Certifier l'autorité, quel que soit l'acteur.
Les comptes de service, les identités de charge et les agents IA sont bien plus nombreux que les humains, et la plupart des organisations ne peuvent pas dire qui les possède. Le marché se bat sur ce à quoi un agent peut accéder. REVIEWIT répond à une question différente : qui l'a autorisé, un humain a-t-il décidé, et pouvez-vous le prouver après coup.
Tout le monde est sur la première. Personne n'est sur la quatrième.
1. À quoi peut-il accéder ?
Le graphe de permissions. Encombré, bien financé, et ce n'est pas là que vit la certification.
2. Qui l'a autorisé ?
Un propriétaire nommé, responsable, avec une raison pour que l'identité existe, tout simplement.
3. Un humain a-t-il décidé ?
Pas une politique, pas une automatisation. Une personne, à une date, avec un commentaire.
4. Pouvez-vous le prouver ?
Six mois plus tard, face à un régulateur. Scellée, chaînée, exportable. C'est la question de REVIEWIT.
L'obligation est périodique. Le geste est le même.
Une supervision humaine avec la capacité d'intervenir, des journaux automatiques conservés, une démontrabilité sur demande. L'AI Act demande aux agents ce que DORA et NIS2 demandent déjà aux personnes : montrer, périodiquement, qu'une autorité humaine supervise. La campagne de certification ne change pas. Son sujet, lui, change.
- La question change. Pour une personne : cet accès doit-il continuer ? Pour une identité non humaine : qui la possède, et pourquoi existe-t-elle encore ?
- La politique existe. Les politiques de propriété et d'orphelins portent déjà un nombre minimum de propriétaires, une acceptation, des stratégies de désignation et des échéances. Elles s'appliquent à un compte de service comme elles s'appliquent à un site.
- La preuve existe. La décision d'un humain nommé, signée, scellée dans la piste d'audit. Quel que soit l'acteur certifié.
Nous gouvernons d'abord notre propre agent.
Le registre de RITA consigne, pour chaque échange, ce que l'assistant a réellement fait et avec quels outils, sous quelle session. C'est la brique primitive dont une gouvernance d'agents a besoin : pas ce qu'il était autorisé à faire, mais ce qu'il a fait, et sous quelle autorité. REVIEWIT applique à sa propre IA ce qu'elle appliquera à la vôtre.
Commencez par l'attestation de propriété.
Nommez un propriétaire, justifiez l'existence, fixez une échéance. C'est la campagne par laquelle commence tout programme d'identités non humaines, et REVIEWIT l'exécute dès aujourd'hui.