Enseignements tirés du rapport 2026 sur l’état des stratégies applicatives
L’IA agentique est passée du stade de la théorie à celui des attentes concrètes.
Selon notre tout nouveau rapport « État des lieux 2026 de la stratégie applicative », 98 % des organisations s’y préparent activement. Elles ne sont pas en phase d’expérimentation, mais de préparation. C’est un signal important. Les entreprises ne se demandent plus si l’IA passera à l’action. Elles partent du principe qu’elle le fera et cherchent à déterminer comment gérer les conséquences.
Et ces conséquences concernent l’architecture.
Les entreprises gardent l’inférence à proximité
L’un des indicateurs les plus révélateurs est l’endroit où s’exécute réellement l’inférence.
Environ 78 % des organisations exécutent déjà elles-mêmes leurs tâches d’inférence d’IA. Seules 36 % s’appuient principalement sur des services publics d’IA, et à peine 8 % utilisent exclusivement des services publics, sans aucune inférence autogérée.
Cette répartition est importante.
Cela montre que les entreprises ne délèguent pas le contrôle à des tiers. Elles choisissent délibérément de maintenir l’inférence au sein de leur propre périmètre opérationnel, où elle peut interagir avec leurs systèmes, leurs données et leurs workflows internes. Ainsi, lorsque l’IA agentique commencera à agir, elle ne le fera pas quelque part « à l’extérieur ». Elle agira au cœur de l’entreprise, dans plusieurs environnements et sur les systèmes de référence.
Cela augmente considérablement les enjeux.
L’acteur a changé
Ce qui suscite l’inquiétude, ce n’est pas seulement l’ampleur ou la complexité. C’est la nature de l’acteur.
Les systèmes d’IA ne sont plus de simples outils passifs répondant aux sollicitations humaines. Ils deviennent des acteurs à part entière des flux de travail. Ils lanceront des requêtes, appelleront des API, enchaîneront des actions et fonctionneront en continu.
Cela remet en cause de nombreuses hypothèses existantes.
Les modèles d’identité traditionnels sont conçus autour des humains. Un utilisateur se connecte, est authentifié, reçoit un ensemble d’autorisations et agit dans ce cadre. Ce modèle fonctionne lorsque les actions sont distinctes et peuvent être attribuées à une personne.
Ce modèle commence à montrer ses limites lorsque l’acteur est une machine capable d’émettre des milliers de requêtes sur plusieurs systèmes, en succession rapide, potentiellement pour le compte de plusieurs utilisateurs ou processus.
L’identité est devenue la préoccupation principale
Nos données reflètent clairement cette évolution.
La gestion des identités et des accès arrive en tête des défis anticipés pour l’IA agentique, devant les préoccupations liées à la qualité des modèles, à la capacité de l’infrastructure ou aux coûts. L’authentification est la méthode la plus souvent choisie pour sécuriser les services d’inférence d’IA, tandis que l’autorisation et le contrôle des accès figurent systématiquement, aux côtés de l’observabilité, parmi les mécanismes de protection les plus importants.
Dans le même temps, 88 % des organisations déclarent être confrontées à au moins une difficulté opérationnelle ou de sécurité liée à l’IA. Ce constat révèle deux choses. Premièrement, les organisations rencontrent déjà des obstacles. Deuxièmement, elles comprennent que l’identité est au cœur du problème.
Car dès lors que l’IA peut agir, la question n’est plus seulement de savoir ce qu’elle peut faire, mais quelle identité elle est autorisée à endosser.
La diffusion et la sécurité convergent au niveau des mêmes couches
Une autre tendance se dégage lorsque l’on examine les domaines dans lesquels les services de diffusion et de sécurité ont le plus d’impact sur les organisations.
Pour la diffusion, la couche de prompt arrive en tête avec 29 %, suivie de la couche de jetons et de contrôle avec 23 %. Pour la sécurité, la couche de prompt arrive de nouveau en tête avec 25 %, tandis que la couche de jetons et de contrôle atteint également 23 %.
Cette convergence n’est pas le fruit du hasard.
La couche de prompt est l’endroit où l’intention est exprimée. La couche de jetons est celle où sont gérés le périmètre, le coût et l’exécution. C’est à ces niveaux que les décisions sont prises et que les risques apparaissent.
Si la mise en production et la sécurité se concentrent toutes deux à ce niveau, cela signifie que les organisations considèrent les performances, la fiabilité et les risques comme des enjeux indissociables au moment de l’inférence.
L’identité est le fil conducteur qui les relie. Elle détermine qui envoie la requête, quelle est la portée représentée par les jetons et quelles actions sont autorisées en conséquence.
Les modèles d’identité statiques ne résistent pas aux systèmes dynamiques
Cela devient encore plus complexe dans les environnements multimodèles.
Les organisations déclarent exploiter en moyenne sept modèles en production, ainsi qu’environ deux techniques et demie pour les adapter ou étendre leurs capacités. Cela implique de prendre, lors de l’exécution, des décisions en matière de routage, de repli et de gestion des versions.
Dans un système où les requêtes sont acheminées dynamiquement entre différents modèles et contextes, une vérification ponctuelle de l’identité lors de la connexion ne suffit pas. L’identité doit accompagner la requête. Elle doit être évaluée en continu, en fonction des décisions d’acheminement, des limites de jetons et de l’application des politiques.
En d’autres termes, l’identité passe d’un contrôle à l’entrée à un contrôle intégré au processus.
Le contrôle est censé être programmatique
La manière dont ce contrôle est exercé est tout aussi importante.
Pour leurs tâches opérationnelles, les organisations privilégient systématiquement le contrôle par API plutôt que les interfaces graphiques, les interfaces en ligne de commande ou les interfaces en langage naturel. Même celles qui utilisent peu l’IA continuent de préférer les API.
Cette préférence n’est pas une question de commodité, mais de nécessité.
Les agents ne cliquent pas sur des boutons. Ils appellent des API. Ils s’authentifient, obtiennent les autorisations nécessaires et exécutent des actions par l’intermédiaire d’interfaces programmatiques. Tout modèle d’identité reposant sur des processus nécessitant une intervention humaine ne résistera pas aux comportements agentiques.
L’application des règles d’identité doit donc être exploitable par les machines, pilotée par des politiques et entièrement automatisable.
L’identité est le seul contrôle capable de s’adapter à grande échelle
Si l’on met tout cela bout à bout, la conclusion s’impose.
L’IA agentique introduit davantage d’acteurs, davantage d’actions et des changements continus plus nombreux. Dans cet environnement, les contrôles traditionnels peinent à suivre le rythme. Les frontières du réseau s’estompent. Les autorisations statiques deviennent fragiles. La supervision manuelle ne peut pas passer à l’échelle.
L’identité, elle, passe à l’échelle.
C’est le seul mécanisme de contrôle capable de déterminer, en temps réel, qui ou quoi agit, pour le compte de qui, sous quelles contraintes et avec quel degré de responsabilité. Il peut accompagner la requête, s’adapter au contexte et être appliqué directement lors de la transmission et de l’inférence.
Sans cela, les systèmes agentiques deviennent soit dangereusement permissifs, soit ingérables sur le plan opérationnel.
Voici le changement d’architecture
Les données sont sans équivoque.
- 98 % des organisations se préparent à l’IA agentique.
- 78 % exécutent déjà eux-mêmes l’inférence.
- 88 % rencontrent des difficultés opérationnelles ou des problèmes de sécurité.
- L’identité est la principale préoccupation, et les API constituent la surface de contrôle privilégiée.
Cette combinaison mène à une seule conclusion : l’IA agentique n’est pas avant tout un problème d’IA. C’est un problème d’identité et de plan de contrôle.
Et toute architecture qui ne place pas l’identité au cœur du processus de déploiement et d’inférence aura du mal à répondre aux attentes des entreprises en matière de confiance, de contrôle et de sécurité.
Car dans un monde où les machines agissent, l’identité ne se résume plus à une simple question d’accès.
Il est question d’autorité.
Pour en savoir plus, consultez le rapport complet « État de la stratégie applicative en 2026 ».
À propos de l’auteur
Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.
Autres articles de Lori Mac VittieArticles de blog associés
Votre prochain SRE pourrait être une machine
Le contrôle se concentre au niveau de l’intention : les prompts, les jetons et le routage. Le défi architectural consiste à définir où l’IA peut agir, quand elle doit s’en remettre à l’humain et comment revenir en arrière.
Le secret pour faire passer l’IA à l’échelle réside dans la capacité à surmonter la loi de Conway
L’IA ne passera pas à l’échelle toute seule. Sans un plan de contrôle unifié qui décloisonne les outils et les responsabilités, l’inférence devient la couche la plus fragile et la plus exigeante en matière de coordination.
L’identité est la clé d’accès à l’IA agentique
À mesure que l’IA agentique fait passer les machines du statut d’outils à celui d’acteurs, l’identité devient le principal levier de contrôle : qui peut agir, au nom de qui et dans quel périmètre — avec une application en ligne au moment de l’inférence.
L’inférence est désormais le centre de gravité opérationnel
Les opérations multimodèles et l’automatisation pilotée par API déplacent le contrôle vers les couches intervenant au moment de l’inférence — prompts, jetons et paramètres de contrôle, routage et modération — où les coûts, les risques et les performances doivent être maîtrisés.
L’IA, l’inférence et les jetons, rien que ça !
Les applications d’IA s’exécutent sur des serveurs d’inférence, dont la charge dépend des jetons, et non du trafic. Découvrez pourquoi il est essentiel de comprendre les jetons et les données JSON pour concevoir une infrastructure plus intelligente.