Google Workspace peut désormais suspendre vos agents IA et leur accès à Drive — ce qu’une PME doit vérifier avant le 1er septembre

Dans sa mise à jour d’août 2026 de Workspace Studio — l’outil sans code qui permet de construire des automatisations pilotées par Gemini, appelées « flows » — Google a ajouté un tableau de bord de gestion des accès des agents dans la console d’administration. Un administrateur peut désormais suspendre un agent dans son ensemble, ou lui retirer un seul accès — par exemple couper l’accès à Google Drive d’un flow précis sans toucher au reste de l’automatisation. Le déploiement a démarré le 20 août 2026 pour les domaines en publication rapide ; il atteint les domaines en publication programmée le 1er septembre 2026, ce qui couvre la majorité des PME sur un abonnement Workspace standard.

Ce qui change concrètement dans la console d’administration

• →Un tableau de bord « gestion des accès des agents » qui liste chaque flow créé dans Workspace Studio et les habilitations qu’il détient.
• →La possibilité de suspendre un agent entier, ou de lui retirer une seule habilitation (Drive, Gmail, Agenda…) sans désactiver le reste de l’automatisation.
• →Un filtre Gemini DLP (prévention de la perte de données) qui restreint l’accès de Gemini aux fichiers Drive selon leur contenu ou leur étiquette de confidentialité.
• →Une option pour exiger une confirmation humaine avant qu’un flow ne partage une donnée hors de l’organisation, ou pour désactiver certains types d’étapes et les intégrations par webhook.
• →Un outil d’investigation qui permet de passer directement d’une alerte de sécurité à la page de gestion des accès, pour couper l’habilitation en cause.

Pour l’instant, seuls les flows créés après le déploiement apparaissent automatiquement dans ce tableau de bord ; Google indique que la prise en charge des flows existants suivra.

Pourquoi Google agit maintenant

Ce renforcement arrive un mois après que la CNIL et le Conseil de l’IA et du Numérique ont publié, le 20 juillet 2026, une note d’alerte sur l’IA agentique que nous avions détaillée sur ce blog : mémoire persistante, chaînes de traitement opaques passant par plusieurs services, rôles de responsable et de sous-traitant mal définis. Le constat rejoint une littérature qui s’accumule sur le terrain. Une étude de 2025 signée Mario Silic, Dario Silic et Kathrin Kind-Trüller, publiée dans la revue Strategic Change, From Shadow IT to Shadow AI – Threats, Risks and Opportunities for Organizations, menée auprès de 140 professionnels et de 10 dirigeants interrogés, montre que les usages d’IA non déclarés se développent précisément là où la gouvernance existante ne suit pas la pratique réelle des équipes — ce que les auteurs appellent une « zone de dérive de gouvernance ». Sur le plan technique, une étude de janvier 2026 signée Zimo Ji, Daoyuan Wu et sept coauteurs, Taming Various Privilege Escalation in LLM-Based Agent Systems: A Mandatory Access Control Framework, détaille comment un agent IA peut, par une simple instruction en langage naturel, être amené à obtenir plus d’accès que sa tâche n’en exige — exactement le scénario que le contrôle par habilitation ajouté par Google vise à limiter.

Ce que ça change pour votre PME

La plupart des PME sur Google Workspace n’ont pas encore construit de Studio Flow en interne — mais celles où un collaborateur a commencé à assembler lui-même un agent de tri d’e-mails ou de reporting piloté par Gemini sont exactement le public visé par cette mise à jour. Trois vérifications concrètes avant le déploiement du 1er septembre :

• →Demandez à votre administrateur Workspace de lister, dans la console d’administration, tous les flows déjà créés et les accès que chacun détient — Drive, Gmail, Agenda — avant de découvrir qu’un agent oublié a toujours accès à un dossier partagé sensible.
• →Activez le filtre Gemini DLP sur les dossiers Drive contenant des données RH, contractuelles ou clients, en les étiquetant en amont plutôt qu’en réagissant après un incident.
• →Exigez une confirmation humaine sur toute étape d’un flow qui partage une donnée hors de l’organisation — le même principe de supervision que nous recommandons pour un agent vigie qui surveille plusieurs outils internes à la fois, ou pour un agent de reporting qui agrège des chiffres épars : l’automatisation fait gagner du temps, la supervision reste nécessaire tant que la chaîne de traitement n’est pas entièrement auditable.

Le tableau de bord de Google ne remplace pas une politique de gouvernance IA — il donne simplement un levier technique pour l’appliquer. Sans inventaire des agents déjà en place, ce levier ne sert à rien : commencez par la liste, avant le 1er septembre.