Qu’est-ce que la gestion du cycle de vie des agents ?

L’ALM offre aux entreprises une approche structurée pour définir la manière dont les agents sont conçus, les données et les outils auxquels ils peuvent accéder, la façon dont leur comportement est évalué, ainsi que la manière dont ils sont mis à jour ou hors service.

En contexte professionnel, la gestion du cycle de vie des agents d’IA s’appuie sur des pratiques bien établies en matière de logiciels, de sécurité et d’opérations d’IA, notamment le cycle de développement logiciel (SDLC), le DevSecOps et le MLOps. Cependant, les agents d’IA nécessitent davantage de contrôles, car ils sont capables d’utiliser des grands modèles de langage (LLM), d’appeler des outils, de conserver le contexte, de planifier des tâches en plusieurs étapes et d’automatiser des actions. Contrairement aux applications traditionnelles, ils peuvent produire des résultats différents pour des entrées similaires ou choisir des étapes différentes en fonction de l’intention de l’utilisateur, du contexte disponible ou des systèmes connectés.

Un agent d’intelligence artificielle (IA) est un système qui exécute des tâches de manière autonome en concevant des workflows à l’aide des outils disponibles. Il appréhende le contexte, raisonne sur les objectifs et les contraintes, et agit par le biais d’outils ou de services pour mener à bien ses tâches. Il peut utiliser un ou plusieurs grands modèles de langage pour interpréter l’intention de l’utilisateur, planifier les étapes suivantes, récupérer des informations, appeler des API, mettre à jour des systèmes et générer des réponses.

En tant que systèmes adaptatifs, les agents d’IA nécessitent une supervision continue. Étant donné qu’ils sont capables de raisonner, d’agir, d’utiliser des outils et de modifier leur comportement, les entreprises doivent gérer bien plus que du simple code. Elles doivent également gérer l’ensemble du système agentique : prompts, modèles, sources de données, intégrations, autorisations, traces d’audit et mesures de sécurité opérationnelles.

En entreprise, les agents d’IA sont utilisés pour le support informatique, le service client, la finance, la conformité, les ressources humaines, le développement logiciel, les opérations et le travail intellectuel. Contrairement aux chatbots élémentaires, les agents peuvent souvent effectuer des actions concrètes, telles que récupérer des dossiers, ouvrir des tickets, mettre à jour des systèmes, générer des rapports ou demander des validations. Certains sont qualifiés d’agents ou systèmes autonomes, mais dans le contexte des entreprises, la plupart des systèmes agentiques sont pourvus d’une autonomie contrôlée, d’autorisations définies et d’une supervision humaine pour les actions à haut risque.

La gestion des modèles se concentre sur les modèles d’IA proprement dits, notamment leurs versions, leurs performances, leur déploiement et leur surveillance. En revanche, la gestion du cycle de vie des agents a une portée plus large. Elle gère l’ensemble du système agentique autour des modèles, à savoir les prompts, les outils, la mémoire, les sources de données, les intégrations système, le contrôle d’accès, les pistes d’audit, les évaluations, la réponse aux incidents et la mise hors service.

En d’autres termes, la gestion des modèles vise à déterminer si ceux-ci fonctionnent comme prévu. La gestion du cycle de vie des agents vise à déterminer si le système agentique (modèle, autorisations, actions et contexte métier) fonctionne de manière sûre, fiable et conforme aux attentes.

La gestion du cycle de vie des agents revêt une importance particulière, car les agents d’IA passent désormais de projets pilotes isolés à des déploiements d’entreprise de plus grande envergure. Dans ce contexte, il devient plus difficile de maintenir une supervision informelle. Les entreprises ont besoin d’un moyen cohérent de savoir quels agents sont présents, à qui ils appartiennent, à quoi ils ont accès, quelles sont leurs performances et à quel moment ils doivent être mis à jour ou retirés.

Des études indiquent que l’adoption des agents progresse plus rapidement que de nombreux programmes de gouvernance. L’étude IBM 2026 Tech Leader Study a révélé que les DSI et directeurs techniques interrogés s’attendent à une augmentation de 38 % du nombre d’agents d’IA déployés à l’horizon 2027, alors que seuls 11 % d’entre eux se disent pleinement préparés à une telle ampleur. L’étude a également montré que 77 % des entreprises interrogées estiment que l’adoption de l’IA dépasse déjà leurs capacités actuelles en matière de gouvernance. De même, une enquête menée en 2026 auprès de responsables informatiques et de dirigeants d’entreprise a révélé que seules 21 % des entreprises déclaraient disposer d’un modèle de gouvernance abouti pour gérer les risques liés à l’IA agentique¹.

Ces lacunes sont importantes car les agents d’IA ne sont pas des outils logiciels statiques. Les logiciels traditionnels suivent généralement des règles définies : si un utilisateur effectue une action spécifique, l’application réagit de manière prévisible. Les agents d’IA sont différents. En effet, ils peuvent produire des résultats différents pour des entrées similaires. Ils peuvent également choisir différentes étapes en fonction de la demande de l’utilisateur, du contexte disponible, des interactions antérieures ou des outils connectés.

Cela engendre plusieurs besoins en matière de gestion :

• Sécurité : les agents peuvent avoir besoin d’accéder à des systèmes d’entreprise, à des données, à des API ou à des comptes de service. Sans contrôle d’accès approprié, ils peuvent devenir des identités non humaines dotées de droits excessifs.
• Fiabilité : les agents peuvent commettre des erreurs, produire des hallucinations, faire appel au mauvais outil ou échouer lorsqu’une intégration change.
• Gouvernance : les entreprises doivent savoir quels agents sont utilisés, à qui ils appartiennent, à quoi ils ont accès et s’ils respectent les politiques internes ou les exigences réglementaires.
• Traçabilité : les équipes ont besoin de pistes d’audit indiquant ce qu’un agent a fait, quels outils il a utilisés, à quelles données il a accédé et pourquoi une décision ou une action a été prise.
• Résilience opérationnelle : si un agent se comporte de manière inattendue, les équipes doivent disposer de moyens pour le mettre en pause, révoquer son accès, annuler les modifications, enquêter sur le problème et rétablir le service.

L’ALM permet de répondre à ces besoins en structurant l’ensemble du cycle de vie des agents. Elle offre aux entreprises la possibilité d’aller au-delà des examens ponctuels en mettant en place des processus reproductibles pour approuver, tester, déployer, surveiller, mettre à jour et mettre hors service les agents tout au long de leur cycle de vie. Elle permet également de gérer des risques tels que l’IA fantôme (shadow AI), les autorisations excessives, une observabilité insuffisante, les modifications de prompts, les changements de version des modèles, la latence, l’exposition des données et les comportements incohérents.

Il est possible d’organiser un modèle ALM concret autour des étapes suivantes :

La première étape consiste à identifier le problème métier que l’agent est censé résoudre et à déterminer si un agent constitue effectivement la bonne approche. Certains problèmes sont mieux traités par l’automatisation traditionnelle, la recherche, des workflows basés sur des règles ou un simple prompt.

Au cours de la planification, les équipes définissent l’objectif de l’agent, ses utilisateurs, le propriétaire, les indicateurs de réussite et le profil de risque. Elles déterminent également le niveau d’autonomie approprié. Par exemple, un agent chargé de résumer des documents internes nécessite moins de contrôles qu’un agent chargé de mettre à jour les dossiers client ou de déclencher des workflows financiers.

Les activités de planification typiques sont les suivantes :

• définir les résultats opérationnels ;
• définir des KPI tels que la précision, l’achèvement des tâches, la latence, le coût et la satisfaction des utilisateurs ;
• identifier les sources de données et les intégrations système ;
• établir les limites des autorisations et les étapes de validation humaine ;
• évaluer les exigences de conformité ;
• déterminer les modalités d’évaluation de l’agent avant sa mise en service.

Au cours de cette étape, les équipes conçoivent et configurent les composants qui constituent le système agentique. Cela inclut les modèles que l’agent utilisera, les prompts qui guident son comportement, les outils auxquels il peut faire appel, les données qu’il peut récupérer et les workflows qu’il peut exécuter.

La configuration de l’agent comprend souvent :

• les modèles de prompts et les instructions système ;
• la sélection des modèles et le suivi de leurs versions ;
• les définitions d’outils et les schémas d’API ;
• les politiques de gestion de la mémoire et du contexte ;
• la génération augmentée de récupération ou les connexions basées sur les connaissances ;
• le contrôle d’accès et la configuration des identités ;
• la journalisation, le traçage et l’instrumentation de télémétrie ;
• les procédures d’escalade pour un examen humain.

Un principe clé est que les prompts, les outils, les modèles et les politiques doivent être traités comme des éléments gérés tout au long de leur cycle de vie, plutôt que comme de simples détails de configuration informels. Toute modification apportée à l’un de ces éléments peut affecter le comportement ; ils doivent donc faire l’objet d’un contrôle de version et être vérifiés et documentés.

Dans le cadre d’une utilisation en entreprise, les agents doivent se voir accorder uniquement l’accès aux outils et aux données nécessaires à la réalisation de leur mission. Les responsables humains doivent mettre en place les contrôles appropriés, par exemple le contrôle d’accès basé sur les rôles, la gouvernance des comptes de service ou l’accès juste à temps.

Tester un agent d’IA ne se limite pas à vérifier si le logiciel fonctionne. Les équipes doivent également évaluer si l’agent se comporte comme prévu dans le cadre d’un large éventail de tâches, d’entrées, d’utilisateurs et de conditions système.

Cette étape peut inclure :

• des tests fonctionnels des outils et des intégrations ;
• l’évaluation des prompts et des réponses ;
• Tests de régression
• des tests de sécurité portant sur l’injection de prompts et les fuites de données ;
• des vérifications des hallucinations et du bien-fondé ;
• des tests de conformité aux politiques ;
• des tests d’approbation avec intervention humaine ;
• Tests de charge
• des tests A/B ;
• des comparaisons « champion-challenger » ;
• des exercices de simulation d’attaques (red teaming) pour les cas d’utilisation à haut risque.

Une fois qu’un agent a passé les vérifications requises, il peut être déployé dans un environnement contrôlé. Cela implique de mettre l’agent à la disposition des utilisateurs ou des systèmes, de provisionner son environnement d’exécution et d’activer les identités, les autorisations et les intégrations dont il a besoin pour fonctionner.

Les pratiques courantes comprennent la mise en production via un pipeline CI/CD, la séparation des environnements de développement, de test et de production, le verrouillage des versions pour les modèles et les prompts, le déploiement par phases, les indicateurs de fonctionnalité, les plans de retour en arrière, la gestion des secrets et le contrôle d’accès à l’exécution. Certains agents peuvent également nécessiter un environnement de test (bac à sable ou sandbox), notamment s’ils exécutent du code, traitent des données sensibles ou utilisent des outils externes.

La configuration est particulièrement importante, car les agents peuvent agir via des API ou des applications d’entreprise. Les identifiants, les comptes de service et les autorisations doivent être limités au rôle approuvé de l’agent. Les actions sensibles peuvent nécessiter des validations, des limites de débit ou des mécanismes d’arrêt d’urgence.

Après le déploiement, le cycle ALM se poursuit par l’observabilité, l’évaluation et l’amélioration. Les équipes surveillent à la fois l’état technique et la qualité comportementale, notamment :

• les entrées, les sorties et les traces de conversation ;
• les appels et les réponses des outils ;
• la latence et le débit ;
• les taux d’erreur et les types de défaillance ;
• l’utilisation et le coût des tokens ;
• les taux de réussite des tâches ;
• les retours d’expérience des utilisateurs ;
• les violations de politique ;
• les indicateurs d’hallucination ou de bien fondé ;
• les taux d’escalade et d’approbation ;
• les événements de sécurité et les schémas d’accès anormaux.

Si la surveillance révèle une baisse des performances, un comportement inattendu ou une évolution des besoins métier, les équipes peuvent affiner les prompts, mettre à jour les modèles, ajuster les sources de récupération, modifier les autorisations ou adapter les workflows. Ces modifications doivent respecter les mêmes contrôles de cycle de vie que la version initiale : tests, évaluation, validation et documentation.

À terme, il pourra s’avérer nécessaire de mettre les agents hors service. La mise hors service doit inclure la désactivation des points de terminaison, la révocation des identifiants, la suppression des comptes de service, la conservation des journaux requis, l’archivage des preuves, la notification des utilisateurs et la mise à jour des catalogues.

La gestion du cycle de vie des agents repose sur un ensemble de capacités couvrant le développement, la sécurité, la surveillance et la gouvernance. Ensemble, ces outils permettent de créer des agents, de contrôler ce à quoi ils ont accès, de comprendre leur comportement et de les gérer au fil du temps.

Les outils de développement permettent aux équipes de concevoir la manière dont les agents raisonnent, planifient et exécutent leurs tâches. Ils peuvent prendre en charge les prompts, la mémoire, l’appel d’outils, l’orchestration des workflows et les étapes nécessitant une validation humaine. Dans les environnements d’entreprise, ces outils s’intègrent souvent aux processus de livraison logicielle afin que les modifications apportées aux agents puissent être examinées, testées et mises en production via un pipeline CI/CD contrôlé.

Les agents ne reposent pas uniquement sur le code. Leur comportement peut évoluer lorsqu’un prompt, une version de modèle, un schéma d’outil, une source de données ou une configuration change. La gestion des versions permet d’assurer le suivi des prompts, des modèles, des outils, des sources de connaissances, des jeux de données d’évaluation et de l’historique des versions.

Les agents se connectent souvent à des systèmes de gestion des tickets, des plateformes CRM, des bases de données, des référentiels de documents et des outils de workflow. Ces intégrations doivent disposer de schémas, d’autorisations et de pistes d’audit clairs. Des normes telles que Model Context Protocol (MCP) peuvent contribuer à rendre l’accès aux outils plus cohérent en définissant la manière dont les agents découvrent et appellent les outils, les ressources et les prompts. Des passerelles peuvent centraliser l’authentification, l’autorisation, le routage, les limites de débit, les validations, la journalisation et l’arrêt d’urgence.

Dans la mesure où les agents peuvent intervenir au sein des systèmes d’entreprise, ils doivent disposer d’identités et d’autorisations gérées. Parmi les principales capacités figurent le contrôle d’accès basé sur les rôles, le principe du moindre privilège, l’accès juste-à-temps, la gestion des secrets, la gouvernance des comptes de service, les workflows d’approbation et les examens périodiques des droits d’accès. L’objectif est de garantir que chaque agent puisse accéder uniquement à ce dont il a besoin pour remplir la mission qui lui a été confiée.

Les outils d’évaluation permettent de vérifier si les agents se comportent comme prévu avant et après leur déploiement. Il peut s’agir notamment de tests de régression, de tests A/B, de tests d’injection de prompts, de vérifications des hallucinations et du bien-fondé, de contrôles de conformité aux politiques, d’examens humains et d’exercices de simulation d’attaques. Les tests doivent évaluer à la fois les résultats finaux et les étapes intermédiaires, telles que les appels d’outils et les décisions de routage.

Les outils d’observabilité capturent les entrées, les sorties, les traces, les appels d’outils, la latence, les erreurs, l’utilisation des tokens, les coûts, les violations de politiques, les escalades et les événements de sécurité. Ces données soutiennent le dépannage, les pistes d’audit et la réponse aux incidents. Des contrôles opérationnels tels que les alertes, les dossiers d’exploitation, les procédures de restauration, les coupe-circuits et les mécanismes d’arrêt d’urgence permettent aux équipes de contenir les problèmes et de rétablir le service.

Les outils de gouvernance de l’IA conservent une liste à jour des agents approuvés, de leurs propriétaires, des niveaux de risque, des versions des modèles, des prompts, des outils, des autorisations, des évaluations, des validations et de l’état de mise hors service. Le catalogage revêt une importance particulière à mesure que les entreprises passent de petits projets pilotes à de vastes parcs d’agents.

La gestion du cycle de vie des agents permet aux entreprises de gérer les agents d’IA avec davantage de cohérence, de visibilité et de contrôle. Parmi les principaux avantages, on peut citer :

• Visibilité améliorée : un inventaire des agents indique les agents existants, leurs propriétaires, leurs fonctions, les systèmes auxquels ils accèdent et les versions actives.
• Sécurité renforcée : le contrôle d’accès, le contrôle d’accès basé sur les rôles, le principe du moindre privilège et l’accès juste-à-temps contribuent à réduire les risques liés aux comptes de service dotés d’autorisations excessives et aux identités non humaines non gérées.
• Meilleure traçabilité : les pistes d’audit et la traçabilité permettent aux équipes de comprendre ce qu’un agent a fait, quels outils il a utilisés et ce qui a changé d’une version à l’autre.
• Déploiements plus fiables : les tests de régression, les étapes d’évaluation et les contrôles du pipeline CI/CD réduisent le risque que des modifications apportées aux prompts, aux modèles, aux données ou aux outils entraînent des comportements inattendus.
• Réponse plus rapide aux incidents : la surveillance, les plans de retour en arrière, les mécanismes d’arrêt d’urgence et les dossiers d’exploitation permettent aux équipes de réagir lorsque les agents tombent en panne, dévient de leur comportement normal ou se comportent de manière inattendue.
• Alignement plus clair sur les objectifs métier : les indicateurs d’évaluation permettent de relier les performances des agents à des résultats tels que le taux de résolution, le taux de confinement, le temps de traitement, la satisfaction client et le coût par résultat.

La gestion du cycle de vie des agents n’élimine pas les risques liés aux agents d’IA. Elle fournit une structure permettant de les gérer. Ces défis sont les suivants :

• Comportement variable : les LLM peuvent produire des résultats différents pour des entrées similaires, ce qui complique les tests et l’analyse des causes racines.
• Hallucinations : les agents peuvent générer des réponses non fondées ou utiliser un contexte erroné. Les vérifications du bien-fondé et l’examen humain peuvent réduire ce risque, mais ne le suppriment pas entièrement.
• Surface d’attaque élargie : les agents disposant d’un accès aux outils peuvent affecter des systèmes réels, créant ainsi des risques tels que l’injection de prompts, l’utilisation abusive des API, l’empoisonnement de la mémoire, l’escalade de privilèges et les actions non autorisées.
• Latence et coût : les agents peuvent recourir à de multiples appels de modèles, étapes de récupération et invocations d’outils, ce qui augmente le temps de réponse et les coûts d’exploitation.
• Charge administrative liée à la gouvernance : les catalogues, les validations, les évaluations, les pistes d’audit et l’historique des versions nécessitent une coordination continue entre les équipes.
• IA fantôme : les employés peuvent créer ou utiliser des agents non approuvés en dehors des processus formels, ce qui rend leur détection et leur contrôle plus difficiles.

Les agents d’IA sont déployés dans les domaines du service client, du support informatique, des ressources humaines, de la finance, du juridique, de la conformité, du développement logiciel, des opérations et de la gestion des connaissances. La gestion du cycle de vie des agents revêt une importance particulière lorsque ces agents vont au-delà de simples questions-réponses et utilisent des outils, accèdent à des données gouvernées ou effectuent des actions au sein des workflows métier.

Une manière utile d’évaluer ces cas d’utilisation consiste à se demander : à quoi l’agent pourrait-il accéder, que pourrait-il modifier ou déclencher ? Plus un agent interagit avec des données sensibles, des processus réglementés ou des systèmes de production, plus les contrôles de cycle de vie deviennent importants.

Pour les cas d’utilisation à faible risque, une surveillance de base et la gestion des versions peuvent suffire. Pour ceux à risque plus élevé, les entreprises ont souvent besoin d’indicateurs clés de performance (KPI) définis, d’un contrôle d’accès basé sur les rôles, de procédures d’approbation humaine, de seuils d’évaluation, de pistes d’audit, d’observabilité, de plans de réponse aux incidents et de processus de mise hors service.

À quoi cela ressemble-t-il concrètement ? Imaginez qu’une entreprise déploie un agent d’IA pour aider les chargés de clientèle à préparer leurs réunions avec les clients. Au cours du développement, l’équipe chargé de l’IA définit les sources de données autorisées de l’agent, ses autorisations d’accès, ses règles d’escalade et ses indicateurs de réussite, tels que le gain de temps, la précision des réponses et la satisfaction des utilisateurs. Avant son lancement, l’agent est testé à l’aide de scénarios client types et fait l’objet d’une analyse des risques de conformité. Il est connecté à des outils de surveillance qui assurent le suivi des résultats, de la latence, des modèles d’utilisation et des exceptions.

Une fois l’agent déployé, l’entreprise le considère comme un actif numérique géré plutôt que comme un projet ponctuel. Un chef de produit examine les tableaux de bord de performance, les équipes chargées de la conformité contrôlent les interactions à haut risque et les data scientists réentraînent ou ajustent l’agent lorsque les politiques, les produits ou les besoins des clients évoluent. Si des utilisateurs signalent des recommandations prêtant à confusion, l’équipe met à jour les prompts, les sources de recherche et les garde-fous. Au fil du temps, l’entreprise ajoute de nouvelles capacités, supprime les workflows inutilisés et documente chaque version. Cette approche axée sur le cycle de vie lui permet de faire évoluer l’IA agentique tout en garantissant la responsabilité, la sécurité, les performances et l’alignement sur les objectifs métier.

Cet exemple hypothétique illustre le processus complet de gestion du cycle de vie d’un agent. Voici quelques exemples concrets issus du monde de l’entreprise :

L’agent RH interne d’IBM, AskHR, illustre comment la gestion du cycle de vie des agents peut soutenir une automatisation à l’échelle de l’entreprise tout en prévoyant des voies de recours à l’intervention humaine. Optimisé par IBM watsonx Orchestrate, AskHR prend en charge plus de 80 tâches RH et traite plus de 2,1 millions de conversations avec les employés chaque année. Il se connecte à des systèmes tels que Workday, SAP et Concur afin que les employés puissent poser des questions sur leurs bulletins de paie ou leurs demandes de congés, tandis que les responsables peuvent lancer des workflows tels que des mutations ou des mises à jour organisationnelles.

Du point de vue de l’ALM, ces capacités nécessitent des limites d’autorisation, des contrôles d’intégration, une auditabilité et une logique de routage. AskHR a atteint un taux de confinement de 94 % pour les questions courantes, a contribué à une réduction de 75 % du nombre de tickets d’assistance ouverts depuis 2016 et a permis de réduire de 40 % les coûts opérationnels des RH sur quatre ans.

Dans le secteur de la santé, l’ALM facilite la gestion des agents susceptibles d’interagir avec des données de santé protégées et des workflows réglementés. Un important organisme de remboursement de soins de santé américain a mis en œuvre des capacités de chatbot et d’assistance vocale pour les services aux adhérents dans un environnement conforme à la norme HIPAA. Les données historiques des centres d’appel étant soumises à des restrictions, l’équipe a créé ou synthétisé des données de référence afin d’évaluer le comportement des agents en toute sécurité.

Le processus de cycle de vie comprenait des KPI relatifs à la résolution, au confinement, à la latence et à la sécurité ; des prompts et des intégrations versionnées ; un accès aux outils selon le principe du moindre privilège ; une évaluation structurée ; des contrôles de conformité ; des tests de sécurité ; des exercices de simulation d’attaques ; et une observabilité unifiée. La surveillance portait à la fois sur les indicateurs techniques, tels que la latence et les erreurs, et sur les indicateurs métier, tels que le confinement, la résolution et la satisfaction.

L’IBM Business Partner Dynamiq a mis au point un agent juridique alimenté par l’IA à l’aide d’IBM watsonx.data, des modèles de fondation IBM Granite et d’IBM watsonx Orchestrate afin d’aider les équipes juridiques à rechercher, comparer et analyser des contrats, des rapports de conformité et des documents réglementaires. L’agent prenait en charge la recherche sémantique de contrats, l’analyse comparative et l’évaluation de la conformité au niveau des clauses. Il aidait les équipes à identifier les formulations pertinentes, à signaler les problèmes réglementaires, à détecter les écarts par rapport aux politiques et à acheminer les documents pour approbation.

Du point de vue de l’ALM, ce cas d’utilisation nécessitait une ingestion de données gouvernée, des contrôles de récupération, l’intégration aux systèmes métier, des procédures d’escalade pour l’examen juridique et l’alignement entre les modèles et les tâches. Dynamiq a également utilisé des modèles Granite plus légers pour les tâches de conformité courantes afin de trouver un équilibre entre performances, latence et coût.