Agents IA : le défi urgent de la gouvernance pour les DSI

La montée en puissance des identités non humaines

Dans un avenir proche, les entreprises seront confrontées à une transformation majeure : le nombre d'identités numériques non humaines surpassera celui des utilisateurs humains. Cette évolution est déjà en cours, modifiant profondément la manière dont les entreprises gèrent leurs opérations.

Les agents d'intelligence artificielle, qu'il s'agisse d'assistants autonomes, de robots logiciels ou de workflows intelligents, interagiront avec les données et les applications, exécutant des tâches au nom des employés. Par exemple, un agent IA peut aujourd'hui extraire des informations d'un CRM, effectuer des recherches dans des bases de données, préparer des propositions commerciales, mettre à jour divers systèmes et transmettre une synthèse à un collaborateur. Ces capacités offrent des gains de productivité significatifs, mais elles soulèvent également des questions cruciales de gouvernance.

• Qui accorde les droits à ces agents ?
• Qui supervise les données qu'ils manipulent ?
• Qui est responsable en cas de transmission incorrecte d'informations confidentielles ou d'exécution d'actions erronées ?

Historiquement, les entreprises ont structuré leurs modèles de gouvernance autour de deux catégories principales : les utilisateurs et les applications. L'introduction des agents IA remet en question cet équilibre établi.

Un nouveau défi pour les DSI

Au cours de la dernière décennie, les DSI ont travaillé à reprendre le contrôle sur le Shadow IT, le Shadow SaaS et la prolifération des applications au sein des entreprises. Cependant, un nouveau phénomène émerge déjà, souvent en dehors de tout cadre de gouvernance : les agents IA.

Le problème ne réside pas dans leur existence, mais dans la manière dont la plupart des organisations continuent de les percevoir comme de simples outils de productivité, alors qu'ils deviennent progressivement des acteurs opérationnels à part entière. Comme souvent dans le domaine de la transformation numérique, la technologie progresse plus rapidement que les structures de gouvernance.

L'évolution des agents IA

Pendant longtemps, l'intelligence artificielle a été relativement simple à encadrer. Les employés interrogeaient un assistant, obtenaient une réponse, puis restaient responsables de l'action. Cette frontière commence à s'effacer.

Les nouveaux agents ne se contentent plus de fournir des réponses. Ils exécutent des tâches. Ils recherchent des informations dans plusieurs applications, mettent à jour des données, créent des tickets, génèrent des rapports ou déclenchent des workflows.

• Un agent commercial peut préparer une proposition à partir des données du CRM.
• Un agent de support peut analyser un ticket, consulter une base documentaire et proposer une solution.
• Un agent RH peut compiler des synthèses à partir de multiples sources internes.

Ces usages marquent une rupture significative. Pour la première fois, des entités logicielles dotées d'une certaine autonomie accèdent directement aux systèmes d'information et agissent sur ceux-ci. Cependant, nos modèles de gouvernance actuels ne sont pas conçus pour gérer cette nouvelle réalité.

Une nouvelle catégorie d'identités numériques

Depuis des décennies, les systèmes d'information ont reposé sur une distinction relativement simple : d'un côté, les utilisateurs ; de l'autre, les applications. Les premiers disposent d'une identité, de permissions et de responsabilités. Les secondes exécutent des traitements selon des règles prédéfinies. Toute la gouvernance numérique moderne s'est construite autour de ces deux catégories.

L'arrivée des agents IA change la donne. Un agent n'est pas un collaborateur, mais il peut agir en son nom. Un agent n'est pas une application classique, mais il peut accéder à plusieurs applications simultanément et prendre certaines décisions dans un cadre défini. Cette position intermédiaire crée une zone grise que les modèles actuels peinent à adresser.

La plupart des organisations sont donc confrontées à une nouvelle réalité : elles doivent désormais gouverner une troisième catégorie d'identités numériques. Et c'est précisément là que commencent les difficultés.

Le véritable risque : l'absence de cadre

Lorsqu'une nouvelle technologie apparaît, les entreprises concentrent naturellement leurs efforts sur les usages et les gains potentiels. Les agents IA n'échappent pas à cette règle. Les métiers expérimentent, automatisent et cherchent à gagner du temps. Cette dynamique est saine, mais elle peut rapidement produire les mêmes effets que ceux observés avec le Shadow IT ou les premiers services cloud.

• Combien d'agents sont actuellement utilisés dans l'entreprise ?
• Qui les a créés ?
• À quelles données accèdent-ils ?
• Quelles actions sont-ils autorisés à effectuer ?
• Qui est responsable de leur comportement ?

Dans beaucoup d'organisations, ces questions restent sans réponse. Le danger n'est pas l'existence des agents, mais leur prolifération sans modèle de gouvernance adapté.

Quatre principes pour encadrer les agents IA

Les DSI n'ont pas besoin de réinventer entièrement leurs pratiques. En revanche, ils doivent les adapter à cette nouvelle catégorie d'acteurs numériques. Quatre principes me semblent essentiels.

1. Attribuer une identité propre à chaque agent
   Aujourd'hui, de nombreux agents héritent implicitement des droits de leur créateur ou de leur utilisateur. Cette approche atteint rapidement ses limites. Chaque agent devrait disposer d'une identité clairement identifiable, d'un propriétaire désigné et d'un périmètre d'action explicite. L'objectif est simple : savoir à tout moment qui agit, au nom de qui et dans quel cadre. On ne devrait jamais avoir à se demander si une action a été réalisée par un collaborateur ou par un agent.

2. Appliquer le principe du moindre privilège
   Les agents doivent disposer uniquement des accès nécessaires à leur mission. Un agent chargé d'assister une équipe commerciale n'a pas besoin d'accéder aux données RH. Un agent marketing n'a pas besoin d'intervenir dans les systèmes financiers. Ce principe est bien connu en cybersécurité. Il devient encore plus important lorsque des entités sont capables d'opérer de manière autonome et à grande échelle. La question ne devrait pas être : "À quoi peut accéder cet agent ?" mais "De quoi cet agent a-t-il réellement besoin pour accomplir sa tâche ?"

3. Rendre chaque action traçable
   La confiance repose sur la visibilité. Chaque action réalisée par un agent devrait pouvoir être auditée. Quelles données ont été consultées ? Quelle décision a été prise ? Quelle action a été exécutée ? Dans quel contexte ? Cette exigence ne relève pas uniquement de la sécurité. Elle devient indispensable pour comprendre les comportements, corriger les erreurs et démontrer la conformité des processus. Un agent qui agit sans traçabilité devient rapidement un risque opérationnel.

4. Maintenir une supervision humaine
   L'autonomie ne doit jamais supprimer la responsabilité. Tous les processus ne présentent pas le même niveau de risque. Certaines tâches peuvent être largement automatisées. D'autres nécessitent un contrôle humain systématique. La capacité à définir ces frontières deviendra l'un des rôles clés des DSI dans les prochaines années. La question n'est pas de choisir entre automatisation et contrôle humain. Elle consiste à déterminer où placer intelligemment le curseur.

Une responsabilité partagée au-delà de la DSI

L'erreur serait également de considérer la gouvernance des agents IA comme un sujet purement technique. Les enjeux concernent la sécurité, mais également la conformité, les ressources humaines, les directions métiers et parfois même la gouvernance d'entreprise.

• Qui peut créer un agent ?
• Qui valide ses permissions ?
• Qui contrôle son périmètre d'action ?
• Qui porte la responsabilité lorsqu'un incident survient ?

Ces questions nécessitent des réponses organisationnelles autant que technologiques. Comme pour le cloud ou les données, les entreprises les plus matures seront probablement celles qui aborderont le sujet de manière transverse plutôt que comme un simple projet informatique.

Gouverner avant de subir

L'histoire du numérique montre un schéma récurrent. Les usages arrivent toujours avant les règles qui les encadrent. Les smartphones sont arrivés avant les politiques BYOD. Le cloud est arrivé avant les stratégies de gouvernance cloud. L'IA générative est arrivée avant la plupart des chartes d'usage. Les agents IA suivent aujourd'hui la même trajectoire.

La bonne nouvelle est que les DSI disposent encore d'une fenêtre de tir. Le sujet reste émergent. Les usages sont nombreux mais encore en construction. C'est précisément le moment de définir les principes qui permettront d'encadrer leur développement.

Car la véritable bombe à retardement n'est probablement pas l'intelligence artificielle elle-même. C'est le risque de voir émerger, dans les systèmes d'information, des milliers d'agents capables d'agir, d'accéder à des données et de prendre des initiatives sans que l'entreprise n'ait clairement défini les règles qui encadrent leur existence.

Et comme souvent en matière de gouvernance, les organisations qui agiront tôt disposeront demain d'un avantage décisif sur celles qui attendront que le problème devienne visible.