En 2024, on posait des questions à un chatbot. En 2025, un copilote suggérait des lignes de code. En 2026, des agents agissent : ils écrivent du code, ouvrent des pull requests, corrigent des configurations, préparent des déploiements. La conversation sur la souveraineté des données, elle, est restée en 2024.

Ce qui change avec les agents

Un copilote fait quelques appels d'IA quand vous le sollicitez. Un agent en fait des centaines, parfois des milliers, en continu, sans humain dans chaque boucle. Trois conséquences directes :

Le volume d'egress explose. Chaque appel emporte du contexte — et à l'échelle agentique, le contexte devient massif : arborescences de code complètes, journaux de production, résultats de commandes, contenus de tickets. Ce qui était un filet d'eau avec un copilote devient un fleuve.

Le contexte s'enrichit dangereusement. Un agent qui débogue lit vos logs. Vos logs contiennent ce qu'ils contiennent : chemins internes, adresses, parfois des secrets que quelqu'un a loggés un mauvais jour. Tout ça part dans les prompts.

L'agent a des credentials. C'est la rupture fondamentale. La question n'est plus seulement « où va ma donnée ? » — c'est « qu'est-ce que cette entité autonome a le droit de faire chez moi ? » Un agent avec un accès en écriture sur vos dépôts et un chemin vers votre infra n'est pas un outil. C'est un acteur.

Deux angles morts convergent donc : la juridiction de l'inférence, et la gouvernance de l'action. La plupart des organisations n'ont ni l'un ni l'autre. Elles ont des agents.

Premier plan de contrôle : gouverner l'inférence

J'ai détaillé dans un article précédent le pattern du point de contrôle unique : tout appel IA passe par une passerelle, sans exception — routage par politique entre backends souverains et modèles de frontière, clés virtuelles, audit par appel. (Si vous ne l'avez pas lu : c'est le prérequis de ce qui suit.)

À l'échelle agentique, ce pattern cesse d'être une bonne pratique pour devenir non négociable. La raison est arithmétique : on ne peut pas auditer a posteriori des milliers d'appels quotidiens qu'on n'a pas contrôlés a priori. Et elle est structurelle : un agent capable d'appeler directement un fournisseur non approuvé est un canal d'exfiltration avec de bonnes intentions. Il suffit d'un prompt injecté dans une page web qu'il consulte, un ticket qu'il lit, un README qu'il parcourt.

Le chokepoint transforme ce risque diffus en surface contrôlée : l'agent ne connaît qu'une porte, la porte applique la politique.

Deuxième plan de contrôle : gouverner l'action

C'est ici que la plupart des retours d'expérience s'arrêtent — et c'est ici que les choses sérieuses commencent. Opérer une flotte d'agents autonomes en production nous a imposé cinq garde-fous. Aucun n'est théorique ; chacun existe parce que son absence a fait mal quelque part.

1. Une identité par agent. Pas de compte partagé, pas d'identité locale recréée dans chaque application : une identité unique par agent, une autorisation centralisée, une révocation en un seul point. Si vous ne pouvez pas dire quel agent a fait quoi, vous n'avez pas de gouvernance — vous avez des logs.

2. Les agents produisent, les humains promeuvent. Aucune promotion en production sans un GO humain explicite. Pas d'auto-merge, jamais. La friction est volontaire : c'est précisément elle qui fait la différence entre déléguer et abdiquer. Un agent peut préparer, proposer, documenter. Franchir la porte de la prod reste un acte humain.

3. Journal append-only et sentinelle de diff. Les fichiers d'audit — journaux de version, historiques de décisions — ne se réécrivent pas : ils s'enrichissent. Et avant tout push, une revue systématique des suppressions détecte les effacements suspects. Oui, cette règle est née d'un incident. Un agent bien intentionné qui « nettoie » un historique est indiscernable, après coup, d'un agent compromis qui efface ses traces.

4. Egress fermé par défaut. Un agent n'atteint que ce que sa mission exige : les dépôts de son périmètre, les API dont il a besoin, rien d'autre. Le réseau est contraint par mission, pas ouvert par commodité. Le moindre privilège s'applique aux agents encore plus strictement qu'aux humains — un humain remarque quand il fait quelque chose d'inhabituel ; un agent, non.

5. Assertions prouvées, pas mémorisées. Un agent qui affirme quelque chose sur l'état de l'infrastructure doit le prouver par une vérification outillée dans la session courante — pas le tirer de sa mémoire ou d'un contexte périmé. La mémoire obsolète est un mode de défaillance de première classe : un agent qui agit sur un état d'il y a trois jours est un agent qui agit sur une fiction.

Les modes de défaillance qu'on a réellement vus

Trois patterns reviennent, et ils sont instructifs parce qu'aucun n'implique de malveillance :

Le nettoyeur zélé : l'agent qui réécrit un fichier append-only « pour faire propre ». D'où la sentinelle de diff.
Le somnambule : l'agent qui agit sur une croyance périmée à propos de l'infra. D'où la règle de preuve empirique.
La cascade : un agent formule une hypothèse fausse ; trois autres la répliquent en la traitant comme un fait. D'où l'importance de casser les chaînes de confiance implicite entre agents.

Le point commun de ce qui a tenu à chaque fois : les portes, pas la vigilance. La vigilance humaine continue ne passe pas à l'échelle. Les portes, oui.

Les compromis, sans détour

Le GO humain ralentit les livraisons — c'est sa fonction, pas son défaut. Deux plans de contrôle, c'est un coût d'opération permanent. Le chokepoint ajoute de la latence. Et sur certaines tâches de code, les modèles souverains accusent un écart face aux modèles de frontière : il arrive qu'on route vers la frontière — mais par politique explicite et tracée, jamais par défaut. La souveraineté n'est pas un dogme de pureté ; c'est le fait de décider en connaissance de cause, et de pouvoir le prouver.

Le verdict

L'autonomie sans gouvernance, c'est confier sa production à un processus stochastique en espérant que la moyenne soit bonne. La souveraineté qui ignore les agents, c'est une ligne Maginot : impeccable sur le périmètre d'hier, contournée par l'architecture d'aujourd'hui.

Les deux plans de contrôle — gouverner l'inférence, gouverner l'action — sont le prix d'entrée de l'IA agentique en entreprise. Ce prix est payable : nous le payons tous les jours. Et le retour — des agents qui produisent réellement, sous des règles qu'on peut démontrer à un auditeur comme à un client — le justifie largement.

La question à poser à votre organisation n'est plus « utilise-t-on des agents ? ». C'est : « si un agent faisait quelque chose d'anormal cette nuit, à quel moment — et par quelle porte — l'auriez-vous su ? »