L'identité des agents IA devient un sujet de sécurité à part entière. Le 13 octobre 2026, l'éditeur américain Workday a annoncé le rachat de C1.ai, une plateforme spécialisée dans la gestion des accès des agents IA en entreprise. Ce rachat n'est pas un détail technique réservé aux grands groupes : il révèle un problème que de plus en plus de PME rencontrent déjà, souvent sans le savoir, dès qu'elles connectent un agent IA à leur messagerie, leur CRM ou leurs outils financiers.
En bref
- Workday a signé le 13 octobre 2026 un accord définitif pour racheter C1.ai, plateforme de gestion des identités pour les humains et les agents IA.
- Selon les données citées par C1.ai dans l'annonce, environ 95 % des grandes entreprises américaines font déjà fonctionner des agents autonomes, mais seulement 21 %, selon une étude Deloitte, disposent d'une gouvernance mature pour les encadrer.
- Gartner classe la prolifération des agents IA non maîtrisés comme la première tendance cybersécurité de 2026, devant la cryptographie post-quantique.
- Pour une PME, la question centrale est simple : qui, humain ou agent, a accès à quoi, pourquoi, et pour combien de temps ?
- Pas besoin d'un outil dédié pour commencer : un inventaire des agents actifs et une revue régulière de leurs accès suffisent à réduire fortement le risque.
Pourquoi Workday rachète une startup d'identité pour agents
Workday gère déjà le cycle de vie des salariés (embauche, changement de poste, départ) pour des milliers d'entreprises. Avec C1.ai, l'éditeur veut étendre cette logique aux agents IA, qui se multiplient dans les systèmes d'information au même rythme que les équipes humaines, parfois plus vite.
C1.ai connecte les agents IA (et les humains) aux outils de l'entreprise : messagerie, CRM, dépôts de code, outils financiers, infrastructure cloud. La plateforme attribue un accès au moment où il est nécessaire, puis le retire dès qu'il ne l'est plus. Gerrit Kazmaier, dirigeant chez Workday, résume l'enjeu : « les entreprises fonctionnent aujourd'hui avec une main-d'œuvre mixte, humains et agents IA ». Alex Bovee, directeur général de C1.ai, va plus loin : « les entreprises ne peuvent pas sécuriser l'ère de l'IA avec les tickets informatiques d'hier ».
La clôture de l'opération est attendue au quatrième trimestre fiscal 2027 de Workday (se terminant le 31 janvier 2027), sous réserve des conditions habituelles. Le montant n'a pas été communiqué.
À retenir
Quand un éditeur comme Workday, qui gère déjà l'identité de millions de salariés, investit dans l'identité des agents IA, c'est le signe qu'un vrai problème de fond existe : les outils de gestion des accès pensés pour des humains ne suffisent plus.
Un problème d'identité inédit : les agents ne se comportent pas comme des employés
Un salarié a un parcours prévisible : il est embauché, change parfois de poste, puis quitte l'entreprise. Un agent IA fonctionne différemment, et c'est précisément ce qui complique sa gestion.
Identité humaine
Identité d'agent IA
Cette différence explique le chiffre cité par Gartner dans son rapport sur les tendances cybersécurité de 2026, publié le 5 février 2026 : l'agence de recherche identifie la prolifération d'agents IA non maîtrisés comme la première tendance de l'année, avant même les risques liés à la cryptographie post-quantique. Gartner recommande aux responsables sécurité d'identifier les agents officiels et non officiels, d'appliquer des contrôles d'accès à chacun d'eux, et de préparer des scénarios de réponse à incident spécifiques aux agents.
Ce que cela signifie concrètement pour une PME
Une PME n'a pas besoin d'acheter une plateforme comme C1.ai pour commencer à traiter le sujet. Elle doit d'abord répondre à une question simple : combien d'agents IA sont actifs dans mon entreprise, et que peuvent-ils faire ?
Un agent créé dans un scénario n8n pour synchroniser le CRM avec la messagerie, un assistant Microsoft Copilot connecté à des documents financiers, ou un agent de support client relié à la base de tickets : chacun de ces agents possède des identifiants, souvent avec des droits plus larges que nécessaire, et souvent oubliés une fois le projet pilote terminé.
Dresser l'inventaire des agents actifs
Vérifier leurs droits d'accès
Désigner un responsable par agent
Programmer une revue trimestrielle
Identité humaine et identité d'agent : le même principe, deux rythmes différents
| Aspect | Salarié | Agent IA |
|---|---|---|
| Création d'un accès | Processus RH encadré, souvent plusieurs jours | Quelques minutes, parfois sans validation |
| Fréquence des changements | Lente (changement de poste, promotion) | Rapide (nouveaux scénarios créés en continu) |
| Responsable identifié | Toujours (le salarié lui-même) | Pas toujours clair |
| Désactivation en fin d'usage | Processus de départ formalisé | Souvent oubliée |
| Risque principal | Usurpation d'un compte existant | Accès trop large laissé actif sans surveillance |
Un signal encourageant
Le rachat de C1.ai par un éditeur établi comme Workday montre que la gestion des identités d'agents IA devient un marché mature, avec des solutions pensées pour l'entreprise plutôt que des bricolages internes. Les PME bénéficieront, avec le temps, d'outils plus accessibles issus de cette consolidation.
FAQ
Qu'est-ce que l'« identité d'un agent IA » ?
C'est l'ensemble des identifiants et des droits d'accès qui permettent à un agent IA (un script automatisé, un assistant connecté à des outils) d'agir sur les systèmes de l'entreprise, comme un compte utilisateur le ferait pour un salarié.
Ma PME utilise-t-elle déjà des agents IA sans le savoir ?
Très probablement, si vos équipes utilisent des outils no-code comme n8n ou Make, ou des assistants comme Microsoft Copilot connectés à vos documents. Un inventaire des connecteurs et automatisations actifs est le premier réflexe à avoir.
Faut-il acheter un outil comme C1.ai pour sécuriser mes agents IA ?
Pas nécessairement dans l'immédiat. Une PME peut commencer par un inventaire manuel, une règle de « moindre privilège » sur les accès, et une revue trimestrielle. Un outil dédié devient pertinent quand le nombre d'agents dépasse ce qu'une revue manuelle permet de suivre.
Pourquoi Gartner place-t-il ce sujet en tête des tendances 2026 ?
Parce que les agents IA se créent plus vite qu'ils ne sont désactivés, et que beaucoup échappent au contrôle classique de la sécurité informatique. Gartner recommande d'identifier chaque agent, officiel ou non, et de lui appliquer des règles d'accès claires, avant qu'un incident ne force à le faire dans l'urgence.
Pour aller plus loin sur la sécurisation de vos automatisations, consultez notre guide pour sécuriser les connecteurs et agents IA ou notre article sur le marché noir des comptes IA volés.
