une évaluation technique indépendante de leur niveau de sécurité.

La délégation de responsabilités concerne aussi des opérations sensibles. Selon l’enquête, 31 % des organisations françaises accepteraient que l’IA mène des investigations de sécurité sans contrôle humain, 27 % qu’elle déploie des modifications de code et 24 % qu’elle accorde ou révoque des droits d’accès.

Des incidents déjà signalés par les entreprises

Les risques ne relèvent pas uniquement de scénarios théoriques. Au cours des douze derniers mois, 72 % des organisations françaises interrogées déclarent avoir rencontré au moins un problème de sécurité ou un signal d’alerte associé à l’IA.

Dans le détail, 31 % rapportent qu’une IA a formulé une recommandation qui aurait créé un risque si elle avait été appliquée. Pour 26 % des répondants, un système a produit ou déclenché une action non autorisée. Enfin, 21 % signalent un accès de l’IA à des données auxquelles elle n’aurait pas dû accéder.

Ces chiffres ne signifient pas nécessairement que toutes ces situations ont entraîné une compromission ou une fuite de données. Ils illustrent néanmoins les difficultés liées à l’intégration de systèmes capables d’agir dans des environnements où ils disposent parfois déjà de droits étendus.

L’IA est notamment utilisée en cybersécurité par 65 % des organisations françaises interrogées, en analyse de données et en informatique décisionnelle par 60 %, et dans la gestion des services IT par 57 %.

La segmentation encore peu prioritaire

Pour limiter ces risques, l’étude souligne l’intérêt de restreindre les ressources accessibles aux agents plutôt que de chercher à anticiper chacune de leurs actions. Ainsi, 81 % des répondants français estiment que les agents d’IA nécessitent des contrôles différents de ceux appliqués aux logiciels traditionnels. De plus, 65 % considèrent que limiter leurs accès devient plus important que prévoir toutes les menaces potentielles.

Pourtant, seules 16 % des organisations françaises interrogées estiment que les progrès de l’IA avancée ont renforcé l’importance de la segmentation réseau ou de la microsegmentation, contre 27 % à l’échelle mondiale.

Cette approche consiste à compartimenter les réseaux et à limiter les communications entre systèmes, afin de réduire la portée d’un incident. Elle peut contribuer à empêcher un agent de toucher des ressources sans rapport avec sa mission. Elle ne remplace toutefois ni la gestion des identités et des permissions, ni la journalisation des actions, ni les contrôles humains adaptés à la sensibilité des opérations.

Une enquête menée auprès de 100 décideurs en France

L’étude a été réalisée par Sapio Research pour le compte d’Illumio auprès de 1 100 décideurs informatiques et de la sécurité répartis sur dix marchés. L’échantillon comprend 100 répondants en France et 200 aux États-Unis, les autres marchés comptant chacun 100 participants. Les pourcentages français cités correspondent donc à cet échantillon national.

Les résultats doivent être lus comme une photographie des perceptions et des pratiques déclarées, et non comme un audit des systèmes déployés. Ils soulèvent néanmoins une question centrale pour les directions informatiques : comment accorder davantage d’autonomie à l’IA sans perdre la maîtrise de ses accès, de ses décisions et de leurs conséquences ?