Tout le monde construit maintenant des agents d’IA. Qui les contrôle ?

Microsoft a rendu Agent 365, une couche de contrôle centralisée pour les agents d’IA, généralement disponible. Elle gère les agents comme des identités, avec un inventaire, des autorisations et un journal. La véritable question n’est donc plus de savoir si les agents vont intégrer l’entreprise, mais qui les contrôle et avec quel mandat.

Les points clés en bref

• Les agents deviennent un produit de masse : Avec Copilot Studio, pratiquement chaque service métier peut créer ses propres agents. Sans couche de contrôle, une shadow IT d’agents voit le jour.
• Agent 365 est la réponse : Une couche de contrôle centralisée qui inventorie les agents, leur attribue des autorisations, surveille leur comportement et les journalise.
• La gouvernance décide, pas la licence : L’effort réside dans l’identité, le mandat et l’audit des agents. Ce travail ne peut pas être externalisé.

Lié :Le pilote IA fonctionne, l’exploitation en routine non  /  L’IA au conseil d’administration : pourquoi seulement 12 % en profitent

Ce que contrôle réellement Agent 365

Qu’est-ce qu’Agent 365 ? Agent 365 est la couche de contrôle centralisée de Microsoft pour les agents d’IA. Elle regroupe en un seul endroit les agents existants dans une organisation, leurs autorisations, leur comportement et leurs actions. Elle est disponible depuis début mai 2026.

Le levier réside dans la couche située au-dessus de chaque agent individuel. Jusqu’à présent, les assistants IA fonctionnaient de manière dispersée et difficile à superviser. Agent 365 traite les agents comme des identités gérées : avec un inventaire, des droits d’accès, des règles de comportement et un journal. Cela déplace la discussion de « Que peut faire l’agent ? » à « Qui l’a autorisé et dans quel but ? ».

Agent 365 est disponible en tant que licence autonome pour environ 14 Euro par utilisateur et par mois ou inclus dans le nouveau pack E7. Le prix est cependant le moindre des coûts. Le véritable investissement réside dans le travail de gouvernance qui l’accompagne.

Pourquoi la question du contrôle devient urgente

Le déclencheur est la démocratisation des agents. Avec Copilot Studio, un service métier peut créer un agent sans consulter la DSI. Ce qui commence comme un gain de productivité se transforme, sans supervision, en shadow IT, cette fois composée d’agents agissant de manière autonome plutôt que d’applications.

Microsoft positionne Agent 365 précisément comme la réponse à cette problématique. Le point crucial réside dans l’ordre des priorités : d’abord la couche de contrôle, puis le déploiement à grande échelle. Ceux qui déploient les agents en premier et ajoutent le contrôle ensuite cherchent après coup des agents qui déplacent déjà des données.

Trois éléments qu’une gouvernance des agents doit assurer

Un plan de contrôle n’est pas une fin en soi. Il doit couvrir trois fonctions, sans quoi il reste un simple tableau de bord sans effet.

Premièrement : inventaire et identité. Chaque agent a besoin d’une identité unique et d’une inscription dans le registre. Ce qui n’est pas répertorié ne peut pas être contrôlé. Un agent sans identité est l’angle mort où la gouvernance échoue.

Deuxièmement : permissions avec mandat. Un agent hérite des accès qu’on lui attribue. Le principe du moindre privilège s’applique ici plus strictement que pour les humains, car un agent peut déclencher des milliers d’opérations en quelques secondes. Chaque accès nécessite un mandat sous-jacent.

Troisièmement : surveillance et journalisation. Les actions d’un agent doivent rester traçables. Sans journal, il n’y a ni chaîne de preuve ni clarification des responsabilités en cas de dommage. Pour les agents, l’audit fait partie de l’équipement de base.

Ce que cela signifie pour les PME

Le véritable enseignement réside dans le mécanisme. Le niveau de gouvernance qu’un grand groupe devait jusqu’à présent construire en interne est désormais disponible sous forme de produit clé en main. Une PME peut acquérir la même logique de contrôle sans financer son propre programme Trusted-AI.

Pour les entreprises DACH, s’ajoutent les questions de protection des données et de codétermination. Un agent accédant à des données personnelles ou clients touche au RGPD et souvent au comité d’entreprise. Celui qui met en place tôt le niveau de gouvernance répond à ces questions une fois pour toutes, au lieu de renégocier à chaque nouvel agent.

La décision à prendre dès maintenant

La question ouverte concerne la propriété. À qui revient la gouvernance des agents : au DSI, au RSSI, ou à un rôle dédié ? Tant que cela reste flou, chaque service continue de développer ses agents, et personne n’assume la responsabilité globale.

La première étape pour les 90 prochains jours est simple : établir un inventaire des agents déjà existants et désigner clairement un responsable. Ces deux actions coûtent peu et déterminent si la montée en puissance sera contrôlée ou anarchique. La couche de contrôle peut s’acheter, mais sa responsabilité doit être attribuée en interne par l’entreprise.

Foire aux questions

Source de l’image : générée par IA (juin 2026), certificat C2PA intégré à l’image