La dette d’accès dont l’IA héritera

Toute organisation qui utilise Microsoft 365 depuis quelques années porte une dette qu’elle n’a jamais officiellement contractée. Des dossiers partagés pour des projets terminés, des accès qui ont survécu aux personnes auxquelles ils avaient été accordés. Facile à reporter, car le coût de ce report est invisible.

C’est ainsi que fonctionne la dette : elle ne s’annonce pas. Elle s’accumule discrètement et les intérêts sont si minimes que personne ne les remarque jusqu’à ce que la facture arrive d’un seul coup.

Pour les organisations du secteur public, le bilan est particulièrement lourd. Des cycles institutionnels longs, des rotations fréquentes de personnel, des années de collaboration interdépartementale et une culture prudente axée sur le consensus font rarement de « nettoyer les anciennes permissions » une priorité face aux autres points à l’ordre du jour. Les accès accordés pour une initiative en 2019 sont probablement toujours en vigueur. Ceux de 2021 aussi. Et ceux de 2023. Personne ne les a révoqués parce que personne ne les surveillait et que rien de grave ne s’est produit, alors personne n’avait de raison de vérifier.

Quand les règles du jeu changent

L’IA, c’est la raison de vérifier. Non pas parce que l’IA est intrinsèquement dangereuse, mais parce qu’elle change la signification d’un accès.

Lorsqu’une personne navigue manuellement dans un système de fichiers, le surpartage constitue un inconvénient qui demeure largement latent. Quand un outil d’IA générative est connecté à ce même environnement, il interroge tout ce que l’utilisateur peut atteindre, instantanément et sans friction. Les fichiers oubliés remontent à la surface. Les documents sensibles de trois réorganisations passées deviennent accessibles. L’accès que personne ne remarquait devient une exposition dont tout le monde doit prendre conscience.

Et avec les agents autonomes, le problème s’aggrave encore. Un agent agit sur tout ce qu’il peut atteindre, à la vitesse d’une machine, au nom de celui qui l’a déployé. Le surpartage hérité ne reste pas latent dans un environnement agentique. Il devient un risque opérationnel.

La vérité inconfortable est que la plupart des organisations savent déjà qu’elles ont un problème d’accès. Le problème n’est pas la prise de conscience. Néanmoins, régler la situation semble énorme, diffus et impossible à attribuer à qui que ce soit. À qui appartient le nettoyage d’un document partagé auquel douze personnes, issues de trois équipes différentes, ont contribué pendant quatre ans? La réponse, historiquement, c’est : personne.

C’est la faille de gouvernance que l’IA va rendre visible.

Un problème résoluble (si vous agissez maintenant)

Les organisations du secteur public qui amorcent leur adoption de l’IA ont une fenêtre étroite pour traiter la dette d’accès comme un problème résoluble plutôt qu’une condition permanente. L’urgence est réelle, mais l’occasion l’est tout autant. La pression même d’adopter l’IA de manière responsable donne aux responsables TI et sécurité la légitimité de faire enfin le ménage qui traîne dans les priorités depuis des années. Présentez-le comme un prérequis à l’IA et ça obtient des ressources. Laissez-le sous l’étiquette « gouvernance des accès » et ça reste sur la liste.

La dette était là depuis toujours. L’IA vient de la rendre exigible.