Agents IA : Google exige une identité, mais chez vous qui décide de ses droits ?

Depuis le 12 octobre, Google Workspace permet de déclarer qu'un accès est utilisé par un agent IA et non par un salarié. À partir du 11 novembre, les nouveaux serveurs refuseront les accès non déclarés. Une avancée technique réelle, documentée par Journal du Net : Google veut distinguer le trafic des agents de celui des humains, sans toucher aux droits des uns en touchant à ceux des autres.

Une étiquette ne remplace pas une décision

Cette case à cocher ne fait que nommer un accès, elle ne l'attribue pas. Google le précise lui-même : l'étiquette ne donne aucun droit supplémentaire et n'est vérifiée par personne. L'entreprise se délivre sa propre carte d'identité. Reste donc entière la question qui ne figure dans aucune console : qui, chez vous, a le pouvoir d'accorder un accès à un agent, de le limiter dans le temps, et de le retirer quand le besoin disparaît.

Dans la plupart des PME, l'agent tourne avec le compte d'un salarié, installé sans arbitrage, parce que c'était le seul moyen disponible. Un accès sans date de fin devient un accès que personne ne pilote plus au bout de quelques mois.

Nommer un responsable, pas seulement un agent

Donner un nom à un agent ne suffit pas s'il n'a pas de responsable. Trois rôles doivent être tenus par des personnes identifiées, pas par défaut :

• celui qui accorde les droits d'un agent et fixe leur durée
• celui qui peut les révoquer immédiatement en cas d'incident
• celui qui répond du journal des actions de l'agent devant un client ou un partenaire

Sans ces trois rôles attribués, la question du premier incident restera sans réponse : qui a fait cela, et qui aurait dû le voir venir.

Cette gouvernance des accès rejoint un chantier plus large, celui de la supervision des systèmes automatisés en production. RayZ Consulting détaille cette logique dans Superviser un système IA : concevoir des capteurs qui savent dire non.