Comment gouverner les agents IA à l’échelle de l’entreprise ?

Le constat ne doit pas conduire à bloquer les usages. Les agents peuvent au contraire devenir une partie de la réponse. À condition de définir les règles de l’entreprise, un agent de gouvernance peut détecter une création ou une modification, effectuer des contrôles récurrents, enregistrer les versions et alerter lorsqu’une intervention humaine est nécessaire.

Le vrai risque : des agents créés sans cadre commun

Sans règles partagées, les instructions divergent, les descriptions deviennent difficiles à comprendre, les mêmes connecteurs sont configurés de plusieurs façons et les droits s’élargissent sans vision d’ensemble. Le problème n’est pas seulement la sécurité. Il concerne aussi la maintenabilité : retrouver la bonne version, comprendre un changement et savoir qui a validé quoi.

Une gouvernance utile ne consiste pas à relire chaque ligne de chaque agent. Elle définit un socle contrôlable : structure attendue, connecteurs autorisés, droits minimaux, informations à tracer, cas d’escalade et changements qui nécessitent une approbation.

Faire contrôler les agents par un agent

Lorsqu’un nouvel agent est créé ou modifié, un déclenchement automatique peut lancer un contrôle. L’agent de gouvernance compare alors sa configuration au modèle de l’entreprise : qualité de la description, présence des consignes attendues, connecteurs mobilisés, permissions et règles de validation.

Selon les capacités de la plateforme et les droits accordés, le dispositif peut proposer une correction, produire une version alignée sur le modèle interne ou appliquer certains changements préautorisés. Les écarts sensibles restent transmis à un administrateur.

Le but n’est pas de créer un super-agent tout-puissant, mais de rendre les contrôles courants systématiques et de réserver l’intervention humaine aux cas qui le nécessitent.

Le versionning devient une règle de fonctionnement

La même logique peut enregistrer chaque modification importante, la comparer à la version précédente et conserver les informations nécessaires à l’audit. La DSI dispose alors d’un historique exploitable au lieu d’une succession d’agents dont l’état et les changements sont difficiles à reconstituer.

Ne connecter que ce qui est nécessaire

La tentation est forte de connecter dès le départ un maximum d’applications. En pratique, il est difficile d’anticiper tous les usages et toutes les exceptions. Chaque connecteur ajoute des données accessibles, des permissions à comprendre et une nouvelle source potentielle d’erreur.

Il vaut mieux commencer avec les seules sources nécessaires à la première mission. Le périmètre est plus lisible, les tests sont plus simples et les causes d’un mauvais résultat sont plus faciles à isoler. Les intégrations supplémentaires arrivent ensuite, au fil des besoins réellement observés.

Cette progression doit suivre une boucle courte : tester, observer, corriger, puis retester. Elle concerne les instructions, les connecteurs, les droits, les données et les règles d’escalade. Chercher à tout prévoir avant le premier usage produit souvent davantage de complexité que de maîtrise.

L’AI Act renforce le besoin de traces et de supervision

Tous les agents ne relèvent pas du même niveau de risque. Lorsqu’un système intervient dans un domaine sensible ou contribue à une décision concernant une personne, les exigences deviennent plus fortes. Pour les systèmes à haut risque, l’AI Act prévoit notamment des exigences relatives à la traçabilité, à la transparence et à la supervision humaine.

La gouvernance doit donc permettre de savoir quelles données ont été consultées, quelle proposition a été produite, quelles actions ont été réalisées et qui a validé la suite. Pour un agent qui modifie d’autres agents, cette exigence est également une bonne pratique opérationnelle : toute correction automatique doit pouvoir être comprise, retrouvée et, si nécessaire, annulée.

Référence : AI Act consolidé sur EUR-Lex.

Ce que la DSI doit décider avant d’automatiser le contrôle

• Quelles règles peuvent être vérifiées automatiquement et lesquelles nécessitent un jugement humain ?
• Quels changements peuvent être appliqués sans approbation, et lesquels doivent seulement être proposés ?
• Quels connecteurs et niveaux de permission sont autorisés par défaut ?
• Quel historique doit être conservé pour comparer, expliquer ou annuler une modification ?
• Quels écarts déclenchent une alerte et qui en est destinataire ?

Ces choix transforment une intention de gouvernance en mécanisme réellement applicable. Ils évitent aussi que l’agent de contrôle devienne lui-même une source de risque.

Une gouvernance plus continue, pas plus lourde

Les agents créent effectivement de nouvelles responsabilités pour les équipes IT, Data et sécurité. Mais leur multiplication ne condamne pas l’entreprise à une revue manuelle permanente. En automatisant les contrôles répétitifs, le versionning et la détection des écarts, la DSI peut concentrer son attention sur les décisions sensibles et les exceptions.

La gouvernance des agents ne consiste pas à empêcher leur création. Elle consiste à rendre leur développement observable, cohérent et réversible.