Plugin Admin d'OpenAI : l'IA gère désormais vos accès

2026-08-27 · 5 min de lecture · Gouvernance IA

OpenAI a lancé le 25 août 2026 le plugin Admin pour ChatGPT Work et Codex : un assistant qui ajoute des comptes, modifie des groupes et ajuste des permissions. Ce que cette délégation de l'administration exige comme contrôles.

Un plugin d'administration piloté par IA (intelligence artificielle) est un composant qui autorise un assistant conversationnel à consulter l'état d'un espace de travail d'entreprise et à y exécuter des actions de gestion : ajouter un compte, retirer un membre, modifier un groupe, ajuster une limite d'usage. OpenAI a lancé ce type d'outil le 25 août 2026 avec le plugin Admin pour ChatGPT Work et Codex, distribué depuis l'annuaire de plugins de l'espace de travail.

Le plugin couvre quatre familles d'actions : analyse de l'activité et de la consommation de crédits, gestion des membres et des groupes, revue des permissions effectives, ajustement des limites de dépense. Les demandes peuvent être routées vers Slack ou Microsoft Teams pour approbation, avec octroi automatique lorsque des conditions prédéfinies sont réunies. OpenAI indique que son propre service des technologies de l'information traite environ 45 % du volume de billets avec l'outil, alors que le volume de demandes avait doublé (ITBrief, 26 août 2026). Ce chiffre vient de l'éditeur et porte sur son contexte interne.

Que fait exactement le plugin Admin d'OpenAI ?

Analyse d'adoption et de crédits. Il examine l'activité des 30 derniers jours et signale les membres qui approchent de leur plafond de crédits.
Cycle de vie des comptes. Il ajoute ou retire des membres, met à jour des groupes et exécute les gestes récurrents d'arrivée et de départ.
Revue des permissions effectives. Il affiche les droits réellement appliqués, diagnostique un problème d'accès et restreint une fonction ou un modèle par rôle ou par groupe.
Contrôle des dépenses. Il ajuste les limites d'un membre, d'un groupe ou de l'espace de travail, puis approuve ou refuse une demande selon l'usage constaté.
Automatisation des vérifications récurrentes. Il applique des règles répétitives sans développement sur mesure.

OpenAI précise que le plugin agit à l'intérieur des permissions déjà détenues par l'administrateur connecté et ne les élargit pas.

Pourquoi la gestion des accès change de nature

L'IA en entreprise a d'abord servi à lire : résumer, chercher, rédiger. Le plugin Admin franchit un seuil différent, celui de l'écriture sur le plan de l'identité et des droits. Un assistant qui retire un compte ou élargit un groupe touche au mécanisme qui protège les renseignements personnels des employés et des clients.

Le cadre de gestion des risques liés à l'IA du NIST (National Institute of Standards and Technology), publié en janvier 2023, place cette responsabilité dans sa fonction GOVERN : chaque système doit avoir un propriétaire nommé, un inventaire et un cycle de vie de ses identifiants. Les travaux 2026 de la Cloud Security Alliance sur le profil agentique de ce cadre recommandent de traiter ces agents comme des identités non humaines, soumises aux mêmes règles de moindre privilège que les comptes de service.

Le risque à surveiller est l'injection d'instruction : un contenu malveillant glissé dans une demande, un billet ou un document peut détourner un assistant disposant de droits d'écriture. Le cas CoSnitch documenté en août 2026 a montré comment un assistant d'entreprise peut exécuter une consigne qui ne vient pas de son administrateur.

Quelles obligations la Loi 25 impose-t-elle à ces automatisations ?

L'article 12.1 de la Loi sur la protection des renseignements personnels dans le secteur privé, en vigueur depuis le 22 septembre 2023, encadre toute décision fondée exclusivement sur un traitement automatisé de renseignements personnels. L'entreprise doit en informer la personne concernée au plus tard au moment de la décision, lui permettre de présenter ses observations à un membre du personnel capable de réviser la décision et, sur demande, communiquer les renseignements utilisés ainsi que les principaux facteurs ayant mené au résultat.

Une règle qui accorde ou refuse automatiquement un accès à un employé, sans intervention humaine, entre dans le champ de cette analyse. La Commission d'accès à l'information (CAI) peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial. La question à trancher avant activation n'est donc pas seulement technique, elle est juridique : quelles décisions restent soumises à un humain identifié ?

Cinq contrôles avant d'activer un administrateur IA

Inscrire le plugin à l'inventaire des systèmes d'IA, avec un propriétaire nommé et une date de revue.
Limiter le compte qui l'exécute aux droits strictement nécessaires, plutôt qu'un compte à privilèges complets.
Exiger une approbation humaine explicite pour toute action touchant un membre, un groupe ou une permission.
Vérifier que les journaux d'audit distinguent l'action exécutée par le plugin de celle exécutée directement par une personne.
Documenter, pour chaque automatisation, si elle constitue une décision exclusivement automatisée au sens de l'article 12.1.

Ces cinq points valent pour tout assistant à qui l'on confie des droits d'écriture, quel que soit l'éditeur. Un diagnostic de maturité IA permet de situer l'organisation avant d'ouvrir ce type d'accès.

Questions fréquentes

Le plugin Admin peut-il accorder plus de droits que l'administrateur qui l'utilise ?

Non. OpenAI précise que le plugin opère à l'intérieur des permissions existantes du compte connecté et ne les élargit pas. Chaque demande est convertie en action de lecture ou d'écriture prise en charge, et les opérations à portée large restent soumises à revue avant leur application.

Sur quels forfaits le plugin Admin est-il disponible ?

Le plugin est offert aux espaces de travail ChatGPT Work et Codex, depuis l'annuaire de plugins. L'annonce du 25 août 2026 ne mentionne ni déploiement géographique restreint, ni supplément tarifaire distinct pour cette fonction.

Une automatisation d'octroi d'accès relève-t-elle de la Loi 25 ?

Elle peut en relever. Si une règle accorde ou refuse un accès à une personne sans intervention humaine et que la décision repose sur des renseignements personnels, l'article 12.1 impose d'informer la personne et de lui permettre de présenter ses observations à un membre du personnel.

Sources

OpenAI, « Introducing the Admin plugin for ChatGPT Work and Codex », 25 août 2026 : https://openai.com/index/introducing-admin-plugin/
ITBrief, « OpenAI launches Admin plugin for ChatGPT Work & Codex », 26 août 2026 : https://itbrief.asia/story/openai-launches-admin-plugin-for-chatgpt-work-codex
Gouvernement du Québec, « Décision fondée exclusivement sur un traitement automatisé » : https://www.quebec.ca/gouvernement/travailler-gouvernement/normes-gouvernance-pratiques-internes/protection-des-renseignements-personnels/technologie-et-droit-a-la-protection-des-renseignements-personnels/decision-traitement-automatise
Commission d'accès à l'information du Québec, « Principaux changements apportés par la Loi 25 » : https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25
NIST, « AI Risk Management Framework (AI RMF 1.0) », janvier 2023 : https://www.nist.gov/itl/ai-risk-management-framework
Cloud Security Alliance, « NIST AI RMF Agentic Profile », 2026 : https://labs.cloudsecurityalliance.org/agentic/agentic-nist-ai-rmf-profile-v1/

Voir tous les articles