Les entreprises déploient des agents IA sans contrôle suffisant… et les risques s’accumulent

97 % des équipes de sécurité belges ont déjà été confrontées à un incident lié à un agent IA au cours de l’année écoulée, vient de chiffrer ServiceNow. Or, à peine une sur trois est en mesure de maîtriser l’incident en moins de 24 heures.

Voici un an, l’étude State of AI Agent Security 2026 de Gravitee révélait que 88 % des entreprises ont connu des incidents de sécurité liés aux agents. Dans le même temps, 82 % des dirigeants pensaient que leurs politiques étaient suffisamment solides, or seulement 21 % avaient une visibilité en temps réel sur le comportement de leurs agents. L’étude ServiceNow est donc plus pessimiste. Seules 13 % des entreprises à travers le monde ont leur sécurité bien en main.

Les données montrent que les dirigeants font confiance à des politiques qui ne fonctionnent pas réellement au moment de l’exécution. Le rapport 2026 d’Arkose Labs ajoute une autre perspective : 97 % des responsables de la sécurité des entreprises s’attendaient à un incident grave lié à un agent d’IA au cours de cette année… alors même que seulement 6 % des budgets de sécurité sont alloués à la lutte contre ce risque.

Décalage

Comme d’autres, ServiceNow appelle à combler le fossé entre chaos et contrôle. De fait, la plupart des entreprises se trouvent dans une position intermédiaire dangereuse. Elles surveillent ce que font leurs systèmes d’IA, mais n’ont pas vraiment le pouvoir de les arrêter lorsque les choses tournent mal.

Les agents d’IA fonctionnent à la vitesse de la machine, soit des millions d’opérations par seconde, alors que la plupart des activités de surveillance des entreprises dépendent encore de tableaux de bord conçus pour les humains. Ce décalage expose les entreprises à des violations qui se produisent plus rapidement qu’un être humain ne peut réagir.

La plupart des agents IA sont encore gérés avec d’anciens cadres et des systèmes conçus pour des humains. En Belgique, 44 % des entreprises disposent d’une gouvernance qui couvre les principaux composants des agents IA, a calculé ServiceNow. Seules 35 % des équipes de sécurité pensent à la protection avant le développement d’un agent. Dans la plupart des entreprises, permissions et guardrails n’arrivent donc qu’après coup.

Penser gouvernance au plus tôt

On l’a compris, la situation est délicate. A mesure que l’IA s’immisce dans les flux de travail fondamentaux, les systèmes que nous utilisons pour la gérer doivent suivre le rythme de sa rapidité et de son autonomie. S’appuyer sur l’observation seule ne suffit pas. Les politiques et la gouvernance ne signifient pas grand-chose sans des capacités d’application capables d’agir instantanément.

« Les incidents impliquant des agents IA qui font les gros titres cette année montrent ce qui arrive quand on déploie l’IA sans les bons contrôles, déclare Ben de Bont, CISO, ServiceNow. Les entreprises n’ont pas à choisir entre avancer vite et maîtriser les risques. Celles qui s’y prennent intelligemment règlent la gouvernance dès le lancement du déploiement. On tire ainsi le maximum de l’IA tout en gardant visibilité et contrôle. »

Plus l’échelle grandit, plus le risque augmente

17 % des équipes belges ont découvert en production des agents IA jamais enregistrés ni connus. Ce qui passe sous le radar refait surface plus tard sous forme de shadow AI, souvent après avoir tourné un bon moment sans supervision. Les risques avancent plus vite que les humains ne peuvent réagir. Pour preuve, à peine 12 % des entreprises voient plus de 90 % de leurs agents en temps réel.

La vitesse est la variable fondamentale. Les menaces évoluent plus rapidement que n’importe quel cycle de révision des politiques ou processus manuel de correction. Les entreprises qui continuent à s’appuyer sur des défenses à vitesse humaine finiront par perdre face à des attaquants à vitesse machine.

Pour être vraiment prêt, il faut repenser les systèmes d’identité, les pistes d’audit et les couches d’application spécifiquement pour les environnements agentiques, où la vitesse et l’autonomie définissent à la fois la productivité et le risque.