Pourquoi les agents IA en entreprise restent bloqués par les autorisations

L’adoption des agents d’IA en entreprise est freinée par les questions d’autorisation et de gouvernance

La plupart des débats sur l’IA d’entreprise se concentrent sur les performances des modèles. Or, cette question n’est plus pertinente. Les modèles de pointe actuels sont déjà capables de comprendre le langage, de raisonner pour accomplir des tâches et de générer des réponses utiles. La véritable contrainte réside dans la question de savoir si un agent IA dispose de l’autorité nécessaire pour agir au sein d’une organisation.

Toute entreprise finit par se retrouver confrontée à la même question. Un agent d’IA peut répondre à une question, mais est-il capable d’approuver un achat ? Peut-il accéder aux informations relatives à la paie ? Peut-il mettre à jour le dossier d’un client ? Peut-il effectuer ces opérations uniquement pour les personnes qu’il est autorisé à représenter ? En l’absence de réponses fiables, la technologie reste au stade de la phase pilote au lieu de s’intégrer aux opérations quotidiennes.

C’est sur cet aspect que Workday concentre sa stratégie. Au lieu de considérer les agents d’IA comme des applications distinctes, l’entreprise positionne son système d’enregistrement existant comme la couche de gouvernance. Cela signifie que l’identité, les autorisations, les validations et la sécurité restent liées aux mêmes données métier auxquelles les employés font déjà confiance. Plutôt que de créer un nouveau modèle de sécurité, Workday étend celui que les entreprises ont déjà mis en place.

Cette approche permet également de remédier à une erreur courante. De nombreuses organisations mettent en place des solutions d’IA en connectant directement des modèles de base aux données de l’entreprise. Le modèle peut générer des réponses impressionnantes, mais s’il ne tient pas compte des règles d’approbation détaillées, des autorisations basées sur les rôles ou des hiérarchies organisationnelles, il peut exposer des informations ou effectuer des actions allant au-delà de ce que les utilisateurs sont censés être autorisés à faire. Des capacités d’IA performantes ne peuvent pas compenser une gouvernance défaillante.

Pour les dirigeants, cela modifie la prise de décision en matière d’investissement. L’avantage concurrentiel découlera de plus en plus de la confiance opérationnelle plutôt que d’améliorations progressives de la qualité des modèles. Les organisations capables de vérifier l’identité, d’appliquer les autorisations et de garantir une traçabilité totale pourront déployer des agents d’IA dans les domaines de la finance, des ressources humaines, des achats et d’autres fonctions sensibles avec une confiance bien plus grande. La gouvernance devient alors un facteur clé de la mise à l’échelle.

Gerrit Kazmaier, président des produits et de la technologie chez Workday, a décrit ce défi sans détour. Il a déclaré : « Sana veille à ce que l’intégrité du modèle d’approbation et de sécurité soit toujours respectée. » Il a également souligné que les organisations qui développent elles-mêmes une IA en se contentant d’accéder aux données brutes perdent souvent la richesse de leur modèle de sécurité, ce qui conduit les résultats de l’IA à devenir « trop généraux ». Son argument reflète une réalité plus large au sein des entreprises : les systèmes d’IA doivent intégrer les contrôles métier au lieu de les contourner.

Pour garantir une grande précision de l’IA dans les domaines des ressources humaines et de la finance, une approche à plusieurs niveaux est nécessaire

L’exactitude devient un enjeu bien plus crucial lorsque l’IA passe de la génération d’informations à l’exécution de processus métier. Dans les domaines des ressources humaines et de la finance, une petite erreur ne se résume pas simplement à une réponse erronée. Elle peut entraîner un versement de salaire incorrect, une clôture financière inexacte ou une erreur de planification qui perturbe les opérations.

Les tests de performance traditionnels en matière d’IA ne permettent pas de mesurer pleinement ce défi. Les décisions d’entreprise dépendent des politiques, des structures hiérarchiques, des exigences de conformité, des antécédents et des relations organisationnelles en constante évolution. Un modèle peut produire une réponse qui semble raisonnable tout en enfreignant un processus d’approbation interne ou une politique d’entreprise. Pour les flux de travail critiques pour l’entreprise, un tel niveau d’erreur est inacceptable.

Workday résout ce problème en combinant plusieurs niveaux plutôt que de s’appuyer uniquement sur un modèle linguistique de grande envergure. Google Gemini fournit la capacité de raisonnement, tandis que Workday ajoute le contexte métier, la logique des flux de travail, les systèmes de vérification et les modèles de classification qui examinent les résultats avant que des actions ne soient entreprises. Cela crée un niveau de contrôle supplémentaire destiné à vérifier si une action doit être effectuée.

Cela reflète une évolution majeure dans l’architecture de l’IA d’entreprise. La réussite ne dépend plus uniquement de l’intelligence du modèle sous-jacent. Elle dépend de la manière dont cette intelligence est encadrée par des règles métier vérifiées, le contexte organisationnel et des mesures de sécurité opérationnelles. Les entreprises qui investissent dans ces couches de soutien sont susceptibles de bénéficier d’une fiabilité accrue et d’un risque opérationnel réduit à mesure que l’adoption de l’IA se généralise.

Les dirigeants doivent également prendre conscience que la précision est étroitement liée à la confiance. Les collaborateurs ne confieront des tâches importantes aux agents d’IA que si ceux-ci produisent systématiquement des résultats corrects. La confiance s’instaure progressivement, mais peut être perdue après seulement quelques erreurs aux conséquences graves. Les organisations ont donc besoin de mécanismes de gouvernance, de vérification et de suivi qui évoluent au rythme des capacités des modèles, plutôt que de considérer le déploiement comme un projet ponctuel.

Gerrit Kazmaier, président de la division Produits et Technologies chez Workday, a clairement résumé cette attente : « Se contenter d’une solution « presque correcte » n’est pas acceptable. » Il a notamment mis l’accent sur des processus tels que le paiement correct des salariés, la clôture des comptes et la gestion des plannings de travail, où même de petites erreurs peuvent avoir des conséquences opérationnelles et financières importantes.

L’identité et les autorisations sont essentielles au comportement fiable d’un agent d’IA

L’IA d’entreprise gagne considérablement en valeur lorsqu’elle est capable d’agir plutôt que de se contenter de fournir des informations. Cette transition repose sur une capacité fondamentale : le système doit savoir exactement qui formule la demande et de quelles autorisations dispose cette personne. Sans vérification de l’identité et des autorisations, chaque action comporte un risque inutile.

Workday fait valoir que l’identité et la précision sont étroitement liées. Un agent IA ne peut déterminer l’action appropriée que s’il comprend le rôle de l’utilisateur, ses liens hiérarchiques, son pouvoir d’approbation et ses autorisations actuelles. Ces informations évoluent au fil du temps, à mesure que les collaborateurs changent d’équipe, obtiennent des promotions ou assument de nouvelles responsabilités. Les systèmes d’IA doivent fonctionner en permanence en tenant compte du contexte organisationnel le plus récent, plutôt que de s’appuyer sur des règles d’accès statiques.

C’est là qu’un système de référence offre un avantage considérable. Workday stocke déjà les structures organisationnelles, les rôles des collaborateurs et les relations métier de nombreuses entreprises. Selon la société, l’agent en libre-service Sana utilise Google Gemini comme interface conversationnelle, tandis que l’authentification et l’autorisation sont gérées via le modèle d’identité et de sécurité existant de Workday. L’agent n’effectue que les actions que l’utilisateur authentifié est déjà autorisé à effectuer conformément aux politiques actuelles de l’entreprise.

Cette conception renforce également la responsabilité. L’interaction conversationnelle s’effectue via Gemini, tandis que la piste d’audit principale reste au sein de Workday et sous le contrôle du client. Cette distinction est importante pour les organisations soumises à des exigences de conformité strictes. Chaque action peut être rattachée à un utilisateur authentifié et vérifiée au regard des politiques de gouvernance établies.

Pour les dirigeants, cela met en évidence un enjeu stratégique plus large. La gouvernance de l’IA ne doit pas être considérée comme un projet de sécurité distinct après le déploiement. La gestion des identités, l’autorisation, la traçabilité et le contexte métier doivent être intégrés dès le départ dans l’architecture de l’IA. Les organisations qui feront de ces capacités un élément fondamental seront mieux à même d’étendre l’IA à des processus métier de plus en plus sensibles tout en conservant le contrôle opérationnel.

Gerrit Kazmaier, président de la division Produits et Technologies chez Workday, a expliqué que l’agent en libre-service de Sana utilise Gemini comme couche conversationnelle, tandis que Workday authentifie les utilisateurs et applique les autorisations via son cadre d’identité et de sécurité existant. Par conséquent, les agents Sana n’agissent qu’au nom des utilisateurs authentifiés et restent dans les limites de leurs autorisations.

L’intégration de la gouvernance au sein du système de référence est essentielle dans les environnements réglementés

À mesure que les agents d’IA deviennent capables d’accomplir des tâches métier de manière autonome, la gouvernance devient une exigence opérationnelle fondamentale plutôt qu’un simple exercice de conformité. Les organisations évoluant dans des secteurs réglementés ne peuvent pas s’appuyer sur des systèmes d’IA fonctionnant en dehors des contrôles de sécurité établis. Chaque action doit être transparente, autorisée et traçable.

Les autorisations doivent rester au sein du système qui gère les données métier faisant autorité de l’organisation. Séparer la gouvernance du système de référence crée des décalages entre les politiques métier et le comportement de l’IA. Ces décalages augmentent le risque d’accès non autorisés, de décisions incohérentes et de manquements à la conformité.

Ce défi prend encore plus d’importance à mesure que les entreprises déploient plusieurs agents d’IA dans différentes fonctions métier. Chaque agent peut être amené à traiter des dossiers sensibles concernant les salariés, des informations financières, des systèmes d’approvisionnement ou des données clients. En l’absence d’une gouvernance centralisée, les organisations ont de plus en plus de mal à contrôler les actions menées par ces agents, à identifier les personnes ayant autorisé ces actions et à vérifier si celles-ci sont conformes aux politiques internes et aux réglementations externes.

Une gouvernance solide améliore également l’évolutivité. Les entreprises qui définissent clairement les responsabilités, mettent en place des modèles d’autorisation standardisés et disposent de pistes d’audit exhaustives peuvent étendre leurs déploiements d’IA avec davantage de confiance. Au lieu d’évaluer chaque nouveau cas d’utilisation de l’IA à partir de zéro, elles peuvent étendre un cadre de gouvernance existant à l’ensemble des services tout en garantissant une sécurité et une supervision cohérentes.

Les dirigeants d’entreprise devraient considérer la gouvernance comme un atout concurrentiel plutôt que comme une contrainte opérationnelle. Les exigences réglementaires ne cessent d’évoluer, et les clients attendent de plus en plus des organisations qu’elles adoptent des pratiques responsables en matière d’IA. Les entreprises qui intègrent la gouvernance directement dans leurs systèmes métier clés seront mieux préparées à répondre à la fois aux exigences commerciales et réglementaires à mesure que l’adoption de l’IA s’accélère.

Dan Obendorfer, directeur produit chez Würk, a réaffirmé cette position en déclarant : « Les données doivent être hébergées dans le système de référence ; ce n’est pas une simple préférence, c’est la seule façon dont cela fonctionne. » Il a ajouté que si les autorisations sont définies en dehors du système où résident les données, les organisations ont déjà perdu le contrôle de leur modèle de sécurité.

Kadan Stadelmann, directeur technique et cofondateur de Compance.AI, est parvenu à une conclusion similaire. Il a averti que, sans une responsabilité clairement définie concernant les agents d’IA et sans visibilité sur leurs performances, leurs coûts et leurs actions, les organisations risquaient de se retrouver dans une situation de chaos opérationnel. Ses remarques soulignent que la gouvernance doit aller au-delà du simple contrôle d’accès pour inclure la responsabilité, la surveillance et la gestion du cycle de vie des agents d’IA d’entreprise.

Workday étend son écosystème d’IA grâce à une intégration renforcée avec Google Gemini

L’IA d’entreprise dépasse désormais le cadre des applications isolées. Les organisations attendent de plus en plus des systèmes d’IA qu’ils fonctionnent dans plusieurs fonctions métier tout en garantissant une sécurité, une gouvernance et une expérience utilisateur cohérentes. Cela exige des fournisseurs de technologies qu’ils développent des plateformes capables de s’intégrer aux écosystèmes d’entreprise existants, plutôt que de fonctionner de manière indépendante.

Le renforcement du partenariat entre Workday et Google s’inscrit dans cette optique. Après avoir lancé en mars son système de référence « Sana Agent », l’entreprise a annoncé que Sana s’intégrerait à Gemini Enterprise, ce qui permettra de retrouver les agents IA basés sur Sana au sein de l’environnement d’IA d’entreprise de Google. L’objectif est d’associer les capacités de raisonnement et de conversation de Gemini aux fonctionnalités de gouvernance, de gestion des identités et de contrôle des flux de travail de Workday.

Cette intégration reflète un principe architectural important. Les modèles de base offrent de vastes capacités de raisonnement, mais la valeur ajoutée pour l’entreprise réside dans la combinaison de ces modèles avec des systèmes métier fiables qui prennent en compte les structures organisationnelles, les autorisations, les processus métier et les exigences de conformité. En associant ces capacités, les organisations peuvent déployer des agents d’IA à la fois intelligents et alignés sur les contrôles opérationnels existants.

Pour les dirigeants d’entreprise, ce type de partenariats leur évite d’avoir à choisir entre innovation et gouvernance. Les organisations peuvent ainsi tirer parti des avancées en matière de modèles de base sans avoir à refondre leurs systèmes d’identité, leurs politiques de sécurité, leurs processus de validation ou leurs procédures d’audit. Les contrôles d’entreprise existants restent en place tandis que les capacités d’IA continuent de s’améliorer à mesure que de nouveaux modèles sont mis à disposition.

Plus généralement, cela signifie que les plateformes d’IA d’entreprise sont de plus en plus interconnectées. Il est peu probable que les entreprises s’alignent sur un seul fournisseur ou une seule application d’IA. Elles mettront plutôt en place des environnements dans lesquels plusieurs services d’IA fonctionneront de concert, tout en s’appuyant sur un cadre de gouvernance commun. Les fournisseurs capables de s’intégrer efficacement dans ces écosystèmes sont appelés à devenir des partenaires de plus en plus précieux à mesure que l’adoption de l’IA en entreprise se généralise.

Principaux enseignements pour les dirigeants

• Privilégiez la gouvernance avant les mises à niveau des modèles : l’IA d’entreprise est de plus en plus limitée par les contrôles liés à l’identité, aux autorisations et aux validations plutôt que par les performances des modèles. Les dirigeants doivent renforcer la gouvernance au sein des systèmes d’enregistrement existants afin de permettre aux agents IA d’agir en toute sécurité et à grande échelle.
• Considérez la précision comme une exigence métier : dans les domaines des ressources humaines et de la finance, même les erreurs les plus minimes commises par l’IA peuvent entraîner des risques opérationnels et de conformité importants. Associez les modèles de base au contexte métier, à des mécanismes de vérification et à des contrôles de flux de travail avant d’autoriser les agents à exécuter des tâches critiques.
• Concevez l’IA en s’appuyant sur des contrôles d’identité et d’accès fiables : les agents IA doivent hériter des autorisations existantes des utilisateurs et du contexte organisationnel, plutôt que de fonctionner selon des règles d’accès distinctes. Cela renforce la sécurité, la responsabilité et la traçabilité, tout en réduisant le risque d’actions non autorisées.
• Intégrer la gouvernance dans l’architecture d’entreprise : la gestion des autorisations, les pistes d’audit et la supervision des agents doivent être assurées au sein même du système de référence, en particulier dans les secteurs réglementés. Les dirigeants doivent définir clairement les responsabilités et les mécanismes de suivi relatifs aux agents d’IA avant de déployer des flux de travail autonomes.
• Privilégiez les plateformes d’IA qui s’intègrent aux systèmes d’entreprise : des partenariats tels que l’intégration de Workday à Google Gemini démontrent que la valeur à long terme réside dans l’association de modèles d’IA avancés à une gouvernance d’entreprise fiable. Investissez dans des plateformes capables d’évoluer grâce à de nouvelles capacités d’IA sans compromettre la sécurité ni la conformité.