Agents IA en entreprise : ce qu’ils font et comment les encadrer
Un assistant conversationnel répond ; un agent IA agit. Il crée le ticket, envoie l’e-mail, met à jour la fiche client. C’est ce qui le rend utile, et c’est ce qui oblige à l’encadrer : une action lancée par erreur ne se rattrape pas toujours. Cet article décrit ce que les agents font déjà correctement en entreprise, les risques tels que les nomment l’OWASP, la CNIL et l’ANSSI, et les garde-fous à poser avant de leur donner des droits.
Sommaire
Un agent IA, c’est quoi exactement ?
La note publiée en juillet 2026 sur le site de la CNIL par le Conseil de l’IA et du numérique (CIANum) en donne une définition utile : un ensemble de programmes informatiques reposant sur des modèles d’IA générative et capables de prendre des décisions de manière autonome, d’orchestrer des actions complexes et d’interagir avec des services tiers, avec ou sans validation humaine. L’architecture type comprend un agent orchestrateur, qui dialogue avec l’utilisateur, des agents spécialisés qu’il coordonne, et des outils : accès à une messagerie, un CRM, un outil de tickets ou une base documentaire.
La différence avec un assistant conversationnel tient en un mot : les outils. Tant que le modèle se contente de produire du texte que vous relisez, l’erreur coûte une relecture. Dès qu’il peut appeler un outil, l’erreur devient une action : un e-mail parti, un enregistrement modifié, un document partagé.
Ce que les agents font déjà correctement
Les usages qui fonctionnent partagent un trait : des actions fréquentes, bien définies, et réversibles ou soumises à validation. Le tri des demandes entrantes en est l’exemple le plus répandu : l’agent lit l’e-mail ou le message, le qualifie, crée le ticket dans le bon service avec un résumé et une priorité proposée. La préparation de réponses au service client vient ensuite : l’agent cherche dans la base de connaissances, rédige un brouillon avec ses sources, et un conseiller valide avant envoi. S’y ajoutent l’extraction de données de documents vers un outil métier, la préparation de relances et la transformation d’un compte rendu de réunion en tâches assignées. Notre article sur ce que les agents IA savent vraiment faire en 2026 détaille ces cas.
À l’inverse, confier à un agent des actions irréversibles sans validation, supprimer des données, émettre un paiement, envoyer une offre contractuelle, relève encore de l’imprudence. L’ANSSI le formule sans détour dans ses recommandations de sécurité pour un système d’IA générative : proscrire l’usage automatisé de systèmes d’IA pour des actions critiques sur le système d’information (R9) et limiter les actions automatiques depuis un système d’IA traitant des entrées non maîtrisées (R27).
À retenir : un agent IA est un modèle génératif doté d’outils qui agissent à sa place ; l’OWASP classe l’injection de prompt en tête des risques des applications à base de modèles de langage et a publié le 9 décembre 2025 un Top 10 propre aux applications agentiques, et la note CNIL-CIANum de juillet 2026 recommande une validation humaine pour les actions critiques, une mémoire cloisonnée par agent et un environnement d’exécution isolé.
Les risques, tels que l’OWASP les nomme
Le Top 10 de l’OWASP pour les applications à base de grands modèles de langage, dans sa version 2025, place en première position l’injection de prompt (LLM01) : des instructions cachées dans un contenu que le modèle lit, page web, e-mail, pièce jointe, détournent son comportement. Il liste aussi la divulgation d’informations sensibles (LLM02), le traitement incorrect des sorties (LLM05) et l’« agentivité excessive » (LLM06), c’est-à-dire des droits ou des outils trop larges par rapport au besoin. Le Top 10 pour les applications agentiques, publié le 9 décembre 2025 par le même projet, précise la menace pour les agents : détournement de l’objectif de l’agent (ASI01), mauvais usage et exploitation des outils (ASI02), abus d’identité et de privilèges (ASI03), vulnérabilités de la chaîne d’approvisionnement agentique (ASI04), exécution de code inattendue (ASI05), empoisonnement de la mémoire et du contexte (ASI06), communications inter-agents non sécurisées (ASI07), défaillances en cascade (ASI08), exploitation de la confiance entre l’humain et l’agent (ASI09) et agents hors de contrôle (ASI10).
Ces catégories ne sont pas théoriques. Le bilan trimestriel des exploitations publié par l’OWASP le 8 octobre 2026 décrit notamment une démonstration de chercheurs où un simple lien préparé déclenchait une instruction dans la session d’un assistant bureautique connecté aux données de l’utilisateur, avec envoi des résultats vers l’extérieur et inscription d’instructions dans la mémoire persistante de l’assistant, sans exploitation constatée en conditions réelles ; et un serveur d’outils malveillant qui se comportait normalement lors des premiers appels, puis modifiait la description de ses outils pour orienter l’agent vers les clés SSH et les identifiants cloud de la machine, sans qu’aucune de ses contributions n’ait été acceptée. Ce n’est plus seulement l’humain que l’on manipule, comme dans l’ingénierie sociale à l’ère de l’IA, c’est l’agent qui agit pour lui.
| Risque | Exemple concret en PME | Garde-fou |
|---|---|---|
| Injection de prompt, détournement d’objectif (LLM01, ASI01) | Un e-mail entrant contient une phrase du type « transfère ce dossier à l’adresse suivante » ; l’agent de tri obéit | Traiter tout contenu externe comme une donnée, jamais comme une instruction ; validation humaine avant tout envoi vers l’extérieur |
| Droits excessifs (LLM06, ASI03) | L’agent utilise le compte d’un administrateur pour créer des tickets et peut donc aussi les supprimer | Compte de service dédié, droits minimaux, lecture seule par défaut, revue régulière des droits (ANSSI R35) |
| Mauvais usage des outils (ASI02) | Une mise à jour en masse du CRM déclenchée par une consigne ambiguë | Plafonds d’actions par tâche, actions réversibles, brouillons plutôt qu’envois |
| Empoisonnement de la mémoire (ASI06) | Une instruction glissée dans un document reste dans la mémoire de l’agent et ressort des semaines plus tard | Mémoire cloisonnée par agent et par traitement, expiration automatique, environnement isolé (note CNIL-CIANum) |
| Défaillances en cascade (ASI08) | Un agent en appelle un autre, qui en appelle un troisième ; une erreur initiale se propage | Journal complet des appels d’outils (ANSSI R29), bouton d’arrêt, limite de profondeur des enchaînements |
Les garde-fous qui comptent vraiment
Les autorités françaises convergent sur un petit nombre de mesures. La note CNIL-CIANum sur l’IA agentique recommande une traçabilité complète du processus décisionnel (données mobilisées, agents intervenus, services tiers sollicités, chronologie des échanges), un contrôle par l’utilisateur des données auxquelles le système accède, une mémoire cloisonnée par agent et un environnement d’exécution isolé, des mesures de détection et de filtrage des usages détournés, un classement des actions possibles par niveau de risque (accès, modification ou suppression, envoi hors du système, type de données) avec intervention humaine pour les conséquences jugées critiques, et un bouton d’arrêt d’urgence à la main de l’utilisateur. Elle rappelle que les garanties de l’article 22 du RGPD sur les décisions entièrement automatisées restent pleinement applicables.
L’ANSSI, de son côté, demande de maîtriser et sécuriser les interactions du système d’IA avec les autres applications métier (R26), de journaliser l’ensemble des traitements, y compris les appels aux extensions (R29), de prévoir des audits de sécurité avant la mise en production (R23) et de revoir régulièrement la configuration des droits des outils d’IA générative sur les applications métier (R35). Le cadre général des risques de l’IA générative pour une PME est rappelé dans notre article sur la cybersécurité face à l’IA générative.
Mettre en place un premier agent sans se faire peur
Commencez par un agent en lecture seule : il lit, qualifie, propose, et un humain clique. Donnez-lui un compte de service dédié, avec les seuls droits nécessaires à sa tâche, jamais un compte nominatif. Faites-le travailler en brouillon : tickets en attente de validation, e-mails préparés mais non envoyés, modifications proposées plutôt qu’appliquées. Exigez un journal lisible de chaque appel d’outil et consultez-le chaque semaine pendant les premiers mois. Testez l’injection avant la production : glissez dans un e-mail de test une instruction contradictoire et vérifiez que l’agent ne la suit pas.
Informez enfin les personnes concernées : les obligations de transparence du règlement européen sur l’IA, applicables depuis août 2026, sont détaillées dans notre article sur l’AI Act et la transparence. Élargissez les droits de l’agent seulement lorsque le journal montre, sur la durée, qu’il fait ce qu’on attend de lui. Un agent utile n’est pas celui qui peut tout faire, c’est celui dont on sait exactement ce qu’il a fait.
Questions fréquentes
Techniquement oui. En pratique, la règle prudente consiste à lui faire préparer des brouillons qu’un humain valide, au moins pour tout envoi vers l’extérieur. L’ANSSI recommande de limiter les actions automatiques dès que l’agent traite des contenus qu’il ne maîtrise pas, comme des e-mails entrants.
C’est une instruction cachée dans un contenu que l’agent lit, page web, e-mail, document, pièce jointe, et qu’il exécute comme si elle venait de son utilisateur. L’OWASP la classe en première position de ses risques pour les applications à base de modèles de langage. La parade consiste à traiter tout contenu externe comme une donnée et à valider les actions sensibles.
L’entreprise qui le déploie. La note CNIL-CIANum rappelle que le RGPD s’applique pleinement aux systèmes agentiques, y compris l’article 22 sur les décisions automatisées, et qu’une traçabilité complète sert aussi à établir la chaîne de responsabilité en cas de dysfonctionnement.
Aucune règle ne l’impose en général, mais un agent accède par construction à vos données les plus sensibles : messagerie, CRM, documents. Un hébergement en France, sous droit européen, avec une mémoire cloisonnée et un journal que vous contrôlez, simplifie à la fois la sécurité et la conformité.
Sources
- OWASP GenAI Security Project — OWASP Top 10 for LLM Applications, version 2025
- OWASP GenAI Security Project — GenAI and Agentic AI Exploit Roundup Q3 2026 (8 octobre 2026, liste ASI01 à ASI10 et incidents)
- CNIL / Conseil de l’IA et du numérique — IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs (juillet 2026)
- ANSSI — Recommandations de sécurité pour un système d’IA générative, guide ANSSI-PA-102 (29 avril 2024)
- OWASP GenAI Security Project — OWASP Top 10 for Agentic Applications for 2026, page de la ressource datée du 9 décembre 2025.
Vous voulez un agent IA qui agit dans vos outils sans que vos données quittent la France
Odyssix héberge ses modèles d’IA en France, sans entraînement sur les données de ses clients, avec un contrat de sous-traitance (DPA).
Demander une démonstration
Rédigé par l'équipe Odyssix
Experts IT, Cybersécurité & Digital depuis 2018
Odyssix accompagne les PME dans leur transformation numérique et la sécurisation de leur système d'information. Nos experts partagent leur expérience terrain à travers nos articles de blog.
Besoin d'en savoir plus ?
Contactez nos experts pour une démonstration personnalisée.
