Plateforme agentique en entreprise : ce qu'une DSI doit exiger

Ce qu'une plateforme agentique change pour la DSI

Un assistant conversationnel répond à une question. Un agent reçoit un objectif, choisit des outils, les appelle, lit le résultat et recommence jusqu'à atteindre ce qu'on lui a demandé. Il peut chercher dans une base documentaire, lire une boîte de messagerie, créer un ticket, mettre à jour une fiche client. La différence est détaillée dans le guide agent, assistant ou chatbot ; ce qui compte ici, c'est la conséquence.

Dès qu'un logiciel décide lui-même de l'outil à appeler, la sécurité ne peut plus reposer sur le seul chemin prévu par un développeur. Le modèle de langage peut mal comprendre une consigne, être trompé par un contenu qu'il lit (un courriel piégé, une page web), ou enchaîner des appels que personne n'avait imaginés. Une plateforme agentique d'entreprise est donc moins un outil de création d'agents qu'un cadre d'exécution : ce qui décide de ce qu'un agent a le droit de voir et de faire, de ce qui doit être confirmé par une personne, et de ce qui reste tracé.

Les démonstrations montrent les deux premiers blocs. Les incidents naissent presque toujours dans le troisième. Les cinq exigences qui suivent portent sur lui.

Exigence 1 : des droits qui suivent l'utilisateur

La question la plus importante tient en une ligne : avec quels droits l'agent agit-il ?

La réponse facile, et dangereuse, est un compte de service. L'agent se connecte au CRM ou à la GED avec un compte technique qui voit tout, et la plateforme se charge de « ne montrer que ce qu'il faut ». En pratique, le filtrage repose alors sur le modèle ou sur une couche applicative ajoutée après coup. Un collaborateur peut obtenir par l'agent un document auquel il n'a pas accès directement. C'est une élévation de privilèges, pas une fonctionnalité.

La bonne réponse : l'agent agit au nom de l'utilisateur qui l'emploie, avec ses droits et pas davantage. Si la personne ne peut pas ouvrir un dossier dans l'outil d'origine, l'agent ne peut pas l'ouvrir pour elle. Cela suppose un raccordement à votre annuaire et des connecteurs qui s'authentifient au nom de l'utilisateur, plutôt qu'avec une clé partagée.

Trois points à vérifier :

• Les documents indexés respectent les droits de la source. Un moteur de recherche interne qui ignore les droits d'accès transforme la base documentaire en fuite généralisée.
• Les agents partagés : un agent créé par un service et utilisé par d'autres ne doit pas transmettre les droits de son créateur à ses utilisateurs.
• La révocation : un départ, un changement de poste, une connexion retirée doivent couper immédiatement l'accès de l'agent, sans attendre une resynchronisation.

Le détail des modes d'authentification et des risques propres à chaque type d'outil est traité dans le guide connecter un agent IA au SI.

Exigence 2 : un contrôle humain sur les actions qui engagent

Un agent qui lit et résume ne crée pas d'effet dans le monde réel. Un agent qui envoie un courriel, modifie une commande ou supprime un fichier, si. Pour ces actions, la plateforme doit suspendre l'exécution et demander une confirmation humaine, et cette suspension doit être déterministe : elle dépend de la nature de l'action, pas de l'appréciation du modèle.

C'est le point qui distingue le plus nettement les offres. Beaucoup de solutions demandent au modèle d'« être prudent » ou de « demander confirmation si nécessaire ». C'est une consigne, pas un contrôle : le même modèle qui peut se tromper sur l'action décide aussi s'il faut vous la montrer.

Ce qu'il faut exiger :

• une classification des actions par nature (lecture, écriture, exécution), attachée à chaque outil, et non devinée à l'exécution ;
• une confirmation qui montre exactement ce qui va être exécuté : destinataire, contenu, champs modifiés, et non un résumé rédigé par le modèle ;
• une décision tracée avec l'identité de la personne qui a confirmé ou refusé.

Le guide validation humaine d'un agent IA détaille quelles actions soumettre à validation et comment concevoir une validation qui reste lue au bout de la centième demande.

Exigence 3 : des connecteurs gouvernés, pas un accès brut

La valeur d'un agent dépend des outils qu'il peut atteindre. Sa surface de risque aussi. Une plateforme d'entreprise doit donc traiter les connecteurs comme un catalogue administré, et non comme une liste de clés d'API que chaque utilisateur branche à sa guise.

Concrètement :

• L'administrateur décide quels connecteurs sont disponibles, pour quels groupes, et quelles opérations de chaque connecteur sont exposées. Un agent de support n'a pas besoin de pouvoir supprimer un contact dans le CRM.
• Les opérations sont décrites : pour chaque outil, ce qu'il lit, ce qu'il écrit, ce qu'il exécute. C'est cette description qui alimente la validation humaine de l'exigence précédente.
• Les protocoles ouverts sont encadrés. Le Model Context Protocol (MCP) permet de brancher un agent sur de nombreux outils via un standard ouvert. C'est un gain d'intégration réel, mais un serveur MCP tiers est du code qui expose des actions : il doit passer par le même catalogue, les mêmes droits et la même validation que les connecteurs natifs.

Le référentiel OWASP des risques des applications LLM nomme ce risque « agentivité excessive » et en donne trois causes : trop de fonctionnalités, trop de permissions, trop d'autonomie. Les trois premières exigences de ce guide y répondent une à une.

Exigence 4 : une trace exploitable, pas un journal de débogage

Quand un agent a envoyé un message qu'il n'aurait pas dû envoyer, trois personnes posent des questions différentes. Le métier veut savoir ce qui s'est passé. Le RSSI veut savoir si c'est un détournement. Le DPO veut savoir quelles données ont circulé. La plateforme doit permettre de répondre aux trois.

Une trace exploitable enregistre, pour chaque exécution :

• qui a lancé l'agent, et au nom de qui il a agi ;
• quel modèle a été appelé, avec quelles sources documentaires ;
• quels outils ont été appelés, avec quels paramètres et quel résultat ;
• quelles décisions humaines ont été prises, par qui, et à quel moment.

Deux propriétés distinguent une trace d'audit d'un simple journal. D'abord l'intégrité : on doit pouvoir démontrer qu'aucune entrée n'a été modifiée ou supprimée après coup, par exemple par un chaînage cryptographique vérifiable. Ensuite la minimisation : tracer une action ne veut pas dire conserver indéfiniment le contenu intégral des conversations, qui peut contenir des données personnelles. La trace doit être utile sans devenir elle-même un gisement de données sensibles.

Exigence 5 : la maîtrise des modèles et des coûts

Un agent consomme beaucoup plus qu'un assistant conversationnel : chaque étape de raisonnement, chaque lecture de document, chaque appel d'outil repasse par le modèle. Un agent qui boucle sur une tâche mal définie peut multiplier la consommation sans que personne ne s'en aperçoive avant la facture.

Ce qu'il faut exiger :

• Le choix du modèle par usage. Un tri de courriels ne demande pas le même modèle qu'une analyse de contrat. La plateforme doit permettre de brancher plusieurs fournisseurs, y compris des modèles exécutés chez vous, et d'en changer sans réécrire les agents.
• Des plafonds qui bloquent, par utilisateur, par groupe ou par agent, et pas seulement des alertes a posteriori.
• Un coût lisible, par agent et par modèle, exprimé dans une unité que la direction financière comprend. Des crédits propres à l'éditeur rendent toute comparaison impossible.
• La maîtrise du lieu de traitement. Les données qu'un agent lit partent vers le modèle qu'il appelle. Le choix entre modèle local, fournisseur européen ou fournisseur extra-européen est donc aussi un choix de conformité. Le guide IA générative on-premise détaille cet arbitrage.

La grille d'achat, exigence par exigence

Les réponses commerciales se ressemblent toutes. Les questions ci-dessous obligent à des réponses vérifiables, et la troisième colonne donne les réponses qui doivent vous alerter.

La grille se vérifie en situation, pas sur une présentation. Une preuve de concept utile se déroule dans votre environnement, avec vos comptes et vos données de test :