Qu'est-ce que le KYA (Know Your Agent) : Guide Complet

Nous expliquons ce qu'est le processus KYA, pourquoi il est nécessaire à l'ère des agents IA, comment il fonctionne et ce qu'il implique pour les entreprises qui opèrent avec des agents autonomes.

Que signifie KYA

KYA est l'acronyme de Know Your Agent (Connaître son Agent). C'est le processus par lequel une entreprise identifie, vérifie et surveille les agents d'intelligence artificielle qui interagissent avec ses systèmes, services ou clients.

Si le KYC (Know Your Customer) vérifie qu'une personne est bien celle qu'elle prétend être, le KYA vérifie qu'un agent IA est bien ce qu'il prétend être : qui l'a créé, quelles permissions il possède, au nom de qui il agit et ce qu'il est autorisé à faire.

Pourquoi le KYA existe

L'adoption des agents IA connaît une croissance exponentielle. En 2026, des millions d'agents autonomes opèrent sur internet en réalisant des tâches pour le compte de personnes et d'entreprises : ils réservent des voyages, gèrent des achats, négocient des contrats, accèdent à des APIs et exécutent des transactions financières.

Ce nouveau paradigme soulève des questions auxquelles le KYC traditionnel ne peut pas répondre :

Qui se cache derrière cet agent ?
Est-il autorisé à effectuer cette opération ?
Agit-il au nom d'une personne réelle et vérifiée ?
Ses identifiants sont-ils légitimes ou ont-ils été falsifiés ?
Quel niveau d'autonomie possède-t-il et qui est responsable de ses actions ?

Sans cadre de vérification pour les agents, les entreprises s'exposent à la fraude automatisée à grande échelle, à l'usurpation d'identité via des agents, à l'utilisation non autorisée d'APIs et à des responsabilités juridiques floues.

Différence entre KYC et KYA

Concept	KYC	KYA
Sujet vérifié	Personne physique ou morale	Agent IA autonome
Ce qui est vérifié	Identité de l'individu	Identité de l'agent, son créateur et son mandant
Documentation	Carte d'identité, passeport, statuts	Identifiants d'agent, certificats, jetons de délégation
Objectif	Prévenir la fraude et le blanchiment	Prévenir la fraude automatisée et l'utilisation non autorisée
Surveillance	Transactions du client	Actions et comportements de l'agent
Responsabilité	De l'individu	Du mandant (personne/entreprise qui délègue à l'agent)

Le KYA ne remplace pas le KYC. Il le complète. Un agent IA qui exécute une transaction financière doit être lié à un utilisateur vérifié par KYC, et sa propre identité et ses permissions doivent également être vérifiées par KYA.

Comment fonctionne le processus KYA

Un processus KYA complet se structure en quatre phases :

1. Identification de l'agent

Chaque agent doit avoir une identité vérifiable et unique :

Identifiant unique : Un ID cryptographique qui distingue l'agent de tout autre.
Métadonnées de l'agent : Nom, version, objectif déclaré, modèle de base et capacités.
Créateur/Développeur : Identification de l'entreprise ou de l'individu qui a construit l'agent.
Mandant : La personne ou l'entité au nom de laquelle l'agent agit.

2. Vérification des identifiants

Les identifiants de l'agent doivent être authentiques et valides :

Certificats d'origine : Signature numérique du développeur garantissant l'intégrité de l'agent.
Jetons de délégation : Identifiants prouvant que l'agent dispose d'une autorisation explicite de son mandant pour effectuer des actions spécifiques.
Chaîne de confiance : Vérification que l'ensemble de la chaîne — du développeur au mandant — est authentifié.

3. Vérification des permissions et du périmètre

Il ne suffit pas de savoir qui est l'agent. Il faut vérifier ce qu'il peut faire :

Périmètre d'action : Quelles opérations il est autorisé à effectuer (consulter, acheter, transférer, signer).
Limites : Montants maximaux, fréquence des opérations, juridictions autorisées.
Restrictions temporelles : Fenêtres d'activité, dates d'expiration des permissions.

4. Surveillance continue

Comme pour le KYC, la vérification ne s'arrête pas à l'enregistrement initial :

Analyse comportementale : Détection de schémas anormaux pouvant indiquer un agent compromis ou agissant hors de son périmètre.
Limitation de débit intelligente : Contrôle de la vitesse et du volume des opérations pour détecter les abus automatisés.
Révocation en temps réel : Capacité à désactiver immédiatement les identifiants d'un agent en cas d'activité suspecte.

Risques de ne pas implémenter le KYA

Fraude automatisée à grande échelle

Un agent malveillant peut exécuter des milliers de transactions frauduleuses en quelques minutes. Sans KYA, il n'y a aucun moyen de distinguer un agent légitime d'un agent compromis ou créé avec des intentions frauduleuses.

Usurpation d'agents

Tout comme il existe de faux documents d'identité, il existe des agents qui se font passer pour d'autres. Un agent prétendant être l'assistant autorisé d'un client fortuné peut exécuter des opérations que le client n'a jamais approuvées.

Responsabilité juridique floue

Si un agent cause un préjudice — un achat non autorisé, une fuite de données, une transaction illégale — qui est responsable ? Sans KYA, la chaîne de responsabilité est impossible à retracer.

Abus d'APIs et de services

Des agents non vérifiés peuvent consommer des ressources de manière abusive, effectuer du scraping massif, manipuler les prix ou exploiter des vulnérabilités de façon automatisée.

Le KYA en pratique : cas d'usage

Services financiers

Un agent IA opérant pour le compte d'un client pour exécuter des investissements ou des transferts doit démontrer :

Que son mandant a été vérifié par KYC.
Qu'il dispose d'une autorisation explicite pour opérer dans les limites définies.
Que ses identifiants sont émis par un fournisseur de confiance.

E-commerce et places de marché

Les agents qui effectuent des achats automatiques, comparent les prix ou gèrent les retours doivent s'identifier auprès de la plateforme. Cela prévient la manipulation des stocks, les achats massifs automatisés et l'abus de promotions.

Plateformes de voyage et d'hôtellerie

Les agents qui réservent des vols, des hôtels ou des expériences au nom d'utilisateurs doivent lier leurs actions à un utilisateur vérifié, notamment lorsque la réglementation exige l'identification du voyageur.

APIs d'entreprise

Toute API exposant des données sensibles ou permettant des opérations d'écriture doit vérifier l'identité et les permissions de l'agent qui la consomme — pas seulement la clé API, mais l'identité vérifiée de l'agent et de son mandant.

Cadre technique du KYA

Standards émergents

L'écosystème d'identité des agents mûrit rapidement :

Agent Protocol : Standards ouverts pour la communication inter-agents incluant des couches d'identification et d'authentification.
OAuth 2.0 pour agents : Extensions du protocole OAuth permettant la délégation de permissions aux agents avec des périmètres granulaires.
Verifiable Credentials (VCs) : Attestations vérifiables émises par des autorités de confiance certifiant l'identité et les permissions de l'agent.
DID (Decentralized Identifiers) : Identifiants décentralisés permettant aux agents d'avoir des identités vérifiables sans dépendre d'une autorité centrale.

Architecture de confiance

Un système KYA robuste repose sur :

Registres de confiance : Registres d'agents vérifiés et de leurs identifiants.
Moteurs de politiques : Moteurs évaluant en temps réel si un agent a la permission d'effectuer une action spécifique.
Pistes d'audit : Registres immuables de toutes les actions effectuées par chaque agent pour la traçabilité et la conformité.

KYA et réglementation

Bien qu'il n'existe pas encore de réglementation KYA spécifique équivalente aux directives AML/KYC, la tendance réglementaire est claire :

EU AI Act : Établit des obligations de transparence et de traçabilité pour les systèmes d'IA, y compris l'identification du fournisseur et du déployeur.
eIDAS 2.0 : Le cadre européen d'identité numérique envisage l'extension des attestations vérifiables aux entités non humaines.
NIST AI RMF : Le cadre de gestion des risques IA du NIST inclut la gouvernance des agents autonomes.

Il est prévisible que dans les années à venir, des réglementations spécifiques seront développées exigeant la vérification de l'identité des agents IA opérant dans des secteurs réglementés.

Questions fréquentes sur le KYA

Le KYA remplace-t-il le KYC ?

Non. Le KYA complète le KYC. L'agent doit être lié à un utilisateur ou une entreprise vérifié par KYC. Le KYA ajoute la couche de vérification de l'agent lui-même.

Qui est responsable des actions d'un agent ?

Le mandant : la personne ou l'entreprise qui a délégué à l'agent. Le KYA documente cette chaîne de délégation afin que la responsabilité soit traçable.

Ai-je besoin du KYA si mon entreprise n'utilise pas d'agents IA ?

Si votre entreprise expose des APIs, des services web ou des plateformes pouvant être consommés par des agents tiers, oui. Vous ne contrôlez pas qui envoie les requêtes, mais vous pouvez vérifier l'identité de l'agent qui les effectue.

Comment détecte-t-on un agent qui prétend être humain ?

Par l'analyse comportementale (schémas de navigation, vitesse d'interaction, fingerprinting), la détection d'automatisation et, dans les processus critiques, la vérification biométrique que seule une personne réelle peut réussir.

Le KYA affecte-t-il les performances des agents ?

Avec une implémentation adéquate, la vérification ajoute des millisecondes au processus. Les jetons de session permettent de vérifier une fois et d'opérer sans friction supplémentaire pendant la session active.

Votre plateforme interagit avec des agents IA et vous devez vérifier leur identité et leurs permissions ? Découvrez comment Joinble étend la vérification d'identité au monde des agents autonomes.