Un agent d’IA décide de son chemin, là où une automatisation suit toujours le même. Ses garde-fous se règlent donc dans le temps : une personne vérifie tout au départ, puis des contrôles et des tests sur des cas réels permettent d’assouplir ce qui le mérite. Une limite reste fixe : aucune communication ne part sans validation humaine.
Pourquoi un agent a besoin de garde-fous qu’une automatisation n’a pas
Une automatisation suit un chemin linéaire et prévisible, qu’on peut écrire en code sans aucune intelligence. Un agent prend des décisions. On attend de lui un résultat aussi fiable, mais il y arrive par des moyens probabilistes. C’est cet écart, entre le résultat attendu et le chemin emprunté, que les garde-fous doivent couvrir.
Le résultat attendu doit rester déterministe. L’agent y arrive par des moyens probabilistes.
Le 20 juillet 2026, la CNIL et le Conseil de l’IA et du Numérique (CIANum) ont publié une note exploratoire, « IA agentique et protection des données personnelles ». La page de la CNIL parle d’une réflexion commune. On s’en sert comme d’un cadrage, pas comme d’un texte qui créerait à lui seul une obligation nouvelle.
La page décrit un changement d’échelle : ces systèmes accèdent à d’importants volumes de données depuis plusieurs sources, agissent sur leur environnement et font circuler des données personnelles entre services. Le résumé de la note reprend ce changement d’échelle et les flux entre services. Il indique que le règlement européen sur l’IA ne prévoit pas de règles spécifiques pour les agents, tandis que ses règles restent applicables. Le règlement (UE) 2024/1689 s’applique depuis le 2 août 2026. L’Omnibus numérique (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, reporte les obligations à haut risque au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I. La définition de ce qu’est un agent IA d’entreprise est traitée à part.
Déployer par phases : de la vérification totale à l’autonomie mesurée
On ne règle pas l’autonomie d’un agent le premier jour. Au départ, une personne vérifie tout ce qu’il produit. Puis on pose des garde-fous contre les dérives, on construit des tests sur des cas réels, et on n’assouplit un garde-fou que lorsque les tests correspondants passent très bien, de façon répétée.
Phase 1 : une personne vérifie tout
L’agent propose, une personne valide chaque sortie. On repère où il se trompe, et tant que ces écarts ne sont pas connus, tout reste relu.
Phase 2 : des garde-fous contre les dérives
On limite les outils et les droits à la tâche : lire n’est pas modifier, modifier n’est pas envoyer. Des contrôles de cohérence passent sur la sortie. Des seuils, fixés avec les métiers, disent quand une personne reprend la main. Un montant en comptabilité en est un exemple : le chiffre se décide avec le métier, ce n’est pas une norme. Chaque action laisse une trace, ce qui a été fait et pourquoi.
Phase 3 : des tests sur des cas réels
On réunit un jeu de cas réels, avec la réponse attendue, et on le rejoue à chaque changement. Ce sont des évaluations au sens ordinaire. Un échec maintient le garde-fou. Une réussite isolée ne le retire pas.
Phase 4 : assouplir ce que les tests justifient
On n’assouplit que la tâche dont les tests passent très bien, plusieurs fois de suite. Les autres gardent leur contrôle.
OpenAI, dans son guide pratique, recommande une supervision humaine pour les actions sensibles, irréversibles ou à fort enjeu, jusqu’à ce que la confiance dans la fiabilité de l’agent augmente, et de commencer petit avant d’étendre, après validation avec de vrais utilisateurs. La note, au conditionnel, indique qu’il peut être utile de classer les actions par niveau de risque, et que l’utilisateur pourrait choisir celles qui exigent sa validation.
Ce qu’on ne délègue jamais : toute communication, interne ou externe
Chez nous, aucun message rédigé par un agent ne part sans qu’une personne l’ait relu et validé : ni e-mail à un client, ni message à un collègue, ni publication. Ce n’est pas une phase qu’on assouplit avec le temps. C’est une limite fixe, plus stricte que les options laissées ouvertes par les éditeurs.
La documentation de Copilot Cowork, consultée le 8 octobre 2026, demande une validation avant un e-mail ou un message Teams. Elle permet de ne plus redemander pour le reste de la session : pour un destinataire, pour un domaine, ou pour toute l’action. Les autres actions n’ont qu’un choix, approuver et ne plus demander. Pour les tâches automatiques, la validation avant un envoi, une publication ou une modification d’un système partagé est le réglage par défaut. L’utilisateur peut préautoriser des actions en créant la tâche. On recommande de ne pas utiliser ces options pour les communications.
Cette validation doit être réelle. La note rappelle l’article 22 du RGPD et, avec l’arrêt SCHUFA de la Cour de justice de l’Union européenne (7 décembre 2023, affaire C-634/21), retient qu’une intervention humaine seulement en sortie ne suffit pas nécessairement, et qu’une validation purement formelle ou automatique est insuffisante. On le dit au conditionnel, sans conclure à l’obligation applicable à votre situation. Ce que le RGPD impose à une IA qui lit vos données se traite à part.
Les garde-fous concrets à poser dès le pilote
Cinq garde-fous couvrent l’essentiel. Ils se posent avant la mise en service.
| Garde-fou | Ce qu’il évite | Qui le règle |
|---|---|---|
| Droits limités à la tâche | Lire, modifier ou envoyer au-delà du besoin | La DSI, avec le métier |
| Validation humaine sur les actions à risque | Une action sensible ou irréversible qui part seule | La personne responsable du résultat |
| Seuils chiffrés avec les métiers | Un montant traité comme un cas ordinaire | Le métier, puis la direction |
| Journal de l’action et de sa raison | Une action qu’on ne sait plus expliquer | L’équipe qui met l’agent en service |
| Arrêt immédiat | Une exécution qui continue après un écart | L’utilisateur, avec le responsable |
La note retient une validation humaine pour les décisions les plus critiques, le cloisonnement de la mémoire, un environnement isolé, et un bouton d’arrêt à la main de l’utilisateur, qui interrompt l’exécution. Elle indique qu’il peut être utile de classer les actions : accès, modification, suppression, envoi hors du système, données financières ou de santé. Le détail d’une liste de mise en production est traité à part.
OpenAI propose une cotation de risque par outil, faible, moyenne ou élevée, selon la lecture ou l’écriture, la réversibilité, les droits et l’impact financier. L’Agents SDK permet des validations outil par outil, avec pause puis reprise, et des garde-fous d’entrée, de sortie et d’outil. Les seuils indiquent où placer la validation humaine d’un agent. Le jeu de cas rejoint la façon de contrôler les sorties de l’IA.
Écrire la charte : trois règles que les équipes peuvent appliquer
Les garde-fous techniques ne suffisent pas si les utilisateurs ne savent pas ce qu’on attend d’eux. On recommande trois règles simples : on relit toujours ce que l’agent produit, les e-mails restent en brouillon jusqu’à relecture, et l’accès de l’agent aux fichiers suit la politique fixée par votre DSI.
La relecture et le brouillon ne s’assouplissent pas avec le temps. Sur les fichiers, on ne pose pas d’objection de principe. La DSI décide, selon sa politique de droits : ce que la personne voit déjà, ce que l’agent peut lire, ce qui reste fermé. Ces trois règles s’écrivent dans un modèle de charte d’utilisation de l’IA, avec la personne à prévenir en cas d’erreur. Elles s’appliquent aux réglages de Copilot Cowork décrits plus haut.
Ce qu’une direction décide avant le pilote
Avant le pilote, la direction tranche quatre points : la tâche confiée à l’agent et ce qu’il n’a pas le droit de faire, la personne responsable de ses résultats, les seuils au-delà desquels une personne valide, et les tests qui permettront d’assouplir un garde-fou. Le reste se règle en équipe.
La tâche tient en une phrase, et les interdits aussi. Préparer un rapprochement n’est pas envoyer le résultat au client. La personne responsable répond du résultat, même quand l’agent a enchaîné les étapes. Les seuils sont ceux du métier, écrits avant le premier essai. Les tests sont le jeu de cas : sans eux, aucun assouplissement n’a de base. Ces quatre points ne remplacent pas la question plus large de qui décide de l’IA en direction.
Du pilote encadré au processus qui tourne
Un agent encadré n’est utile que s’il s’insère dans un processus clair : des étapes stables en code, des données fiables, des points de validation placés là où le risque est réel. C’est en reprenant le processus entier, pas seulement l’agent, qu’on peut assouplir les garde-fous sans perdre le contrôle.
Dès que la tâche revient, traverse plusieurs équipes ou engage un tiers, les étapes stables comptent autant que le modèle. On peut alors reprendre le processus entier, pas seulement l’agent.
Vous préparez un premier agent ? On définit avec vous les phases, les seuils et ce qui ne se délègue jamais, avant la mise en service.