Gartner avertit que l’application des mêmes règles de gouvernance à tous les agents d’Intelligence Artificielle peut conduire à l’échec de nombreux projets d’entreprise. La société souligne que les organisations commettent une erreur en traitant ces systèmes comme si tous avaient le même niveau d’autonomie, les mêmes autorisations et le même risque opérationnel.

Les prévisions sont sans équivoque : d’ici 2027, 40 % des entreprises déclasseront ou retireront des agents autonomes d’IA en raison de lacunes en matière de gouvernance détectées après des incidents en production. Selon Gartner, le problème survient souvent lorsque l’on ne fait pas la distinction entre la capacité de l’agent à agir et le niveau réel d’accès qui lui est accordé.

L’erreur de gouverner tous les agents de la même manière

Le déploiement d’agents d’Intelligence Artificielle s’est accéléré dans de nombreuses entreprises, mais leur contrôle interne n’a pas toujours évolué au même rythme. Gartner indique que certaines organisations adoptent une approche binaire : soit elles bloquent trop les agents, soit elles leur font une confiance excessive.

Les deux extrêmes posent problème. Limiter excessivement des agents simples peut freiner l’agilité des équipes, ralentir les projets et entraîner des développements parallèles hors du contrôle officiel. À l’inverse, laisser agir avec trop de liberté des agents plus autonomes augmente les risques opérationnels, de sécurité et de conformité réglementaire.

Shiva Varma, analyste senior chez Gartner, résume la problématique en soulignant que les agents opèrent avec différents niveaux d’autonomie et dans des limites de confiance variables. Par conséquent, il ne faut pas appliquer des règles uniformes de façon indiscriminée.

L’élément clé réside dans la classification des agents selon ce qu’ils peuvent faire, les systèmes auxquels ils accèdent, et les conséquences potentielles en cas d’erreur. La même sécurité n’est pas à appliquer à un assistant résumant des documents qu’à un agent capable de modifier des configurations, d’envoyer des communications ou d’effectuer des changements en production.

Quatre niveaux d’autonomie

Gartner propose un modèle gradué divisé en quatre niveaux. Le premier est celui de l’observation. Ici, l’agent dispose uniquement d’un accès en lecture à des sources de données spécifiques, et ses résultats sont visibles par l’utilisateur qui en fait la demande. Ce niveau est utilisé pour résumer des documents, rechercher du savoir interne ou expliquer du code.

Les contrôles doivent être simples mais efficaces : authentification des utilisateurs, accès limité aux données, enregistrement des usages, ainsi que des tests de sécurité et de performance basiques. Le principal risque concerne l’exposition d’informations et la précision des réponses fournies.

Le deuxième niveau est celui de l’assistance. L’agent y propose des recommandations, des brouillons ou des propositions, sans exécuter d’actions autonomes. Un humain examine le résultat et décide de l’utiliser ou non. Ce type d’agent peut servir à rédiger des courriels, créer des rapports, générer du code ou soutenir des processus décisionnels.

Bien que l’humain conserve la décision finale, Gartner met en garde contre une confiance excessive dans les réponses automatiques. Il recommande donc des tests de précision, l’évaluation des hallucinations, des contrôles qualité par domaine et une formation des utilisateurs pour qu’ils sachent quand s’appuyer sur l’agent et quand vérifier plus attentivement.

Lorsque l’agent commence à agir

Le troisième niveau correspond à une action avec validation humaine. Dans ce cas, l’agent peut écrire des données, envoyer des messages ou modifier des configurations, mais chaque opération nécessite une autorisation explicite d’un humain avant exécution.

Ce modèle paraît sûr, mais Gartner met en garde : l’autorisation humaine ne garantit la sécurité que si elle reste un vrai contrôle. Si les flux sont confus, si aucune traçabilité n’est assurée ou si les responsables donnent leur aval par fatigue, la revue peut devenir une formalité sans véritable valeur. Il est donc crucial de disposer de protocoles de sécurité renforcés, de processus d’approbation bien définis, de mécanismes d’audit et de plans d’intervention pour les incidents spécifiques aux agents.

Le quatrième niveau est celui des agents autonomes dans un cadre défini. Ici, les personnes ne vérifient plus chaque action individuellement, mais examinent des exceptions, des logs ou des résultats agrégés.

Lorsqu’un agent fonctionne à cette échelle, il peut exécuter des actions à une vitesse qui dépasse la supervision humaine directe. Gartner préconise la mise en place de contrôles rigoureux : surveillance continue, barrières automatiques, mécanismes rapides de rollback, interrupteurs d’arrêt en cas de dépassement de seuils, et responsables clairement désignés pour le comportement de l’agent.

Ce message intervient alors que de nombreuses entreprises souhaitent passer de tests contrôlés à une intégration des agents dans des processus opérationnels réels. La recommandation de Gartner est claire : l’autonomie doit s’obtenir par des contrôles proportionnés, non être attribuée par défaut.

Questions fréquentes

Quels risques Gartner identifie-t-il pour les agents d’IA ?
Le principal risque réside dans l’application d’un même cadre de gouvernance à des agents ayant des niveaux d’autonomie et d’accès très variés, pouvant entraîner des blocages inutiles ou des incidents en production.

Quels sont les niveaux d’autonomie proposés par Gartner ?
Gartner distingue quatre niveaux : observer, conseiller, agir avec validation humaine, et agir de façon autonome dans un cadre défini.

Pourquoi la simple approbation humaine ne suffit-elle pas ?
Car cette approbation peut perdre de sa valeur si elle n’est pas tracée, si les critères ne sont pas clairs ou si elle repose sur une validation automatique sans véritable contrôle. Gartner met en garde contre la fatigue d’approbation, notamment lors de tâches répétitives ou sous pression.

source : gartner