Delinea : 87 % des accès IA échappent aux règles

Delinea publie son rapport 2026 sur le fossé entre les règles de sécurité et leur application aux agents IA. Selon cette étude mondiale, 87 % des responsables informatiques déclarent qu’un outil ou agent IA a accédé à des données sensibles au-delà du cadre prévu durant l’année écoulée. Moins d’une entreprise sur cinq peut détecter ce dépassement au moment où il survient. Le rapport s’appuie sur deux enquêtes menées auprès de 2 254 responsables informatiques et sécurité, ainsi que de 2 250 employés non informatiques. Les répondants travaillent dans des entreprises d’au moins 500 salariés utilisant l’IA. L’enquête couvre notamment la France, le Royaume-Uni, les États-Unis, l’Allemagne et l’Inde.

Les règles existent dans 99,7 % des entreprises interrogées. Ces organisations disposent d’une politique formelle encadrant les données accessibles aux outils et agents IA. Pourtant, seule la moitié environ vérifie ces accès par rapport à la politique en temps réel. Le décalage concerne aussi les usages quotidiens des collaborateurs. Ainsi, 76 % déclarent avoir déjà contourné le processus d’approbation requis pour utiliser l’IA. La pression opérationnelle joue également un rôle déclaré dans les réponses. Soixante pour cent des employés affirment avoir subi des pressions pour utiliser l’IA sur des données sensibles ou confidentielles. Ils indiquent parfois ne pas savoir si cet usage était autorisé. Lire le rapport publié par Delinea.

Delinea mesure les accès IA

La traçabilité reste faible lorsqu’un événement sensible implique une identité IA. Seuls 36 % des responsables informatiques peuvent systématiquement relier cet événement à un responsable humain. Cette limite intervient alors que presque toutes les entreprises exigent une approbation nominative pour au moins certains usages sensibles. Le rapport de Delinea présente donc l’exécution comme le point de difficulté principal. Une politique écrite définit les accès attendus, mais elle ne suffit pas à documenter chaque action réalisée. Art Gilliland, PDG de Delinea, estime qu’une règle doit être appliquée au moment exact où l’agent agit. Cette déclaration accompagne les résultats de l’étude, sans constituer une mesure indépendante de performance.

Les environnements techniques présentent aussi des écarts de contrôle variables. Sur six grands environnements informatiques, 47 % des organisations manquent de contrôle au moment de l’action dans au moins deux environnements. Les chaînes CI/CD et Kubernetes figurent parmi les maillons les plus vulnérables selon le rapport. Des failles subsistent également dans le stockage de données dans le cloud, présenté comme plus résistant. La détection intervient souvent après l’accès. Cinquante-cinq pour cent des entreprises mettent une journée entière ou davantage à identifier qu’un agent est sorti de son périmètre. Ces chiffres relient le problème à plusieurs lieux d’exécution, plutôt qu’à la seule politique générale d’accès.

L’autorisation continue constitue l’approche présentée par Delinea pour réduire l’écart entre politique et action. L’entreprise indique appliquer une autorisation en continu et au moment de l’exécution. Cette approche repose sur le principe du moindre privilège et sur la visibilité des sessions. Elle concerne les identités IA, humaines et machines. Delinea indique également fournir un registre permettant d’identifier qui a autorisé un accès, ce que l’agent a fait et pourquoi l’action a été permise. Le rapport recommande ainsi de contrôler l’accès au moment de l’action, et non uniquement lors de la connexion. Consulter l’analyse complète sur la sécurité des identités.