Prolifération des agents IA : qu’est-ce que c’est et comment la contrôler

On parle de prolifération lorsque des agents IA, des systèmes autonomes qui prennent des décisions et agissent avec une intervention humaine minimale, sont déployés sans stratégie unifiée ni pratiques de gouvernance solides. La prolifération des agents IA crée un écosystème d’agents redondants et fragmentés dans les équipes et les fonctions. Tout comme la prolifération de l’IA ou des applications avant elle, la prolifération des agents IA se produit lorsque la rapidité l’emporte sur la visibilité : des équipes individuelles déploient des agents pour automatiser des tâches ou gérer des workflows sans programme cohérent à l’échelle de l’entreprise.

Selon Gartner, d’ici 2028, une entreprise moyenne du Fortune 500 utilisera plus de 150 000 agents IA. Mais, selon le cabinet, seules 13 % des entreprises estiment avoir mis en place une gouvernance adéquate des agents IA. Ces données mettent en évidence une réalité simple mais pressante. Les agents, notamment dans les environnements low-code ou no-code, sont faciles à créer, mais beaucoup plus difficiles à déployer, à exploiter et à surveiller de manière responsable.

Des écosystèmes d’outils d’IA dispersés et impossibles à gérer peuvent également augmenter les coûts de manière significative. Selon une étude de la Chambre de commerce des États-Unis, 58 % des petites entreprises ont adopté l’IA générative et certains consultants indiquent que des petites entreprises aux budgets serrés dépensent des milliers de dollars par mois pour une poignée d’outils de rédaction IA redondants. Sans parler du coût caché des employés qui, au lieu de voir leur productivité augmenter grâce à l’utilisation de l’IA, constatent l’inverse : le fait de passer d’une application et d’une plateforme à l’autre tout au long de la journée ralentit considérablement le travail.

Lorsque des équipes individuelles telles que le marketing, la finance ou le support client créent des agents, ces agents peuvent ne pas être visibles pour les autres parties de l’organisation. Cela crée une multitude d’agents aux capacités déconnectées plutôt qu’un système cohérent. Selon une étude de l’Institute for Business Value d’IBM, seulement 18 % des organisations maintiennent un inventaire actuel et complet de leurs agents IA, ce qui freine les efforts d’intégration. Des problèmes similaires peuvent être résolus de manière redondante, avec un transfert de connaissances minimal entre les systèmes.

Ce phénomène crée des systèmes qui fonctionnent indépendamment, sans contexte ni mécanisme partagé pour résoudre les problèmes lorsque les productions se chevauchent. Sans orchestration centralisée, les agents risquent de faire double emploi ou de créer des boucles de rétroaction involontaires. Ces duplications et ces boucles aggravent rapidement les erreurs dans les systèmes interconnectés. 

Compte tenu du rythme d’adoption de l’IA agentique, de nombreuses entreprises ne disposent pas de politiques et de processus holistiques pour gérer de manière responsable les grands réseaux d’agents. Cela signifie qu’il pourrait y avoir :

• une absence de processus d’approbation standard avant le déploiement de l’agent ;

• aucune responsabilité clairement définie en cas d’erreur ;

• une absence de processus de cycle de vie pour le retrait des agents lorsqu’ils ne sont plus nécessaires.

Sans pratiques de gouvernance à l’échelle de l’entreprise, les risques augmentent de manière exponentielle. 

Les agents IA dépourvus de contrôles stricts de sécurité et de conformité pourraient accéder à des données sensibles sans autorisation appropriée ou contourner les pistes d’audit. Lorsque les agents agissent de manière autonome à grande échelle, une simple erreur de configuration peut devenir une responsabilité à l’échelle de l’organisation.

De tels risques sont particulièrement préoccupants dans des secteurs comme la finance ou la santé, où ils pourraient exposer accidentellement des informations protégées. Les cadres réglementaires tels que la HIPAA ou le RGPD peuvent devenir impossibles à satisfaire lorsqu’aucune source unique de vérité n’existe pour déterminer à quoi les agents accèdent ou comment ils prennent leurs décisions. 

Lorsque différentes équipes construisent des agents similaires, voire identiques, chaque équipe supporte ses propres coûts d’infrastructure. Au fil du temps, le prix des tokens de calcul et d’API, ainsi que les coûts de licence des tiers, s’accumulent. Et les systèmes d’IA qui ne sont pas correctement mis hors service peuvent continuer à consommer des ressources après leur retrait, ce qui épuise les budgets et mobilise de précieuses ressources. 

Lorsque les réseaux d’agents sont fragmentés et cloisonnés, il devient plus difficile de les faire évoluer efficacement. Les écosystèmes d’agents dispersés peuvent être difficiles à entretenir et à améliorer. Les agents construits de manière isolée peuvent dupliquer les efforts, mais surtout, ils ne disposent pas d’outils partagés. Cet outil partagé a le potentiel de transformer les pratiques des différents services et de permettre aux agents d’être surveillés et enregistrés plus facilement.

La prolifération des agents entraîne également un ralentissement considérable des réponses aux incidents si un agent commet une erreur et qu’une équipe responsable n’est pas rapidement identifiée. En outre, la réponse à des incidents résultant de la compromission d’agents ou de l’utilisation non autorisée de données peut entraîner de graves risques lorsque des agents complexes, interdépendants et inexplicables sont impliqués.

Selon le rapport Connectivity Benchmark 2026 de Salesforce, une organisation moyenne utilise 12 agents IA ou plus, mais 50 % de ces agents fonctionnent en silos plutôt que dans le cadre d’un système coordonné. Sans coordination intentionnelle, les mêmes pipelines de données peuvent être créés plusieurs fois, et chaque système d’agents propose sa propre version de la vérité. Cela peut créer des résultats contradictoires.

La fragmentation des données complique le suivi de la traçabilité, ce qui rend difficile l’audit de l’agent ayant pris une décision donnée. Elle empêche également les entreprises de réaliser la véritable valeur d’écosystèmes autonomes interservices partageant les données appropriées de manière transparente.

La prolifération des agents IA et l’IA fantôme sont des termes liés, mais distincts. L’IA fantôme décrit l’utilisation d’outils non autorisés par les employés. Par exemple, un responsable marketing utilisant un compte LLM personnel tel que ChatGPT pour traiter des documents de travail. La prolifération des agents IA, en revanche, décrit un phénomène structurel. Même les agents approuvés par le service informatique peuvent contribuer à la prolifération s’ils sont déployés sans coordination.

Mais la prolifération des agents IA peut parfois entraîner involontairement une augmentation de l’IA fantôme, comme l’a constaté Gartner. « Alors que les DSI et les responsables informatiques voient une explosion d’agents IA dans toute leur organisation, » a écrit Max Goss, analyste directeur principal chez Gartner, « beaucoup sont confrontés à une prolifération incontrôlée d’agents qui expose leur organisation à une série de risques, notamment le partage excessif et la perte de données. » De nombreuses entreprises, a-t-il ajouté, ont tendance à bloquer ou à restreindre l’utilisation des agents. Malheureusement, cette tactique incite les employés à utiliser plutôt l’IA fantôme, créant des risques de sécurité et de conformité bien plus graves.

La prolifération des agents IA reflète le dernier chapitre d’une technologie d’entreprise qui dépasse la capacité des organisations à la gouverner. C’est un schéma qui se répète de plus en plus vite. Par exemple, la prolifération du SaaS et le shadow IT résultent du fait que les technologies cloud ont considérablement facilité l’adoption de nouveaux logiciels, souvent à l’insu des services informatiques centralisés.

Le potentiel de l’IA agentique à transformer les workflows et à créer de puissants partenariats entre l’humain et l’IA a entraîné une adoption à grande échelle. Selon une recherche interne d’IBM, la majorité des entreprises utilisent déjà des agents IA d’une manière ou d’une autre.

Mais compte tenu de la prolifération d’outils d’IA capables de créer rapidement des agents, la création d’outils agentiques ne nécessite plus nécessairement un ingénieur logiciel ni un long processus de fine-tuning. Des outils comme Copilot Studio de Microsoft et AgentForce de Salesforce prennent en charge des options de développement d’agents low-code et no-code, des solutions puissantes qui favorisent néanmoins un déploiement rapide entre les départements. En d’autres termes, la même étude interne d’IBM a révélé qu’un grand nombre d’entreprises indiquent que la prolifération de l’IA augmente déjà les risques de sécurité et entraîne une complexité inutile.

Les implications sont importantes : presque tous les départements d’une grande entreprise ont la capacité de déployer des agents IA autonomes, mais les mécanismes permettant de contrôler et de gouverner ces vastes réseaux font défaut. Pourtant, la démocratisation de l’IA et du développement de plateformes agentiques, ainsi que les gains commerciaux réels promis par ces technologies, les rendent difficiles à abandonner. La gouvernance responsable des agents IA exige une approche centralisée et intentionnelle qui surveille et optimise le comportement des agents à grande échelle.

L’absence de modèle évolutif pour contrôler l’utilisation de l’IA au sein d’une entreprise empêche également la coordination à l’échelle de l’entreprise. « Il n’y a pas un seul client qui ne compte pas au moins 60 initiatives IA aléatoires dans toute l’organisation avec du shadow IT et de l’IA fantôme, » a déclaré Matt Kosinski dans un récent épisode du podcast Mixture of Experts d’IBM. « Et chaque département et dirigeant se dit : “En réalité, c’est moi qui pilote cela depuis les achats, les RH ou cette unité opérationnelle.” » 

Il est difficile de gérer ce qui est impossible à voir. Les tentatives réussies pour maîtriser la prolifération des agents commencent par un inventaire complet : cela peut inclure une analyse automatisée des environnements cloud et des API afin d’identifier tous les agents actifs. Des mécanismes permettant de découvrir les agents autonomes informels opérant en dehors de la voie officielle devraient également être inclus. Il peut être utile de mettre en place un processus de découverte continue plutôt qu’un audit ponctuel, car de nouveaux agents pénètrent continuellement dans l’écosystème. Pendant cette période, un programme efficace de contrôle de la prolifération inclura la mise en place d’un inventaire centralisé à l’échelle de l’entreprise afin de suivre les propriétaires des agents, leur objectif et leurs autorisations d’accès aux données. 

Une fois que les agents sont une entité connue dans l’entreprise, celle-ci doit définir des règles claires concernant les personnes qui peuvent créer, déployer et partager des agents, ainsi qu’établir des règles de conformité pour les outils d’IA. L’utilisation des données, les limites de débit et les outils de connexion doivent être soigneusement surveillés, et les inventaires d’agents peuvent être utilisés pour mettre en place des contrôles adaptatifs appliquant les bonnes politiques en fonction du niveau de risque associé à un agent. 

La standardisation permet de réduire la prolifération future. Cela limite le nombre de plateformes utilisées pour créer des agents afin de réduire la complexité architecturale, et établit une visibilité continue sur l’utilisation des agents afin de garantir la conformité aux politiques standardisées. Les tableaux de bord en temps réel peuvent aider à détecter les comportements anormaux et à corriger les agents qui se comportent mal ou qui dépassent le cadre prévu. Lorsqu’il est plus facile de créer un nouvel agent via le processus standard d’une entreprise qu’en dehors de celui-ci, la gouvernance peut devenir auto-renforçatrice. 

Une réponse efficace à la prolifération des agents combine des outils spécifiques et un processus organisationnel intentionnel. De plus en plus, les solutions les plus puissantes s’intègrent de manière fluide : par exemple, un outil de codage qui fonctionne en tandem avec une couche d’orchestration et un panneau de contrôle d’entreprise afin de créer, surveiller et optimiser en continu l’IA agentique tout au long du cycle de développement.

Les plans de contrôle d’entreprise sont des couches de gestion centralisées qui offrent aux organisations visibilité et contrôle sur les systèmes autonomes. Ces couches se situent au-dessus des agents IA, des LLM et d’autres outils d’IA, agissant comme une sorte de centre de contrôle. Les plans de contrôle permettent généralement aux entreprises d’observer, de configurer et de gérer des systèmes autonomes à partir d’une source unique. 

La lutte contre l’IA fantôme et la prolifération des agents nécessite des partenaires de codage puissants, standardisés et sécurisés. Les partenaires actuels de développement IA pour les entreprises, tels qu’IBM Bob, reposent sur des cadres structurés et s’intègrent à chaque étape du cycle de vie du développement logiciel, de la planification aux tests et aux opérations. En assurant une transparence et des contrôles de sécurité standardisés dès le premier jour, ces outils permettent aux organisations de se développer rapidement et de garder le contrôle tout en réduisant considérablement la prolifération.

Dans le cas de Bob, les outils de développement s’intègrent parfaitement à watsonx Orchestrate, un plan de contrôle centralisé. Travaillant ensemble, ces systèmes peuvent résoudre des problèmes en temps réel, proposer des solutions et créer de nouveaux agents pour y répondre. Ils créent également des workflows agentiques auto-documentés, garantissant que chaque action est auditable et traçable.

Les outils AI TRiSM, une catégorie formalisée par Gartner, assurent une surveillance continue du comportement de l’IA. En règle générale, ils détectent les anomalies, mettent en place des garde-fous et détectent les violations des politiques. Ces outils traitent les agents IA comme des entités observables et auditables, en appliquant des contrôles d’exécution qui ne nécessitent pas une reconstruction complète des agents. 

Les cadres de gouvernance établissent les règles d’une organisation concernant les personnes autorisées à déployer un agent et le processus d’approbation qu’elles doivent suivre. Ils peuvent également préciser quelles sources de données sont autorisées à utiliser et quelles normes de performance doivent être respectées avant la publication d’un agent. Les cadres de gouvernance les plus efficaces établissent clairement les responsabilités et les autorisations, définissent les voies d’escalade et s’intègrent de manière fluide aux processus existants de gestion des risques de l’entreprise au lieu de fonctionner comme un processus parallèle. 

Un registre d’agents agit comme une source d’information unique en répertoriant chaque agent d’IA déployé dans une entreprise. Les registres documentent l’objectif, le propriétaire, l’accès aux données, la version du modèle et l’état opérationnel des agents, entre autres variables.

Ces bases de données transforment un écosystème d’IA en un inventaire connu et gérable. Les inventaires modernes sont souvent dynamiques : les agents sont enregistrés lors du déploiement et mettent automatiquement à jour leur statut, au lieu de s’appuyer sur une documentation manuelle plus sujette aux erreurs.

Souvent, la prolifération résulte d’un échec de mise hors service : les agents sont déployés puis jamais retirés. Les outils de gestion du cycle de vie appliquent un système défini dès le début du développement, déclenchant des révisions à intervalles réguliers et identifiant automatiquement les agents devenus inactifs. 

Plutôt que de laisser les agents agir de manière isolée, les plateformes d’orchestration coordonnent les workflows multi-agents, définissent la manière dont les agents communiquent, partagent le contexte, confient les tâches et transmettent les informations aux humains. En rendant les relations entre agents explicites et observables, l’orchestration réduit la redondance et fournit un point d’intégration naturel pour la surveillance, l’optimisation, la journalisation et le contrôle d’accès.