Agents IA en entreprise : que faut-il encadrer avant de leur confier une tâche ?

Un agent IA est un système qui, à partir d'un objectif, planifie et exécute lui-même plusieurs actions : consulter des sources, remplir un document, envoyer un message, mettre à jour un outil. La différence avec un assistant classique est décisive pour une entreprise : l'assistant propose, l'agent agit. Avant d'en déployer un, il faut donc répondre à quatre questions : que peut-il faire, à quoi a-t-il accès, quand doit-il demander une validation, et qui en est responsable.

Assistant, automatisation, agent : la différence

C'est cette autonomie qui fait l'intérêt de l'agent, et qui exige un cadre.

Les quatre décisions à prendre avant de déployer

1. Le périmètre d'action

Écrivez ce que l'agent peut faire, et ce qu'il ne doit jamais faire. Exemple pour un agent de préparation de rendez-vous commerciaux : il peut consulter le CRM et les sites publics, rédiger une fiche de préparation ; il ne peut pas envoyer de message au prospect ni modifier la fiche client.

2. Les accès

Un agent n'a besoin que des accès nécessaires à sa tâche. Lui donner accès à toute la messagerie ou à tout l'espace documentaire « pour être sûr qu'il trouve » multiplie les risques : divulgation d'informations, actions involontaires, exposition à des consignes malveillantes cachées dans des contenus extérieurs (ce qu'on appelle l'injection de consignes).

3. Les points de validation

Définissez les actions qui exigent toujours un accord humain avant exécution :

• tout envoi vers l'extérieur ;
• toute suppression ou modification de données ;
• tout engagement financier ou contractuel ;
• toute action concernant une personne (salarié, candidat, client).

4. La responsabilité

Désignez une personne responsable de chaque agent : elle connaît sa configuration, surveille son fonctionnement, traite les incidents. L'entreprise reste responsable des actions de l'agent comme de celles de ses outils.

Ce que dit le cadre juridique

Le règlement européen sur l'IA ne crée pas de catégorie spécifique pour les agents : il s'attache à l'usage. Un agent utilisé pour des tâches administratives courantes relève surtout de l'obligation de maîtrise de l'IA (article 4) : les personnes qui le configurent et l'utilisent doivent comprendre son fonctionnement et ses limites. Un agent utilisé pour trier des candidatures ou évaluer des salariés entrerait dans la catégorie haut risque, avec des obligations de supervision humaine applicables à partir du 2 décembre 2027.

Côté données, un agent qui traite des données personnelles doit respecter le RGPD comme tout autre traitement : finalité définie, données limitées au nécessaire, sécurité.

Commencer prudemment

• Choisissez une tâche interne, sans contact avec l'extérieur, pour le premier agent.
• Démarrez en mode « proposition » : l'agent prépare, l'humain valide chaque action, puis on relâche progressivement.
• Gardez un journal de ce que l'agent a fait, consultable facilement.
• Prévoyez un arrêt simple : chacun doit savoir comment suspendre l'agent en cas de comportement anormal.

Les questions à poser au fournisseur

Peut-on limiter les accès outil par outil ? Les actions sensibles peuvent-elles être soumises à validation ? Existe-t-il un historique des actions ? Les données traitées servent-elles à entraîner le modèle ? Les réponses à ces questions comptent plus que la démonstration commerciale.

Comprendre comment raisonne et agit un agent est la condition pour le superviser. Notre formation « L'IA appliquée à votre métier » aborde les assistants, les automatisations et les agents, avec les règles de supervision adaptées à chacun.