Workday rachète C1.ai : vos agents marketing ont aussi besoin d'identités

Quand un nouveau collaborateur arrive, quelqu'un crée ses comptes, décide de ce qu'il peut voir et lui retire ses accès lorsqu'il part. Quand un nouvel agent IA rejoint votre équipe marketing, qui s'en charge ? Le 13 octobre, Workday a annoncé le rachat d'une entreprise dont toute l'activité consiste à répondre à cette question.

Ce qui s'est passé

Selon le communiqué de presse de Workday, l'entreprise a signé un accord définitif pour acquérir C1.ai, une « plateforme d'identité agentique pour les personnes et les agents ». Le prix n'a pas été divulgué, et la transaction devrait être finalisée au quatrième trimestre de l'exercice 2027 de Workday, qui se termine le 31 janvier 2027, sous réserve des conditions habituelles.

C1.ai se connecte aux systèmes de l'entreprise comme la messagerie, le CRM, les dépôts de code, les systèmes financiers et l'infrastructure cloud. Elle accorde à chaque personne et à chaque agent un accès lorsqu'il est nécessaire et le retire dès qu'il ne l'est plus. Selon sa propre description, la plateforme offre des accès délimités, des politiques appliquées, une validation humaine et un historique de chaque action.

Le communiqué pose le problème à l'aide de deux chiffres : citant les recherches de C1.ai, il indique que 95 % des grandes entreprises américaines utilisent déjà des agents autonomes ; citant Deloitte, il précise que seulement 21 % déclarent disposer d'une méthode mature pour les gouverner. Gerrit Kazmaier, de Workday, a déclaré : « Les entreprises d'aujourd'hui fonctionnent avec une main-d'œuvre combinant personnes et agents IA. » Le CEO de C1.ai, Alex Bovee, a été plus direct : « Les entreprises ne peuvent pas sécuriser l'ère de l'IA avec les tickets informatiques d'hier. »

Pourquoi c'est important

Le marketing est l'une des fonctions les plus gourmandes en autorisations dans une entreprise, même si l'on n'en a pas l'impression. Pensez à tout ce à quoi un agent marketing performant pourrait devoir accéder : le CRM avec les données clients, les comptes publicitaires avec les budgets, l'analytique, le système de gestion de contenu, les comptes sociaux qui parlent au nom de la marque, la plateforme d'e-mailing, des espaces partagés remplis de plans non publiés.

La plupart des équipes accordent ces accès à l'ancienne. Quelqu'un partage un identifiant. Une clé API traîne dans un tableur. Un outil reçoit des droits « admin » parce que c'était plus simple. C'était déjà risqué avec des personnes. Avec des agents qui fonctionnent en continu et agissent à la vitesse de la machine, cela devient le principal risque.

Ce que la proposition de C1.ai a de juste, c'est la forme de la réponse : un accès délimité à la tâche, accordé juste à temps, validé par un humain lorsque c'est nécessaire, et journalisé. Ce n'est pas un détail informatique. C'est ce qui détermine si l'on peut confier en toute sécurité un vrai travail à un agent.

Ce que disent mes recherches

Bien avant les agents, mon équipe a travaillé sur un problème d'identité plus simple. Dans Person, Organization, or Personage: Towards User Account Type Prediction in Microblogs (EGOSE 2018), nous avons étudié comment distinguer les comptes personnels, institutionnels et de célébrités. L'idée de départ était qu'on ne peut pas interpréter correctement un comportement si l'on ne sait pas quel type d'acteur l'a produit.

Le même principe s'applique désormais au sein de l'entreprise. Chaque action dans votre stack marketing doit être attribuable : cette modification de budget a-t-elle été faite par une personne, par un agent agissant pour une personne ou par une règle automatisée ? Sans cela, vous ne pouvez ni auditer les résultats, ni expliquer les erreurs, ni tirer des enseignements de ce qui a fonctionné. Dans nos recherches sur l'IA explicable, d'Against Opacity à MindFuse, les explications reposent sur la connaissance des entrées et des décisions qui ont mené à un résultat. L'identité est la première de ces entrées.

J'y vois aussi une part de l'évolution que je défends dans mes chroniques Forbes : le passage des marketeurs du statut de créateurs de contenu manuels à celui de curateurs d'outils d'IA. Être curateur d'agents implique de décider ce que chacun est autorisé à faire.

Ce que les opérations marketing doivent faire dès maintenant

• Donnez à chaque agent sa propre identité. Pas d'identifiants humains partagés. Si une plateforme ne prend pas en charge les comptes de service ou les clés API à portée limitée, considérez-le comme un signal d'alarme.
• Délimitez par tâche. Un agent qui rédige des rapports a besoin d'un accès en lecture à l'analytique, pas d'un accès en écriture aux budgets publicitaires.
• Exigez une validation pour les actions irréversibles. Publier, dépenser au-delà d'un seuil et supprimer des données devraient nécessiter le feu vert d'un humain.
• Faites expirer les accès. Accordez les accès pour la durée d'une campagne ou d'une tâche, et retirez-les automatiquement ensuite.
• Journalisez et vérifiez. Gardez un historique des actions des agents et consultez-le, en particulier après tout événement inattendu concernant les dépenses ou les messages.
• Incluez les agents dans les procédures de départ. Quand une relation avec un prestataire, un outil ou une agence prend fin, révoquez les agents et les clés qui l'accompagnaient.

L'opération de Workday montre que le monde du logiciel d'entreprise considère désormais les agents comme des membres de la main-d'œuvre. Le marketing devrait faire de même, en commençant par la question de savoir qui détient les clés.

FAQ