Lumos est-il adapté à l'IGA mid-market ? Identité autonome, tarifs et alternatives

Pour les responsables IT et sécurité d'entreprises de 50 à 500 salariés, souvent en Europe, qui ont Lumos dans leur shortlist de gouvernance des identités.

Lumos (aussi appelé Lumos Identity) est une plateforme de gouvernance et d'administration des identités (IGA) qui vend de « l'identité autonome » : des agents IA qui mènent les revues d'accès, traitent les demandes d'accès et conçoivent les rôles pour les salariés, les comptes de service et les agents IA. Lumos convient aux équipes mid-market dont la stack est d'abord SaaS et dont le budget est celui d'un outil enterprise, puisque les données d'achat situent le contrat Lumos médian à 35 644 $ par an. Il est moins adapté si vous avez besoin d'un prix publié, d'une couverture fine des droits AWS, Azure ou GCP, ou de données d'identité hébergées dans l'UE, et c'est précisément là que C1, Zluri, Torii, Microsoft Entra ID Governance et Corma se distinguent.

Dernière mise à jour : 30 septembre 2026. Prix et notes relevés à cette date sur les sources citées.

Qu'est-ce que Lumos, et que veut dire « identité autonome » ?

Lumos est un éditeur américain de gouvernance des identités dont la plateforme décide et trace qui accède à quelle application, pour combien de temps, et qui l'a validé. L'éditeur appelle son approche autonomous identity (identité autonome) et la définit comme l'usage de l'IA pour apporter « une visibilité complète, des analyses actionnables, une automatisation de bout en bout et des systèmes adaptatifs à la gouvernance des identités » (définition traduite de l'anglais).

Concrètement, la gouvernance et administration des identités (IGA) est la couche qui se place au-dessus de votre fournisseur d'identité. Votre IdP (Okta, Microsoft Entra ID ou Google Workspace) authentifie les personnes. L'IGA décide si elles doivent encore avoir cet accès, et conserve les preuves que l'auditeur réclamera.

Lumos couvre cette couche avec quatre briques :

• AppStore : un catalogue en libre-service où les salariés demandent un accès, avec des règles d'approbation et des accès limités dans le temps.
• Lifecycle management : l'automatisation des arrivées, mobilités et départs, provisionnement et désapprovisionnement compris.
• Revues d'accès : des campagnes de revue dont le premier passage est désormais confié à un agent IA.
• Albus : l'agent IA de Lumos, qui fonde ses recommandations, selon l'éditeur, sur des données de droits fines issues de l'IdP, du SIRH, des applications SaaS, du cloud et des systèmes sur site.

Lumos n'est pas né « autonome ». Sa série B de 35 millions de dollars, annoncée en mai 2024, visait à réunir gestion des SaaS et gestion des identités. GitLab, l'une de ses références publiques, décrit toujours Lumos dans son handbook d'entreprise comme l'outil des demandes d'accès, des accès just-in-time, des revues d'accès, du suivi des licences et de la détection du shadow IT.

Si vous avez cherché « Lumos » seul, vous êtes sans doute tombé sur un fournisseur d'accès internet, un jeton crypto et un laboratoire pharmaceutique. L'éditeur d'IGA est celui-ci, et son historique produit explique l'essentiel de la suite.

Que valent les avis sur Lumos en gouvernance des identités ?

Lumos est bien noté par ses clients : 4,7 sur 5 sur G2 (69 avis) et une place de Strong Performer dans le Gartner Peer Insights Voice of the Customer 2026 pour l'IGA. Le reproche récurrent ne porte pas sur l'intelligence du produit mais sur sa portée : les intégrations et l'effort de mise en place.

D'après l'annonce de Lumos du 9 avril 2026, cette distinction Gartner repose sur des avis vérifiés déposés sur les 18 mois clos le 31 janvier 2026. Lumos y obtient 4,7 sur 5 sur plus de 50 avis, et 96 % des répondants déclarent le recommander.

Les faiblesses apparaissent dans les thèmes négatifs que G2 construit à partir des avis sur Lumos (affichage du 30 septembre 2026) :

• Problèmes d'intégration : 7 mentions
• Intégrations limitées : 6 mentions
• Difficultés d'intégration : 5 mentions
• Mise en place complexe, fonctionnalités manquantes et suivi incomplet : 3 mentions chacun

Trois de ces six thèmes concernent les intégrations, soit 18 mentions au total. Les avis individuels vont dans le même sens. En décembre 2025, plusieurs utilisateurs d'entreprises mid-market (51 à 1 000 salariés) écrivent que le paramétrage des intégrations et des workflows prend du temps, et un ingénieur sécurité cloud demande à Lumos d'ajouter des intégrations AWS, GCP et Azure.

Pour une entreprise de 50 à 500 salariés, la lecture est simple. La logique de gouvernance est bien notée ; le risque porte sur le délai de mise en valeur quand votre parc applicatif compte des applications de niche, maison ou d'infrastructure que Lumos ne connecte pas nativement.

Lumos gouverne-t-il les agents IA ?

Oui. Depuis juin 2026, Lumos gouverne les agents IA comme des identités à part entière, et depuis septembre 2026 il contrôle aussi ce qu'ils font en temps réel grâce à MCP Governance. Lumos utilise par ailleurs des agents IA pour réaliser lui-même le travail de gouvernance : c'est une autre capacité, à bien distinguer pendant la démo.

Les deux couches se présentent ainsi :

• Les agents qui gouvernent. Albus (juin 2025) recommande politiques et rôles, les Agentic User Access Reviews (décembre 2025) réalisent le premier passage de chaque campagne, et les Identity Security Agents (mars 2026) font remonter les risques liés aux identités.
• Les agents qui sont gouvernés. Identity Agent Force, annoncé le 15 juin 2026, est présenté par Lumos comme « une équipe d'agents IA qui gouvernent en continu les accès de chaque humain, machine et agent IA de l'entreprise » (traduit de l'anglais). MCP Governance, lancé le 22 septembre 2026, promet une visibilité et un contrôle en temps réel sur chaque serveur MCP et chaque appel d'outil dans Claude Code et Codex.

Certains comparatifs disent encore l'inverse. Un comparatif publié le 30 avril 2026 par Linx Security, éditeur concurrent, juge « limité » le support des identités non humaines et agentiques de Lumos, et affirme que Lumos ne s'appuie que sur les signaux de l'IdP. La première affirmation est antérieure aux lancements de juin et de septembre : elle ne décrit plus le produit vendu aujourd'hui.

La seconde mérite un test plutôt qu'un verdict. Lumos affirme qu'Albus lit les droits fins de l'IdP, du SIRH, du SaaS, du cloud et des systèmes sur site, alors qu'un utilisateur G2 réclamait encore en décembre 2025 des intégrations AWS, GCP et Azure. Notre lecture : Lumos gouverne les agents IA au niveau produit ; la profondeur de sa vision sur vos droits d'infrastructure cloud est le point à prouver en pilote. Pour les contrôles nécessaires à tout programme d'agents IA, quel que soit l'éditeur, consultez notre cadre de gouvernance des agents IA.

Combien coûte Lumos ?

Lumos ne publie pas ses prix sur son site, mais deux sources publiques donnent une fourchette exploitable : un prix catalogue de 27 000 $ pour un contrat Core Platform de 12 mois sur AWS Marketplace, et une médiane de 35 644 $ par an sur 50 achats suivis par Vendr.

Les avis qui décrivent un prix « sur devis » ont raison pour lumos.com et tort pour le marché. Start with Identity (juin 2026) indique un modèle « Subscription, quote-based », alors que la fiche AWS affiche un prix catalogue lisible par tous. Vous disposez ainsi d'un point d'ancrage avant le premier appel commercial.

Deux calculs aident à transformer ces chiffres en budget. Ce sont des illustrations, pas des devis :

• À 180 $ l'utilisateur supplémentaire, le forfait plateforme de 27 000 $ équivaut au prix de 150 utilisateurs. La fiche ne précise pas combien d'utilisateurs le forfait inclut : posez la question.
• Une entreprise de 200 salariés qui paierait la médiane Vendr dépenserait environ 178 $ par salarié et par an, soit près de 15 $ par mois.

Le bas de la fourchette Vendr (12 997 $) représente moins de la moitié du prix catalogue AWS, ce qui laisse penser qu'une vraie marge de négociation existe sur les périmètres réduits. Le haut de fourchette correspond à des déploiements bien plus larges.

À titre de comparaison, la grille tarifaire de Corma affiche un prix d'entrée : l'offre Essential démarre à 3 € par utilisateur et par mois en engagement annuel et couvre la visibilité, la détection du shadow IT et les données de dépenses. L'automatisation de la gouvernance (revues d'accès automatisées, provisionnement, plus de 200 intégrations) relève de l'offre Pro, chiffrée après une démo : comparez donc à périmètre égal.

Lumos est-il adapté à une entreprise de 50 à 500 salariés ?

Lumos convient à une entreprise de 50 à 500 salariés quand la stack est d'abord SaaS, qu'un seul fournisseur d'identité fait foi et que le budget correspond à un tarif enterprise. Il est moins adapté quand l'équipe IT est réduite, que les accès critiques se trouvent dans l'infrastructure cloud, ou que les conditions de traitement des données dans l'UE pèsent sur la décision.

Le discours de Lumos s'adresse aux grandes organisations. Sur 14 pages Lumos relevées le 30 septembre 2026 (pages produit, solution, clients et annonces), le terme « mid-market » n'apparaît pas une seule fois, et ses produits d'agents visent explicitement « the enterprise », c'est-à-dire les grands comptes. Ses utilisateurs sont plus variés : plusieurs des avis G2 cités plus haut viennent d'entreprises mid-market.

Que doivent vérifier les acheteurs européens avant de choisir Lumos ?

Les pages produit de Lumos ne mentionnent aucune région d'hébergement dans l'UE. Sa politique de confidentialité indique que des données personnelles peuvent être transférées hors de l'Espace économique européen, avec pour garanties des engagements contractuels approuvés par la Commission européenne. Il s'agit des clauses contractuelles types prévues à l'article 46 du RGPD : un mécanisme de transfert légal, que votre DPO voudra toutefois examiner avec l'accord de traitement des données, la liste des sous-traitants et la région d'hébergement. La CNIL détaille ces mécanismes dans sa page Transférer des données hors de l'UE.

La gouvernance des accès est aussi une exigence de conformité en Europe. L'article 21, paragraphe 2, point i), de la directive NIS 2 range les politiques de contrôle d'accès parmi les mesures de gestion des risques que doivent prendre les entités concernées. En France, l'ANSSI met à disposition depuis le 17 mars 2026 le Référentiel Cyber France (ReCyF), document de travail qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS 2. Aucune des cinq pages tierces de comparaison et d'avis qui se classent sur « Lumos IGA » ne mentionne le RGPD, NIS 2 ou DORA (relevé du 30 septembre 2026) : cette partie de l'évaluation vous revient.

Si cette grille vous éloigne de Lumos, en particulier sur l'hébergement européen ou sur la réunion des dépenses et des accès dans un même outil, demandez une démo de Corma et appliquez-lui la même grille.

Quelles alternatives à Lumos pour l'IGA mid-market ?

Six alternatives à Lumos couvrent la gouvernance des identités en mid-market : C1 (ex-ConductorOne), Zluri, Torii, Okta Identity Governance, Microsoft Entra ID Governance et Corma. Elles se répartissent en trois familles : les plateformes IGA natives, les outils de SaaS Management qui ont ajouté la gouvernance, et les modules de gouvernance de votre fournisseur d'identité.

C1 est l'alternative la plus directe : une plateforme IGA native, elle aussi tournée vers les agents IA. Zluri et Torii viennent du SaaS Management et traitent la gouvernance des accès comme un prolongement de la découverte des applications ; nous les comparons dans Corma vs Zluri et Corma vs Torii.

Okta Identity Governance et Microsoft Entra ID Governance ont du sens quand un seul fournisseur d'identité gère déjà tout. Le module d'Entra est la seule option de ce tableau dont le prix de gouvernance par utilisateur est publié sur le site de l'éditeur. Pour une liste plus large incluant les suites enterprise, consultez notre guide des meilleures solutions IGA pour le mid-market.

Corma, l'alternative européenne à Lumos : quelles différences ?

Corma est une plateforme européenne de SaaS Management et de gouvernance des identités qui réunit le contrôle des licences et des dépenses, les demandes d'accès, le provisionnement et les revues d'accès dans un seul outil, pour les entreprises de 50 à 500 salariés. Là où Lumos est passé d'un app store à l'identité autonome, Corma est construit sur l'idée qu'une entreprise mid-market ne devrait pas faire tourner deux outils de gouvernance distincts.

« Nous pensons que pour les entreprises mid-market, cela n'a pas de sens d'avoir deux outils différents pour gouverner leurs logiciels. »

Héloïse Rozès, CEO et cofondatrice de Corma, dans Revenue Brew, 8 décembre 2025 (propos traduits de l'anglais)

Ce que cela change concrètement face à Lumos :

• Européen par conception. La plateforme de gouvernance des identités de Corma est conçue et hébergée dans l'UE, alignée sur les exigences du RGPD et de NIS 2, et Corma est certifié ISO/IEC 27001:2022.
• Dépenses et accès dans un même inventaire. Le même inventaire applicatif alimente la récupération de licences et les revues d'accès automatisées, avec des connecteurs Google Workspace, Microsoft Entra ID, Okta ou JumpCloud.
• Identités non humaines et agents IA. La grille tarifaire de Corma liste la découverte des NHI (comptes de service, jetons d'API, OAuth), la gouvernance de leur cycle de vie et la visibilité sur les identités des agents IA, et l'automatisation par agents IA de Corma provisionne les applications qui n'ont pas d'API.

Le même entretien fixe le cap pour 2026 : utiliser la levée d'amorçage pour développer « la vision multi-agents de Corma, afin de proposer, à chaque étape possible, des workflows automatisés sans intervention et des cas d'usage de gouvernance des licences » (propos traduits de l'anglais).

Satelia, entreprise de télésurveillance spécialisée dans les maladies cardiaques, montre ce que cela donne pendant un audit. Ses rapports manuels recensaient 30 applications ; Corma en a fait apparaître 160, applications et agents compris, ce qui a fourni aux auditeurs la preuve de maîtrise des accès dont Satelia avait besoin pour ISO 27001 et SOC 2. Comme le résume Eriel Cruz, Technical Project Manager chez Satelia : « Sans ces informations, nous n'aurions pas pu avancer sur les certifications ISO 27001 et SOC 2. » (cas client Satelia, juillet 2026, propos traduits de l'anglais)

Là où Lumos a de l'avance : si le contrôle en temps réel des appels d'outils MCP est une exigence ferme aujourd'hui, Lumos dispose d'un produit dédié, lancé le 22 septembre 2026. Vérifiez l'équivalent chez chaque éditeur de votre shortlist, Corma compris. Pour une vue fonctionnalité par fonctionnalité, lisez notre comparatif Corma vs Lumos.

Comment évaluer Lumos en 30 jours

Menez une évaluation de 30 jours sur vos propres données : testez la profondeur d'intégration sur vos applications les plus sensibles, un compte cloud, une vraie revue d'accès, vos agents IA et comptes de service, la documentation RGPD, et le prix face aux références publiques.

1. Cartographiez la profondeur d'intégration sur vos applications clés. Listez les 20 applications où l'accès compte le plus et demandez, application par application, si le connecteur lit seulement les comptes ou s'il provisionne et révoque aussi. Les intégrations sont le reproche le plus fréquent dans les avis sur Lumos.
2. Connectez un compte cloud. Branchez un compte AWS, Azure ou GCP et vérifiez si les droits apparaissent au niveau ressource ou seulement comme appartenance à un groupe de l'IdP.
3. Lancez une vraie revue d'accès. Ouvrez une campagne sur une application sensible avec le premier passage par agent activé, puis mesurez le temps passé par les valideurs et le nombre de révocations réellement exécutées.
4. Inventoriez les identités non humaines. Comptez les comptes de service, jetons d'API et agents IA de votre environnement, puis comparez avec ce que détectent Identity Agent Force et MCP Governance.
5. Réunissez la documentation européenne. Demandez l'accord de traitement des données, la région d'hébergement et la liste des sous-traitants, et rapprochez les exports d'audit de vos besoins de preuve NIS 2 et ISO 27001.
6. Comparez le devis. Confrontez l'offre au prix catalogue AWS de 27 000 $ et à la médiane Vendr de 35 644 $, et demandez combien d'utilisateurs le forfait inclut avant l'application du tarif de 180 $ par utilisateur.

Appliquez les mêmes six étapes à chaque alternative. Une shortlist qui résiste à vos propres données vaut plus que n'importe quel classement, celui-ci compris.

FAQ

Que fait l'entreprise Lumos ?

Lumos est un éditeur américain qui vend une plateforme de gouvernance et d'administration des identités. Elle automatise les demandes d'accès, les arrivées et départs, les revues d'accès et la conception des rôles, et depuis 2026 elle gouverne aussi les identités non humaines et les agents IA. Lumos présente cette approche comme de l'identité autonome.

Que signifie IGA, et quelle différence avec l'IAM ?

IGA signifie gouvernance et administration des identités : les politiques, revues et traces d'audit qui décident qui doit accéder à quoi. L'IAM, gestion des identités et des accès, couvre l'authentification et l'application des accès, comme le SSO et le MFA. En résumé, l'IAM fait entrer les utilisateurs et l'IGA prouve qu'ils doivent encore être là.

Lumos publie-t-il ses tarifs ?

Aucun prix n'apparaît sur lumos.com, où la page tarifs est un formulaire de démo qui demande la taille de l'entreprise. La fiche AWS Marketplace de Lumos affiche 27 000 $ pour un contrat Core Platform de 12 mois plus 180 $ par utilisateur supplémentaire et par an, et Vendr indique un contrat Lumos médian de 35 644 $ par an (relevé du 30 septembre 2026).

Quels sont les principaux concurrents de Lumos ?

En gouvernance des identités mid-market, les principaux concurrents de Lumos sont C1 (ex-ConductorOne), Zluri, Torii, Okta Identity Governance, Microsoft Entra ID Governance et Corma. Les suites enterprise comme SailPoint et Saviynt visent plutôt les grandes organisations aux environnements hybrides complexes.

Lumos est-il un outil de SaaS Management ou une plateforme IGA ?

Lumos est les deux, avec un poids désormais plus fort sur l'IGA. Lumos a démarré avec un app store et le suivi des licences, a levé sa série B de 2024 pour réunir gestion des SaaS et des identités, et se présente depuis 2025 comme une plateforme d'identité autonome. Gartner Peer Insights référence Lumos à la fois sur le marché du SaaS Management et sur celui de l'IGA.

Quelle est la meilleure solution IGA pour une entreprise de taille moyenne ?

La meilleure solution IGA pour une entreprise de taille moyenne est celle qui couvre son parc d'accès réel à un budget tenable. Les équipes SaaS organisées autour d'un seul IdP peuvent comparer Lumos, C1, Zluri, Torii et Corma, tandis que les environnements Microsoft 365 ou Okta peuvent partir du module de gouvernance de leur fournisseur. Les entreprises européennes doivent ajouter la région d'hébergement et les preuves NIS 2 à leurs critères.

Sources

• Lumos, pages Autonomous Identity, Albus, MCP Governance, Pricing et Privacy Policy, consultées le 30 septembre 2026.
• Annonces Lumos : Gartner Peer Insights Voice of the Customer for IGA (9 avril 2026), Identity Agent Force (15 juin 2026), MCP Governance (22 septembre 2026).
• Lumos sur AWS Marketplace et tarifs Lumos sur Vendr, consultés le 30 septembre 2026.
• Avis Lumos sur G2, consultés le 30 septembre 2026.
• Directive (UE) 2022/2555 (NIS 2), article 21, et règlement (UE) 2016/679 (RGPD), article 46.
• ANSSI, La directive NIS 2 ; CNIL, Transférer des données hors de l'UE.
• Layla Ilchi, « Corma seed round », Revenue Brew, 8 décembre 2025.