Vercel lance BYOC sur AWS et la bêta d'autorisation pour agents : la consommation de tokens IA quadruple

Vercel étend sa plateforme Enterprise Apps and Agents : Bring Your Own Cloud (BYOC) sur AWS passe en disponibilité générale, et Enterprise-Managed Authorization, dans Vercel Connect, entre en bêta publique. L'éditeur met en avant des chiffres de demande. Selon Vercel, la consommation de tokens des clients entreprise sur AI Gateway a quadruplé au cours des trois derniers mois. OpenAI indiquait de son côté que, entre août 2025 et juin 2026, le nombre d'utilisateurs de Codex qui ne sont pas développeurs avait été multiplié par 189.

Tout le monde construit, mais c'est l'IT qui répond

Vercel qualifie ces utilisateurs de citizen developers. Un marketeur assemble une landing page dans ChatGPT, un analyste enchaîne les requêtes et construit un rapport dans Claude Code, un ingénieur travaille dans Codex, OpenCode ou fx. Chacun connaît son périmètre métier mieux que le service informatique et peut désormais écrire lui-même le logiciel dont il a besoin. Revers de la médaille : les employés utilisent des outils d'IA, qu'ils aient été approuvés ou non. Si un vibe-codeur conçoit mal une page de connexion, des données confidentielles peuvent se retrouver sur l'internet public.

Enterprise Apps and Agents est disponible pour les clients depuis juin. C'est un point d'entrée unique pour les déploiements, destiné aussi bien aux ingénieurs qu'aux employés non techniques. Les politiques d'accès, de fournisseurs, de modèles, de stockage des données, de budgets de tokens et d'intégrations se définissent de façon centralisée, via l'IdP existant de l'entreprise.

Klaviyo en donne un exemple parlant. Auparavant, la mise en production d'une simple application interne prenait deux semaines : relances auprès de l'IT, demandes aux ingénieurs, rappels à l'équipe plateforme. L'entreprise a bâti une plateforme interne sur Enterprise Apps and Agents, et une idée peut maintenant être déployée en trois minutes. Au cours des deux premières semaines, 512 employés ont publié 356 applications. Mohamed Ali, architecte IA senior chez Klaviyo, explique que Vercel a permis de construire des garde-fous plutôt que des murs.

Quatre domaines de contrôle

Vercel répartit la gouvernance en quatre domaines et associe à chacun ses propres outils :

• Déploiement : Enterprise Managed Users et RBAC.
• Accès : Vercel Passport, Deployment Protection et Vercel Firewall.
• Intégrations et données : Vercel Connect et Enterprise-Managed Authorization.
• Modèles et tokens : AI Gateway, avec notamment l'inférence réservée aux États-Unis et des plafonds budgétaires.

L'observabilité et la surveillance de la sécurité sont regroupées au même endroit : analytique, journaux d'audit et Security Dashboard couvrant tous les projets. Secure Compute assure une connexion privée avec les systèmes de l'entreprise. BYOC sur AWS exécute les fonctions des applications dans le compte AWS du client, avec ses droits et ses restrictions réseau. L'entreprise bénéficie ainsi de l'expérience développeur complète de Vercel, tandis que le calcul et les données ne quittent pas le périmètre AWS.

L'accès des agents aux systèmes pose un problème à part. On crée généralement pour cela des variables d'environnement durables, dotées de droits étendus sur le CRM, les bases de données et Slack. Vercel Connect procède autrement : il crée des connecteurs à accès restreint et émet un token pour chaque tâche de l'agent, qui ne voit ainsi que le contexte nécessaire.

La nouvelle Enterprise-Managed Authorization ajoute du confort : lorsqu'un employé se connecte à Vercel via l'IdP, les agents utilisent les services connectés sans demande d'autorisation distincte. Connect fonctionne avec Passport, si bien que les droits d'une personne s'appliquent aussi au niveau des intégrations. Si elle ne voit pas les données dans le système d'origine, elle ne les obtiendra pas non plus via l'application.

Par défaut, chaque déploiement peut être rendu privé, et l'accès aux applications internes peut être lié à une connexion via l'IdP.

Par où commencer

Pour les équipes IT, l'ordre pratique est le suivant. D'abord, un inventaire : quels outils d'IA les employés utilisent déjà, et quelles clés durables se trouvent dans les variables d'environnement des agents. Ensuite, un point de déploiement unique, privé par défaut, avec connexion via l'IdP. Enfin, des budgets de tokens et des règles pour les modèles, par exemple l'inférence réservée aux États-Unis si la conformité l'exige.

Pour ceux qui tiennent à garder leurs données dans leur propre cloud, BYOC sur AWS convient : il est déjà en disponibilité générale. Enterprise-Managed Authorization est encore en bêta ; il est donc raisonnable de l'essayer d'abord sur des intégrations non critiques. La hausse de 189 fois du nombre d'utilisateurs non développeurs de Codex montre que la question « faut-il laisser tout le monde construire » a déjà été tranchée par les employés eux-mêmes. Reste à décider où tout cela sera hébergé et qui en porte la responsabilité.