Une infrastructure cloud sécurisée et moderne est la clé d’un déploiement réussi de l’IA agentique.
Si vous envisagez d’utiliser des agents d’IA pour automatiser les décisions au sein de votre organisation, votre infrastructure cloud doit être à toute épreuve. Cela signifie qu’elle doit être sécurisée, moderne et conçue pour gérer des charges de travail en constante évolution. Ces agents opèrent à travers des environnements hybrides, des systèmes sur site, des clouds privés, des clouds publics, et ils ne se soucient pas de savoir où sont vos faiblesses. Les attaquants, eux, s’en soucient.
L’IA agentique est conçue pour agir de manière autonome. Elle recueille des données, prend des décisions et exécute des tâches. Elle n’attend pas l’approbation de l’homme. Ce niveau d’autonomie est puissant, mais il ne fonctionne que si l’environnement dans lequel il vit est sécurisé dès sa conception, et non pas ajouté ultérieurement. Si vous vous fiez encore à des contrôles d’accès obsolètes ou si vous n’avez pas évalué la marge de sécurité entre vos fournisseurs de cloud et vos systèmes internes, vous augmentez les chances que quelque chose se produise.
L’authentification est la ligne de base, pas la ligne d’arrivée. Vous devez mettre en place une surveillance continue, un renforcement de l’infrastructure et une réponse automatisée aux menaces. Il ne s’agit pas de caractéristiques de marque pour les listes de contrôle de sécurité. Il s’agit d’exigences opérationnelles pour les systèmes d’IA qui pourraient prendre des milliers de décisions sur des outils internes, des plateformes clients et des ensembles de données sensibles.
Selon Gartner, d’ici 2028, l’IA agentique sera présente dans 33 % des applications logicielles d’entreprise et conduira à des décisions autonomes pour environ 15 % des tâches professionnelles quotidiennes. L’orientation est claire. Les entreprises qui se modernisent dès maintenant peuvent prendre de l’avance. Celles qui tardent à le faire seront obligées de remanier leurs applications alors que la concurrence va de l’avant.
Nataraj Nagaratnam, IBM Fellow et directeur technique de la sécurité du cloud chez IBM, l’a dit sans détour : « Vous pouvez protéger votre agentique [IA], mais si vous laissez votre porte d’entrée ouverte au niveau de l’infrastructure […] la menace et le risque augmentent. » Les systèmes auxquels vous faites confiance pour exécuter les fonctions essentielles de l’entreprise sont soit votre plus grand atout, soit votre plus grande responsabilité. C’est à vous de choisir.
L’IA agentique amplifie les risques traditionnels tels que l’exposition aux données et les problèmes de conformité.
L’IA agentique ouvre la porte à des surfaces de données beaucoup plus importantes. Cela signifie que les risques traditionnels liés aux fuites de données, aux violations des politiques et aux lacunes en matière de conformité s’étendent. Ces agents peuvent également extraire, analyser et agir sur des données non structurées, des documents, des messages, des fichiers audio, des images. S’il s’agit de données numériques stockées dans vos systèmes, l’IA peut probablement y accéder.
Le problème ? Les failles de sécurité ont désormais plus de vecteurs. Les agents peuvent être utilisés à mauvais escient, incités à offrir un accès non autorisé ou même manipulés pour exécuter des tâches non souhaitées. Cela n’a rien de farfelu ; il s’agit d’une conséquence fondamentale d’une mauvaise gouvernance et d’une validation insuffisante des entrées. Les enjeux augmentent considérablement si vous travaillez dans un secteur réglementé. Les services financiers, les soins de santé et les entreprises internationales ne peuvent pas se permettre qu’un agent manipule mal des informations personnelles identifiables ou viole les accords de conservation des données.
La gouvernance doit commencer au niveau de l’infrastructure. Si vos systèmes cloud ne sont pas conformes, vos agents ne le seront pas non plus. Et même s’ils le sont, vous devez tenir compte de la manière dont ils collectent, traitent et stockent les données. La structure est importante. Les cadres sont importants. Et la surveillance interne doit être cohérente.
Nataraj Nagaratnam a souligné ce point lors de son entretien avec InformationWeek : « Les agents et le système doivent être conformes, mais vous héritez de la conformité de cette infrastructure sous-jacente (…) du cloud. » Il a raison. Les entreprises ne peuvent pas se permettre de dissocier les performances d’un agent d’IA de l’infrastructure sur laquelle il repose. Si la plateforme présente des failles, vos résultats en matière d’IA le seront également.
Les dirigeants doivent avoir une vision d’ensemble. L’IA agentique peut résoudre des problèmes réels à grande échelle, mais seulement si les systèmes, les protocoles et les modèles d’accès sont prêts à gérer la complexité accrue. Si vous en êtes encore à auditer l’accès aux données une fois par an, vous êtes loin du compte. L’IA accélère tout, y compris les échecs potentiels.
L’implication transversale des parties prenantes est essentielle pour se préparer à l’IA agentique.
L’IA agentique traverse les départements, les rôles et la façon dont le travail est effectué. Si vous ne l’envisagez qu’à travers le prisme de votre équipe technique, vous passez à côté d’une grande partie de son impact et de ses risques. Le succès exige la participation de l’ensemble de l’organisation, des responsables de la sécurité, des responsables de la conformité, des équipes juridiques et surtout des utilisateurs qui interagiront avec ces agents et en dépendront pour faire leur travail.
Les équipes chargées de superviser la gouvernance des données et l’alignement réglementaire doivent s’asseoir à la table dès le début. Elles comprennent où se situent les risques, comment les systèmes antérieurs ont échoué et où les contrôles actuels ne sont pas suffisants. Le DSI, le directeur technique et le RSSI orienteront les décisions en matière d’infrastructure, mais leur travail doit être éclairé par les personnes qui font le travail aujourd’hui. Si un agent d’IA automatise des actions dans le service client, l’approvisionnement ou l’analyse des risques, ces experts du domaine savent déjà quelles sont les lacunes et les cas limites. Ignorer ces connaissances de première ligne ralentit la mise en œuvre et augmente l’exposition.
Commencez par rassembler les personnes qui s’intéressent déjà à la question. Des personnes conscientes des risques, désireuses d’expérimenter de manière responsable et motivées pour voir l’IA agentique réussir pour l’entreprise, et pas seulement pour la technologie elle-même. Les groupes de travail internes ne sont pas symboliques. Ils permettent un apprentissage continu et une adaptation rapide à l’évolution du paysage de l’IA. Il faut s’attendre à ce que ces équipes se tiennent au courant, se réunissent régulièrement et fassent des suggestions en matière d’infrastructure ou de politique au fur et à mesure que de nouveaux développements deviennent pertinents.
Alexander Hogancamp, directeur de l’IA et de l’automatisation chez RTS Labs, a souligné ce point lorsqu’il a déclaré : « En fait, je prendrais les personnes qui sont actuellement dans la nature et qui font le travail pour lequel vous essayez de créer une automatisation. » Ce type de vision opérationnelle garantit que les cas d’utilisation sont pratiques et que les risques de déploiement sont compris avant le déploiement, et non après.
Il s’agit d’une décision de leadership. Si vous donnez la priorité à l’inclusion interne maintenant, vous éviterez des lacunes coûteuses et des opportunités manquées plus tard. L’IA agentique invite à la transformation, et cela commence par un leadership interfonctionnel qui possède l’exécution de plus d’une perspective.
L’engagement de fournisseurs externes nécessite des évaluations approfondies des risques liés aux tiers.
La plupart des entreprises ne construiront pas de solutions d’IA agentique entièrement en interne. Vous allez travailler avec des fournisseurs de cloud, des développeurs de modèles d’IA tiers et des plateformes SaaS. Chacun de ces acteurs fait partie de votre surface de risque. L’erreur que commettent de nombreuses équipes dirigeantes est de supposer que les fournisseurs externes ont déjà résolu les problèmes de sécurité et de conformité. Ce n’est pas une hypothèse sûre, surtout dans un domaine qui évolue chaque semaine.
Chaque relation avec un fournisseur, qu’il s’agisse d’un fournisseur d’infrastructure cloud ou d’un fournisseur de modèles d’IA préentraînée, doit commencer par un examen approfondi de l’accès, du contrôle et de la responsabilité. Les systèmes du fournisseur stockent-ils vos données ? Qui peut accéder à quoi ? Leurs modèles sont-ils entraînés avec des données sensibles provenant de sources inconnues ? Leurs API sont-elles vérifiables et respectent-elles vos exigences en matière de sécurité ? Si vous ne pouvez pas répondre clairement à ces questions, le risque est déjà présent.
Les évaluations par des tiers doivent être définies, normalisées et récurrentes. Vous ne certifiez pas un produit ponctuel ; vous dépendez de services qui influencent les décisions clés prises par des agents d’IA opérant dans vos flux de travail. La diligence raisonnable des fournisseurs n’est donc pas négociable.
Les cadres de sécurité doivent s’étendre à l’ensemble de votre écosystème, et pas seulement à l’intérieur de vos propres pare-feux. Cela inclut des modèles de responsabilité partagée entre votre équipe et vos fournisseurs, des voies d’escalade claires pour les incidents et des capacités d’audit en temps réel lorsque c’est possible. Votre responsabilité en matière de conformité ne s’arrête pas au fait que les données ont été transférées sur le serveur de quelqu’un d’autre, elle se déplace avec les données et leur utilisation.
Les équipes dirigeantes doivent financer ce projet de la même manière qu’elles le feraient pour une transformation interne, parce que c’est le cas. Le risque se multiplie dans les réseaux. Si un fournisseur tombe en panne, c’est votre système qui tombe en panne. Il s’agit de votre marque, de votre client, de votre obligation de conformité, pas de celle du fournisseur. Veillez à ce que la visibilité soit intégrée à chaque contrat et à chaque intégration. C’est à vous qu’incombe le fardeau.
Les organisations natives du cloud sont mieux positionnées pour adopter rapidement l’IA agentique.
Les entreprises qui s’appuient sur une infrastructure moderne progressent plus rapidement, non pas parce qu’elles ont de la chance, mais parce qu’elles ont été conçues de cette manière. Si votre architecture est déjà cloud-native, vous avez probablement mis en place un accès basé sur le Cloud, des environnements conteneurisés, des API avec une gestion robuste des accès et des contrôles de sécurité dynamiques. Cette base n’est pas seulement utile, elle est essentielle pour intégrer l’IA agentique de manière efficace et sécurisée.
Lorsque ces systèmes sont déjà établis, l’extension des flux de travail décisionnels basés sur l’IA devient une question de configuration et de validation, et non de réingénierie complète. Les équipes cloud-natives sont en mesure d’itérer, de tester et de déployer à travers les environnements avec beaucoup moins de friction. Elles savent déjà comment opérer dans des cycles rapides et peuvent intégrer l’IA agentique dans les pipelines de données et les outils d’observabilité existants sans avoir à interrompre les opérations.
En revanche, les entreprises qui utilisent des infrastructures existantes, en particulier celles qui ont affaire à des systèmes isolés sur site, sont confrontées à un délai plus long et à un coût de préparation plus élevé. Si vous êtes confronté à des lacunes fondamentales telles que des logiciels non corrigés, une gestion rigide des accès ou des environnements de données fragmentés, le déploiement d’agents d’intelligence artificielle nécessitera d’abord des changements fondamentaux. Si vous les ignorez, vous exposez vos systèmes à des risques inutiles et à des résultats inadaptés.
La dette technique n’est pas un problème mineur, c’est un problème économique. Elle ralentit les progrès, fragilise le déploiement et allonge le délai de rentabilité de chaque initiative d’IA que vous mettez en œuvre.
Matt Hobbs, qui dirige le cloud, l’ingénierie et l’IA chez PwC, l’a clairement exprimé : « Si vous n’avez pas résolu la dette technique qui existe dans l’environnement, vous allez avancer très, très lentement en comparaison. » Le marché n’attendra pas que vous rattrapiez votre retard. Si l’IA agentique figure sur votre feuille de route, une infrastructure moderne est l’exigence de base pour exécuter cette stratégie.
L’introduction progressive et bien gouvernée est la clé d’un déploiement réussi de l’IA agentique et de la mesure du retour sur investissement.
L’IA d’entreprise n’a pas besoin d’être écrasante, mais elle doit être structurée. L’IA agentique introduit de nouvelles capacités opérationnelles qui modifient la manière dont les décisions sont prises, dont les données sont traitées et dont le travail est effectué. Si vous déployez des réseaux d’agents complexes sans clarté, sans garde-fous ni mesures, les résultats seront imprévisibles. Commencez avec précision ; commencez petit.
Lancez-vous avec un cas d’utilisation contrôlé. Quelque chose de mesurable, à faible risque et lié à un flux de travail existant. Une fois en ligne, concentrez-vous sur l’observabilité. Cela signifie des mécanismes de journalisation, de traçage, de surveillance et de retour d’information. Si un agent exécute une tâche, vous devez savoir exactement ce qui l’a déclenché, comment il a pris sa décision et si ce résultat est conforme à vos critères de conformité et de performance.
Des cadres de sécurité et de gouvernance doivent être mis en place dès le départ. Non seulement parce que vous voulez éviter les erreurs ou les violations, mais aussi parce qu’ils sont essentiels pour évaluer si ces agents effectuent leur travail comme vous l’attendez d’eux. Plus un agent est autonome, plus vous aurez besoin de visibilité sur ses chemins logiques et de pouvoir intervenir si les résultats s’éloignent de ceux escomptés.
Veillez à ce que les attentes soient en phase avec le champ d’application. Tous les déploiements d’IA n’ont pas besoin de montrer un retour sur investissement complet en quelques mois, mais chaque déploiement doit clairement articuler la valeur qu’il génère et la vitesse à laquelle il peut évoluer une fois qu’il est validé. Il peut s’agir du débit, de la réduction des coûts, de la rapidité du service ou de la préparation à la conformité. Ce qui compte, c’est d’avoir les indicateurs prêts à évaluer l’impact lorsque les parties prenantes du conseil d’administration demanderont des résultats, ce qui ne manquera pas d’arriver.
Alexander Hogancamp, de RTS Labs, recommande d’éviter les scénarios multi-agents complexes lors de votre premier projet. « Si vous essayez de vous précipiter sur des agents qui font tout maintenant et ne font rien de différent, vous allez probablement passer un mauvais moment », a-t-il déclaré. Voilà un conseil pratique. Commencez par être clair, restez structuré.
Matt Hobbs a également souligné l’importance des cadres de contrôle, rappelant aux dirigeants que les agents finiront par toucher des données et des systèmes sensibles. S’il n’existe pas de politique en matière de portée, d’accès ou d’auditabilité, vous risquez des retombées opérationnelles, juridiques et pour les clients.
L’IA agentique est une capacité opérationnelle. Une fois qu’elle a prouvé sa valeur dans un domaine contrôlé, elle peut s’étendre, mais elle doit être surveillée et affinée en permanence. C’est ainsi que vous démontrerez sa valeur et que vous éviterez les coûts d’une automatisation incontrôlée.
Principaux faits marquants
- Le cloud sécurisé n’est pas négociable : Les dirigeants doivent moderniser et sécuriser l’infrastructure du cloud hybride pour prendre en charge en toute sécurité l’IA agentique à l’échelle, en veillant à ce que l’authentification continue, la surveillance et la détection des menaces soient en place.
- Le risque lié aux données augmente avec l’autonomie : L’IA agentique augmente l’exposition aux données structurées et non structurées, ce qui nécessite une surveillance proactive de la conformité et une gouvernance stricte des données pour prévenir les actions non autorisées et les violations.
- Les équipes interfonctionnelles favorisent une adoption sûre : Impliquez la sécurité, le service juridique et les opérateurs de première ligne dès le début pour identifier les risques, valider les cas d’utilisation et s’assurer que les agents d’IA fonctionnent de manière responsable dans les flux de travail du monde réel.
- Les écosystèmes de fournisseurs exigent un examen minutieux : Les entreprises doivent effectuer des évaluations continues des risques de tiers sur les fournisseurs de cloud et d’IA, en s’assurant que les plateformes externes respectent les normes de sécurité et de conformité internes.
- Une infrastructure moderne accélère la préparation : Les organisations cloud-natives peuvent faire évoluer l’IA agentique plus rapidement en raison de la flexibilité intégrée, tandis que les environnements hérités présentant une dette technique élevée devraient donner la priorité aux mises à niveau fondatrices.
- Commencez à petite échelle, augmentez avec le contrôle : Déployez les premiers cas d’utilisation de l’IA agentique dans des zones à faible risque avec une observabilité solide ; mettez en œuvre la gouvernance, la journalisation et l’automatisation de la sécurité avant d’étendre les rôles de prise de décision plus larges.
