Cet article résume les principales conclusions d'un entretien avec Max Romanenko, directeur de l'ingénierie chez le fournisseur de bases de données multimodèles EDB. La discussion se concentre sur la manière dont les entreprises réglementées peuvent éliminer les risques liés à l’IA agentique, notamment les fuites de données sensibles et les actions excessives non conformes, grâce à des contrôles robustes au niveau des données et de l’infrastructure.
Différences fondamentales entre les agents IA, les utilisateurs humains et les applications traditionnelles
Les agents d’IA diffèrent fondamentalement des opérateurs humains et des applications conventionnelles. Fonctionnant 24 heures sur 24, 7 jours sur 7, avec une vitesse d'exécution et une fidélité bien plus élevées, les agents d'IA devraient accroître la main-d'œuvre numérique mondiale de plus de 34 % d'ici trois ans – une croissance qui a pris des décennies à la main-d'œuvre humaine. Cette adoption rapide nécessite des cadres entièrement nouveaux pour le contrôle d’accès, la gouvernance des décisions et la conception de l’infrastructure.
Les applications traditionnelles fonctionnent selon des paramètres fixes et prévisibles, tandis que les utilisateurs humains agissent dans un contexte commercial clair basé sur des rôles. En revanche, les agents d’IA fonctionnent sans limites prédéfinies : ils interprètent les tâches de manière autonome, déterminent les données contextuelles requises et récupèrent des informations en direct sans l’approbation humaine étape par étape. La validation traditionnelle des diplômes ne suffit plus. Les systèmes informatiques doivent en outre vérifiersi le comportement d'un agent correspond à la portée de sa tâche assignée. Par exemple, un agent de détection des fraudes bancaires ne devrait accéder qu’aux dossiers clients pertinents pour son dossier en cours, avec une gouvernance des données en ligne stricte bloquant l’accès aux données croisées sans rapport.
Gestion des identités et des accès spécifiques aux agents (distincte de l'IAM humaine)
Les agents d’IA nécessitent des systèmes dédiés de contrôle d’identité et d’accès contextuel et ne peuvent pas s’appuyer sur des cadres IAM humains conventionnels. Les agents exécutent fréquemment des centaines de tâches diverses toutes les heures, nécessitant des autorisations contextuelles ajustées dynamiquement et centrées surspécifique à une tâcheet précision d'accès basée sur des scénarios.
Un problème de sécurité très répandu dans les entreprises consiste à accorder aux agents de larges privilèges de compte de service ou des autorisations d'utilisateur humain entièrement héritées, validant uniquement les informations d'identification plutôt que la légitimité de l'accès aux données basé sur les tâches. Les agents ayant des fonctions commerciales distinctes, telles que l'analyse des fraudes bancaires et le service client, doivent se voir attribuer des identités isolées et des limites d'autorisation adaptées pour mettre en place des garde-fous rigoureux en matière de sécurité des données.
Définir et appliquer des limites d'autorisation pour les agents IA inter-systèmes
Les agents IA fonctionnant sur plusieurs systèmes nécessitentlimites d'accès préventives et liées à un objectif précis. Les agents ne doivent accéder qu'aux données essentielles à leur tâche immédiate, même si l'utilisateur ou l'application qui les appelle dispose de privilèges plus étendus. Les autorisations doivent être strictement limitées aux besoins des tâches en temps réel et expirer une fois la tâche terminée.
Les politiques génériques de la couche application ne parviennent pas à gouverner l’activité des agents couvrant les API, les systèmes de récupération et les bases de données. L'application de la sécurité doit se déplacer vers la couche de données, où résident les enregistrements sensibles et où les décisions finales d'accès sont prises. EDB exploite les autorisations natives basées sur les rôles et la sécurité au niveau des lignes (RLS) de PostgreSQL pour appliquer la gouvernance des agents au niveau de la base de données, plutôt que de s'appuyer sur des plans de contrôle du marché secondaire. Cette approche équilibre sécurité et performances, avec une couche complète de gouvernance des agents prévue pour une prochaine version.
Atténuer les risques de conformité liés aux autorisations humaines héritées
Les anciennes architectures d’autorisations d’entreprise sont conçues pour des employés humains de confiance et des applications déterministes, et non pour des agents d’IA autonomes au comportement dynamique. Cela crée de graves risques de non-conformité pour les secteurs réglementés : les agents de soins de santé et de services financiers peuvent accéder légalement aux données sensibles des patients ou des clients via des informations d'identification valides, mais dépasser le champ d'activité autorisé, déclenchant ainsi des violations de conformité.
La solution définitive consiste à doter chaque agent IA d’une identité indépendante unique, de privilèges verrouillés sur les tâches et d’autorisations de lecture/écriture séparées. Les contrôles au niveau des lignes au niveau de la base de données assurent une visibilité précise des données, empêchant les agents de contourner de manière non réglementée les systèmes de conformité de l'entreprise.
Normes d’audit, de contrôle au niveau des lignes et de politique pour les environnements d’IA réglementés
L'audit de conformité des agents nécessite une traçabilité de bout en bout, une journalisation complète de l'identité de l'agent, de la source d'appel, des données consultées, des politiques d'autorisation et des actions ultérieures pour reconstruire le contexte commercial complet — une fonctionnalité que les journaux d'accès de base ne peuvent pas fournir. Une gouvernance efficace repose surapplication native de la couche de donnéesvia les contrôles intégrés de PostgreSQL, plutôt que par un audit rétrospectif.
Les systèmes doivent également différencier les niveaux de risque entre les actions de lecture et d'écriture des agents avec des autorisations adaptées au scénario. Par exemple, l’accès aux données clients pour les enquêtes sur les fraudes diffère des demandes de service client de routine, tout comme l’accès aux données cliniques et administratives des patients est isolé dans le secteur des soins de santé. La sécurité au niveau des lignes bloque l'accès hors de portée à la source, limitant les agents uniquement aux enregistrements correspondant aux tâches et éliminant les risques d'exposition de données sensibles en masse.
Adoption sécurisée de l’IA pour les industries réglementées via une infrastructure de données souveraine
Les organisations financières, de télécommunications et de soins de santé doivent adhérer au principe fondamental :amener l'IA aux données, pas les données à l'IA. Les données sensibles réglementées ne doivent jamais être migrées vers des plateformes externes non contrôlées, ce qui briserait les frontières de la gouvernance souveraine et introduit des risques d’exposition.
Les entreprises doivent déployer l’IA et l’analyse en plus de leurs bases de données fiables et gouvernées existantes. L'unification des données transactionnelles, des charges de travail analytiques et de l'IA agentique sur une seule architecture conforme élimine les plates-formes fragmentées et les modèles de contrôle incohérents, évitant ainsi la migration forcée des données et le verrouillage du fournisseur.
Souveraineté des données : des termes juridiques à l'application technique
La souveraineté des données ne peut pas rester une simple exigence légale ou contractuelle : elle doit être intégrée dans la logique du système d'exécution. Les accords juridiques ne peuvent pas restreindre le comportement des agents, comme l'agrégation de données non autorisée, les requêtes inter-domaines ou les fuites de données réglementées. Les entreprises réglementées doivent appliquer des contrôles souverains au niveau de la couche de données via des autorisations de base de données natives et une sécurité au niveau des lignes pour fournir des contraintes de sécurité obligatoires en temps réel.
Le rôle des agents d’IA dans la gouvernance de la souveraineté
Les agents d'IA peuvent aider à la gestion de la souveraineté des données, maisne doit jamais servir d’autorité finale. Ils identifient efficacement les modèles d'accès anormaux, signalent une utilisation des données mal alignée et détectent les configurations obsolètes, réduisant ainsi la charge de l'inspection manuelle des environnements de données modernes et complexes.
Cependant, les règles fondamentales de souveraineté et les limites de sécurité doivent être définies et contrôlées par des administrateurs humains. Les agents d’IA opèrent strictement dans les cadres de gouvernance définis par l’entreprise et n’ont aucune autorité pour outrepasser ou contourner les politiques de conformité et de souveraineté établies.
Pékin Qianxing Jietong Technology Co., Ltd.
Sandy Yang/Directrice de la stratégie mondiale
WhatsApp/WeChat : +86 13426366826
Courriel : yangyd@qianxingdata.com
Site Web : www.qianxingdata.com/www.storagesserver.com
Objectif commercial :
Distribution de produits TIC/Intégration et services de systèmes/Solutions d'infrastructure
Avec plus de 20 ans d'expérience dans la distribution informatique, nous collaborons avec de grandes marques mondiales pour fournir des produits et des services professionnels fiables.
« Utiliser la technologie pour construire un monde intelligent » Votre fournisseur de services de produits TIC de confiance !
Votre message doit contenir entre 20 et 3 000 caractères!
French
