MCP en entreprise : brancher les outils de toute une équipe sans un clic par salarié

Connecter un assistant IA à ses outils de travail via MCP, c'est simple pour une personne : on clique sur « autoriser » pour chaque service. À l'échelle d'une entreprise, ça devient un problème. Le protocole y répond avec une extension, déclarée stable en juin 2026 : l'autorisation gérée par l'entreprise, ou EMA.

Le problème de départ

L'autorisation MCP classique se fait utilisateur par utilisateur. Les mainteneurs du protocole y voient trois défauts pour une organisation :

• chaque salarié doit autoriser chaque serveur un par un, ce qui ralentit l'arrivée des nouveaux ;
• l'équipe sécurité n'a ni règle commune ni journal central : l'accès, c'est ce que chacun a bien voulu autoriser ;
• rien n'empêche de brancher un compte personnel sur un outil de travail.

Comment ça marche

Avec EMA, la décision remonte à l'annuaire de l'entreprise, le fournisseur d'identité qui gère déjà la connexion unique (SSO).

1. L'administrateur active un serveur MCP pour l'organisation, une fois, dans la console de l'annuaire.
2. Le salarié se connecte à son assistant avec son identité professionnelle habituelle.
3. Pendant cette connexion, l'assistant obtient de l'annuaire une attestation, qu'il échange contre un jeton d'accès auprès du serveur MCP.
4. Le salarié ne voit aucun écran de consentement : ses outils sont là.

Les droits suivent les groupes et les rôles déjà définis dans l'annuaire. Les décisions d'accès et les journaux se retrouvent au même endroit. Et comme l'étape « choisissez votre compte » disparaît, mélanger compte personnel et compte professionnel devient plus difficile.

Qui le prend en charge

D'après l'annonce :

• Annuaire : Okta est le premier fournisseur d'identité pris en charge.
• Assistants : Anthropic l'a intégré pour Claude, Claude Code et Cowork ; Visual Studio Code le propose en préversion.
• Serveurs : Asana, Atlassian, Canva, Figma, Granola, Linear et Supabase. Slack et d'autres sont annoncés.

Pour qui c'est utile

Si vous êtes cinq et que chacun gère ses connexions, EMA ne vous apportera pas grand-chose. Le sujet devient sérieux dès qu'il faut répondre à des questions comme « qui a accès à quoi ? » ou « comment retirer ses accès à quelqu'un qui part ? ».

Deux réserves à garder en tête. Un seul fournisseur d'identité est cité à ce jour : si votre entreprise utilise un autre annuaire, vérifiez d'abord qu'il est compatible. Et l'annonce ne détaille ni les étapes de configuration ni les cas non couverts ; il faudra lire la spécification de l'extension avant de s'engager.

La direction, elle, est cohérente avec la feuille de route du protocole : remplacer les autorisations individuelles et les clés collées dans des fichiers par des identités que l'entreprise contrôle.