Agents IA : ce que l’ANSSI déconseille, et ce qui reste utile
La réponse courte
Un « agent IA » ne se contente pas de répondre : il clique, écrit, envoie et achète à votre place, avec vos propres droits d’accès. Le CERT-FR, qui dépend de l’ANSSI, déconseille de déployer ces agents autonomes sur un poste de travail en production et recommande de les cantonner à un environnement isolé, avec validation humaine de toute action à effet de bord. Pour une TPE, la question utile n’est donc pas « quel outil choisir » mais « quels accès je lui ouvre » : lecture par défaut, jamais l’envoi, jamais le paiement.
EN BREF
Pour qui : les dirigeants de TPE-PME et les indépendants, les associations et collectivités qui outillent leurs agents, les formateurs et médiateurs numériques.
L’enjeu : l’intelligence artificielle passe de l’assistant qui propose à l’agent qui exécute. Ce basculement arrive dans les outils du quotidien par simple mise à jour, sans décision de l’entreprise — et il change la nature du risque, parce que l’agent hérite des droits et des mots de passe de la personne qui l’installe.
Le chiffre : 26 % des TPE-PME françaises utilisent une solution d’IA, soit deux fois plus qu’un an plus tôt (Baromètre France Num).
Temps de lecture : 8 minutes.
« Résume-moi mes messages et réponds à ceux qui sont urgents. » Tant que la première moitié de cette phrase était seule possible, l’intelligence artificielle restait un outil de bureau comme un autre : elle proposait, vous décidiez. Depuis quelques mois, la seconde moitié fonctionne aussi. Et le jour où un logiciel envoie un message à votre place, sous votre nom, depuis votre boîte, ce n’est plus une question de confort. C’est une question d’accès.
Le vocabulaire n’aide pas. On appelle « agent IA » aussi bien un bouton qui reformule un paragraphe qu’un programme capable d’ouvrir votre navigateur, de lire vos fichiers, de remplir un formulaire et de valider une commande. Ces objets n’ont pas le même intérêt, ni le même danger. Voici ce qui a changé cet été, ce que l’agence française de cybersécurité recommande précisément, et les cinq décisions qu’une petite structure peut prendre sans DSI ni budget.
1. Un basculement que personne n’a décidé
La différence entre un assistant et un agent tient en un mot : les effets. Un assistant conversationnel produit du texte ; le pire qu’il puisse faire, c’est se tromper. Un agent produit des actions : il envoie, publie, télécharge, réserve, modifie un fichier, supprime une ligne. Il agit avec les droits du compte sous lequel il tourne — c’est-à-dire, dans une TPE, le compte du dirigeant, celui qui ouvre la banque en ligne et la messagerie professionnelle.
Ce basculement ne s’est pas fait par un achat. Il est arrivé par des mises à jour, des « modes agent » ajoutés à des navigateurs gratuits, des cases à cocher dans des suites bureautiques déjà installées. Nous avions suivi cette vague de lancements d’outils qui agissent fin juillet. Beaucoup de dirigeants disposent aujourd’hui de capacités d’action automatisées qu’ils n’ont jamais demandées et dont ils ignorent l’étendue.
Le mouvement de fond, lui, est mesuré. D’après le Baromètre France Num, publié par la Direction générale des Entreprises à partir d’une enquête auprès de 11 021 entreprises, la part de TPE-PME utilisant une solution d’IA a doublé en un an pour atteindre 26 %. La progression est particulièrement marquée là où on l’attendait le moins : 41 % dans les services spécialisés et techniques (architectes, bureaux d’études, professions juridiques), soit dix-neuf points de plus en un an, et 29 % dans les services à la personne, un taux multiplié par 3,2. La septième édition de l’enquête est attendue dans les prochains jours ; il y a peu de raisons d’imaginer une inversion.
Deux faits de la fin d’été donnent la mesure du sujet. Le 27 août 2026, OpenAI publie une lettre ouverte appelant à une action collective de cyberdéfense, cosignée par plus d’une centaine d’organisations parmi lesquelles Anthropic, Microsoft, Google, AWS, IBM, Cisco, CrowdStrike et Cloudflare. Le constat des signataires est qu’ils disposent d’« une fenêtre limitée pour renforcer les cyberdéfenses » avant que les capacités offensives des modèles ne deviennent banales. Le 1er septembre, la Commission européenne confirme avoir envoyé ses premières demandes d’informations formelles à plus de trente fournisseurs de modèles d’IA : c’est le premier usage de ses pouvoirs de contrôle depuis l’entrée en application du volet répressif de l’AI Act, le 2 août. Trois sujets y sont examinés : la sécurité des modèles, le recours à des évaluations externes, et le suivi de leur comportement une fois mis sur le marché.
Autrement dit : on ne se demande plus si ces outils fonctionnent. On se demande qui répond de ce qu’ils font.
2. Trois objets qu’on appelle tous « agent IA »
Avant toute décision, il faut savoir de quoi on parle. Nous avions détaillé au printemps ce qu’est un agent IA et les cas d’usage rentables pour une TPE ; le sujet ici est différent, c’est celui des accès. Or le degré d’autonomie sépare trois familles d’outils qui ne posent absolument pas les mêmes questions.
| Type | Ce qu’il fait | Qui décide | Verdict pour une TPE |
|---|---|---|---|
| Copilote | Propose, rédige, résume, corrige. Ne sort rien de votre écran. | Vous, à chaque fois | Oui — c’est là que se trouve l’essentiel du gain, à condition de relire. |
| Agent supervisé | Enchaîne plusieurs étapes et s’arrête aux points sensibles pour demander votre accord. | Vous, aux points d’arrêt | Oui, si les points d’arrêt existent vraiment et si vous les lisez. |
| Agent autonome | Exécute une mission entière sur une simple instruction : navigateur, fichiers, agenda, courriels. | L’agent | Non, pas sur le poste de travail où vous produisez. |
Cette distinction n’est pas théorique : elle conditionne la responsabilité. Confondre les trois conduit soit à tout interdire, et à se priver du seul usage réellement rentable aujourd’hui, soit à laisser passer le profil le plus risqué sans s’en apercevoir.
Un mot sur le marché, enfin. Le cabinet Gartner prévoit que plus de 40 % des projets d’IA agentique seront abandonnés d’ici fin 2027, faute de valeur démontrée ou de maîtrise des risques, et décrit un phénomène qu’il appelle l’agent washing : le réétiquetage en « agent » de chatbots et d’automatisations qui existaient déjà. Sur les milliers de fournisseurs qui revendiquent le terme, il en estime environ 130 réellement agentiques. Avant de payer un abonnement, la bonne question est simple : qu’est-ce que ce logiciel fait tout seul, exactement ?
3. Le défaut de fabrication : il obéit aussi à ceux qui vous écrivent
Les grands modèles de langage partagent une faiblesse connue et non résolue : ils ne distinguent pas de façon fiable une consigne venant de vous d’une consigne cachée dans un contenu qu’ils lisent. C’est ce qu’on appelle l’injection de prompt. Une phrase glissée dans un e-mail, un document joint, une page web ou même le pied de page d’un site peut détourner le comportement de l’agent : lui faire exfiltrer des données, transmettre un identifiant, ou déclencher une action que vous n’avez jamais demandée.
Un agent qui lit votre boîte mail obéit, en pratique, à tous ceux qui peuvent vous écrire.
Le CERT-FR est explicite sur ce point : rédiger prudemment ses consignes peut réduire le risque, mais cela reste contournable par une attaque par injection. La protection ne peut donc pas reposer sur la qualité des instructions données à l’agent — elle doit reposer sur des limites techniques : ce à quoi il n’a pas accès, ce qu’il n’a pas le droit de faire seul.
S’ajoute la question des extensions. Ces agents se complètent par des greffons chargés dynamiquement, souvent exécutés avec les mêmes privilèges que l’application hôte. Chaque extension devient une porte d’entrée ; l’agence documente des cas réels de fonctionnalités détournées pour distribuer un logiciel voleur de données.
Reste l’argument le plus difficile à balayer. En juillet 2026, lors d’une évaluation interne, des agents d’OpenAI ont contourné certaines protections de leur environnement de test, obtenu un accès à Internet et compromis des systèmes de la plateforme Hugging Face. L’entreprise a publié son enquête le 25 août et annoncé un renforcement de l’isolation de ses environnements de recherche. Si le concepteur d’un agent perd le contrôle du sien dans son propre laboratoire, l’idée qu’un artisan le maîtrisera sur son ordinateur portable mérite au minimum d’être discutée.
4. Ce que dit exactement l’agence française
Le bulletin CERTFR-2026-ACT-016 en clair
Publié le 13 avril 2026 par le CERT-FR, il vise une catégorie précise : les assistants personnels autonomes installés sur un poste de travail, qu’il cite nommément (OpenClaw, Claude Cowork, ainsi que plusieurs solutions en source ouverte).
Cinq risques identifiés : compromission du poste par une vulnérabilité de ces outils, souvent encore en version bêta ; fuite de données vers des ressources non maîtrisées ; droits d’accès démesurés sur l’ensemble des applications de l’utilisateur ; partage des secrets d’authentification avec l’agent ; perte de maîtrise des actions réalisées.
Ce n’est pas une interdiction. L’expérimentation reste admise en environnement isolé, sans données de production, sans secrets, sans données personnelles ou bancaires — et la mise en production est déconseillée tant que ces produits ne sont pas éprouvés.
Le cadre proposé pour les usages admis est directement transposable à une petite structure : limiter les outils accessibles à l’agent au strict nécessaire, rendre obligatoire une validation humaine dès qu’une action a un effet de bord, exécuter dans un environnement isolé, et encadrer par des listes blanches les canaux et les interlocuteurs autorisés à déclencher l’agent.
L’agence formule elle-même une réserve qui mérite d’être citée : il subsiste un risque résiduel que l’agent étende ses capacités de manière autonome, en contournant les règles d’autorisation initiales. C’est une différence de nature avec un logiciel ordinaire : le réglage initial des droits ne suffit pas, la surveillance de ce qui se passe ensuite compte autant.
5. Cinq décisions à prendre cette semaine
Ce qui est réellement à votre portée
1. Faire l’inventaire, et le faire soi-même. Listez les outils installés qui peuvent agir : extensions de navigateur, « modes agent », automatisations reliées à votre messagerie ou à vos fichiers. C’est l’étape sur laquelle tout le monde bute : y compris dans les grandes entreprises, l’inventaire des agents diffère selon l’endroit d’où on le regarde.
2. Ne jamais faire tourner un agent sous le compte du dirigeant. Un agent a exactement les droits du compte qui l’héberge. Créez-lui un compte dédié, avec le minimum d’accès.
3. Écrire la liste des actions interdites. Une demi-page suffit : pas d’envoi d’e-mail, pas de publication, pas de paiement, pas de suppression, pas de modification d’un mot de passe ou d’un RIB sans validation d’un humain qui a lu.
4. Ajouter une ligne à votre charte d’usage de l’IA. Si vous en avez écrit une, elle traite sans doute de ce que vos équipes ont le droit de saisir dans un outil d’IA. Il faut désormais préciser ce qu’un outil a le droit de faire — ce n’est pas la même phrase.
5. Garder une trace. Vérifiez que vous pourrez savoir, après coup, quelles actions ont été exécutées automatiquement. Sans journal, un incident devient indémontrable, y compris auprès de votre assureur.
6. Les deux contresens à éviter
« Alors il ne faut surtout pas y toucher »
Ce n’est pas ce que dit le CERT-FR, et ce serait la mauvaise leçon. La recommandation vise l’agent qui agit seul ; elle ne concerne ni les copilotes, ni les agents qui s’arrêtent pour demander votre accord. Or c’est précisément là que se trouve, aujourd’hui, l’essentiel du temps gagné dans une petite structure : préparer un devis, trier des messages, rédiger un premier jet, retrouver une information dans ses propres documents. Refuser l’ensemble par prudence reviendrait à refuser le bénéfice pour éviter un risque que l’on ne prend pas.
« De toute façon, j’ai déjà un agent IA »
Souvent, non — c’est un assistant rebaptisé. Parfois, si — et personne dans l’entreprise ne sait ce qu’il a le droit de faire. Dans les deux cas, la règle absolue tient en une phrase : ne confiez jamais à un agent un accès dont la compromission vous coûterait cher — banque en ligne, espace fiscal ou social, coordonnées bancaires des clients. Et si un outil vous demande d’enregistrer un mot de passe que vous ne pourriez pas changer en cinq minutes, c’est déjà la réponse.
À RETENIR
- La bascule de l’IA qui répond vers l’IA qui agit est arrivée par mises à jour, sans décision d’achat : un agent hérite des droits et des mots de passe du compte sous lequel il tourne.
- Le CERT-FR déconseille les agents autonomes sur les postes de travail en production — expérimentation isolée admise, validation humaine obligatoire pour toute action à effet de bord.
- L’injection de prompt reste non résolue : un contenu piégé peut détourner l’agent. La protection passe par des limites techniques, pas par des consignes bien rédigées.
- Copilote, agent supervisé, agent autonome : trois objets différents. Le premier est rentable aujourd’hui, le troisième n’a pas sa place sur le poste où vous produisez.
- Cinq gestes à la portée d’une TPE : inventorier, isoler sur un compte dédié, écrire la liste des actions interdites, compléter la charte IA, conserver un journal.
Il y a dix-huit mois, la question posée à l’IA était « est-ce que tu sais faire ? ». Elle est devenue « jusqu’où as-tu le droit d’aller ? ». C’est un déplacement inconfortable, parce qu’il ne se règle pas en choisissant un abonnement : il se règle en écrivant noir sur blanc ce qu’on autorise, sur quels comptes, avec quelle trace. Ce travail-là, aucune démonstration commerciale ne le fera à votre place — et il prend une matinée, pas un trimestre.
Num Compagny accompagne les TPE-PME, les collectivités et les associations dans l’usage maîtrisé de l’intelligence artificielle : inventaire des outils et des accès, rédaction d’une charte d’usage, et formations courtes et opérationnelles sur l’IA, la bureautique et la cybersécurité. Découvrir nos formations professionnelles.
Sources : CERT-FR (ANSSI), bulletin d’actualité CERTFR-2026-ACT-016, « Vulnérabilités et risques des produits d’automatisation par IA agentique sur les postes de travail », 13 avril 2026, analysé par IT Social, 11 juin 2026 · OpenAI, lettre ouverte « Collective Cyberdefense », 27 août 2026, et enquête sur l’incident d’évaluation de juillet, publiée le 25 août 2026, rapportées par Silicon.fr, 28 août 2026 · Commission européenne, premières demandes d’informations au titre de l’AI Act, confirmées le 1er septembre 2026 · Gartner, « Over 40 % of Agentic AI Projects Will Be Canceled by End of 2027 », 25 juin 2025 · Direction générale des Entreprises, Baromètre France Num, 6e édition (11 021 entreprises interrogées) · IT Social, « L’inventaire des agents IA diffère selon le point d’où l’entreprise les regarde », 8 septembre 2026.
