On ne gouverne que ce que l'on relie
Pourquoi un registre d'agents ne suffit pas, et ce qu'apporte un référentiel panoramique
« Combien d'agents IA tournent aujourd'hui dans votre entreprise ? »
La question met beaucoup d’organisations mal à l'aise. Entre les assistants créés par les métiers, les agents développés par la DSI et ceux livrés par les prestataires, peu d'organisations savent y répondre avec précision. Elle reste pourtant la mauvaise question.
La bonne est plutôt celle-ci : « Si votre fournisseur retire demain la version du modèle qu'utilisent vos agents, quels processus métier sont touchés, quelles données sont concernées, et qui doit valider la bascule ? »
À cette question, un registre ne sait pas répondre. Un référentiel, oui.
L'illusion de la liste
La première réaction des organisations qui découvrent la prolifération de leurs agents est saine : faire l'inventaire. Un tableau, puis un outil, qui liste chaque agent avec son propriétaire, son niveau de risque, son statut. C'est indispensable. Nous l'avons souvent écrit : on ne gouverne que ce que l'on connaît.
Mais une liste ne voit qu'un agent à la fois. Or presque toutes les questions de gouvernance sérieuses sont relationnelles :
L'impact : si cet outil, ce modèle ou cette source de données change, quels agents sont touchés, et quels processus derrière eux ?
La classification : un agent est à haut risque au sens de l'AI Act en raison de l'usage qu'il sert, pas de la technologie qu'il emploie. Sans le lien entre l'agent et la capacité métier qu'il outille, la classification reste une opinion.
La responsabilité : qui possède l'agent, qui valide ses décisions sensibles, à quelle entité juridique il se rattache ?
La conformité : quels contrôles couvrent ce risque, et à quelles exigences, de l'AI Act ou d'ISO 42001, répondent-ils ?
La priorisation : sur quelles capacités métier l'organisation est-elle prête à déployer des agents, et lesquelles attendent encore leurs données ?
Aucune de ces réponses ne se trouve dans une ligne de tableau. Elles se trouvent dans les liens entre les lignes.
Du registre au graphe
Gouverner des agents revient donc à passer d'un inventaire à un graphe. Chaque agent y est relié à ce qui lui donne un sens et un risque :
en amont, la capacité métier qu'il sert et le processus dans lequel il intervient ;
autour de lui, les applications et les données qu'il consomme, le corpus de connaissances qui nourrit ses réponses, les outils qu'il a le droit d'appeler ;
en aval, les décisions qu'il prend, avec leur seuil de confiance, leur escalade et leur réversibilité ;
en surplomb, les risques qu'il porte, les contrôles qui les couvrent, les cadres réglementaires dont ces contrôles découlent, et les personnes qui en répondent.
Une fois ces liens posés, les questions difficiles deviennent des requêtes. Préparer un audit ne consiste plus à reconstituer des tableaux pendant trois semaines, mais à interroger le modèle. Mesurer l'impact d'un changement de modèle ne relève plus de l'enquête, mais du parcours de graphe.
Ce que cela exige : une vision panoramique
Ce graphe ne peut pas se limiter à la seule couche « IA ». C'est l'erreur la plus fréquente que nous observons : des outils de gouvernance de l'IA qui décrivent finement les agents, mais les isolent du reste du patrimoine de l'entreprise.
Notre méthode Meridian part d'un principe inverse : la première cause d'échec d'une transformation est l'angle mort systémique, c'est-à-dire agir sur un référentiel sans voir les autres. Nous lisons toujours l'entreprise à travers cinq référentiels indissociables : capacités métier, processus, systèmes, données et organisation.
Notre référentiel de gouvernance agentique applique ce principe aux agents. Il s'organise en cinq couches : métier, applications et données, agentique, infrastructure, et une couche transverse qui porte les risques, les projets, les cadres réglementaires et les contrôles de conformité. Il compte 22 types d'objets et 95 relations, dont neuf objets propres aux agents : l'agent lui-même, son corpus de connaissances, ses décisions, ses outils, ses garde-fous, ses workflows, son orchestrateur, ses benchmarks et ses points de validation humaine.
Le chiffre importe peu. Ce qui compte, c'est que l'agent n'y est jamais seul.
Un référentiel vivant, pas un document
Un graphe de gouvernance qui serait mis à jour une fois par an ne servirait à rien. Les agents se créent en quelques heures ; le référentiel doit suivre.
Il s'alimente donc en continu. Les outils des éditeurs savent de mieux en mieux découvrir les agents qui tournent sur leurs plateformes. Ces inventaires sont précieux, mais ils répondent à la question « qu'est-ce qui tourne ? ». Le référentiel répond à une autre : « pourquoi cet agent existe-t-il, que touche-t-il, et qui en répond ? ». Les deux se complètent : la découverte alimente le référentiel, et le référentiel donne un sens à la découverte.
Dernier principe : un tel référentiel doit être indépendant de l'outil. Nous l'avons construit dans un outil d'architecture d'entreprise, mais le métamodèle s'exporte vers n'importe quel autre. Gouverner l'IA ne doit pas créer un nouveau verrouillage.
Ce que cela change
Notre doctrine a longtemps tenu en une phrase : on ne gouverne que ce que l'on connaît. À l'ère des agents, elle doit être complétée. Connaître un agent, c'est savoir qu'il existe. Le gouverner, c'est savoir ce qu'il touche, ce qu'il décide et qui en répond.
On ne gouverne que ce que l'on relie.
Dans les prochains articles de cette série, nous détaillerons les neuf objets de la couche agentique, la place de la décision agentique comme objet de gouvernance, et la façon dont l'architecture d'entreprise peut devenir le socle de la gouvernance de l'IA.
