Agents IA en entreprise : usages, limites et validation humaine

Agent ou assistant : ce qui change vraiment

Un assistant attend une demande, répond, puis s’arrête. Un agent reçoit un objectif et décide lui-même des étapes : il lit des documents, interroge vos applications, calcule, rédige, puis poursuit jusqu’à la fin de la tâche ou jusqu’au point où il doit s’en remettre à un humain.

La CNIL et le Conseil de l’IA et du numérique (CIANum) décrivent l’IA agentique comme des programmes capables de décider de manière autonome, d’orchestrer des actions complexes et d’interagir avec des services tiers, avec ou sans validation humaine. La frontière est graduelle : un assistant qui peut envoyer un e-mail ou modifier une fiche se comporte déjà comme un agent et doit être contrôlé comme tel.

Où un agent apporte de la valeur

Un agent rentabilise sa mise en place sur les tâches répétitives à fort volume : rapprochement de factures et de bons de commande, lettrage bancaire, synthèse de dossiers, préparation de rapports récurrents. Pour une tâche donnée, quatre conditions font la différence :

• Elle revient souvent, avec un volume suffisant pour que le temps gagné s’additionne.
• Les règles sont assez claires pour être écrites, exceptions connues comprises.
• Les données nécessaires sont accessibles, lisibles et à jour.
• Le résultat se vérifie : un expert peut dire en quelques minutes s’il est juste.

Les limites à connaître avant de commencer

Un agent n’est pas un collaborateur : il ne connaît ni votre contexte ni vos usages implicites, et il peut se tromper avec aplomb. La CNIL et le CIANum mettent en garde contre des « hallucinations en cascade » : une erreur à une étape se propage aux suivantes et aux actions engagées.

• Erreurs plausibles : un résultat bien rédigé peut être faux, et rien dans sa forme ne l’indique.
• Cas particuliers : l’exception que personne n’a écrite (un fournisseur qui facture autrement, une clause spéciale) échappe à l’agent.
• Actions difficiles à défaire : un e-mail envoyé, un paiement lancé, une fiche écrasée.
• Dérive : les données, les règles et les modèles changent ; un agent juste en mars peut se tromper en octobre.
• Coût d’exploitation : surveillance, maintenance, correction des consignes et temps de relecture.

Pourquoi un expert doit valider avant toute remise

La remise est le point de non-retour : le résultat quitte l’équipe qui l’a produit, pour un client, une direction ou un autre système. C’est là qu’une erreur coûte le plus cher, donc là qu’un humain compétent doit intervenir. Il ne s’agit pas d’un contrôle de forme : l’expert vérifie la méthode, replace le résultat dans son contexte métier, repère les anomalies, puis engage sa responsabilité par sa signature.

Les textes vont dans le même sens. Le règlement européen sur l’IA n’a pas de règles propres aux agents, mais exige, pour les systèmes à haut risque, un contrôle humain effectif (article 14) et cite le « biais d’automatisation » : la tendance à se fier trop vite à ce que produit la machine. Le RGPD (article 22) donne à toute personne le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé lorsqu’elle produit des effets juridiques ou l’affecte de manière significative. Tous les usages ne sont pas concernés : votre juriste ou votre DPO le confirmera.

Valider ne veut pas dire tout relire ligne à ligne : le volume traité est contrôlé par sondage, selon le risque, mais ce qui est remis est relu à chaque fois.

Mettre en œuvre la validation : relecture, signature, journal

Trois gestes, tenus à chaque remise. C’est le circuit de l’exemple d’entretien de SHIFTLABS (contenu fictif) : l’agent rédige une synthèse brouillon, un expert la relit puis la valide ou demande une précision, et rien n’alimente la suite avant cette validation. Ce que SHIFTLABS met en place pour protéger vos données, et ce qu’il ne prétend pas, est détaillé dans le centre de confiance.

Questions à poser avant de déployer

Huit questions à trancher par écrit avant la mise en service. Une réponse manquante signale un périmètre qui n’est pas prêt.

• Quelle tâche, quel volume, quel temps passé aujourd’hui : mesuré ou supposé ?
• Qui est propriétaire du résultat, et qui le signe ?
• À quelles données et à quels outils l’agent accède-t-il, avec quels droits, et votre DPO a-t-il qualifié l’usage ?
• Que fait-il seul, que doit-il soumettre, que lui est-il interdit ? Les suppressions, envois et paiements sont-ils bloqués avant validation ?
• Le relecteur connaît-il le métier, peut-il refuser, a-t-il le temps de relire ?
• Comment saura-t-on que l’agent se trompe : jeu d’essai, échantillon, part de résultats corrigés ?
• Que garde le journal, et qui le relit ?
• Quel est le coût complet (construction, exploitation, relecture) et quelle hypothèse porte le gain attendu ?

Questions fréquentes

Sources

• CNIL et CIANum, « IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs », note, juillet 2026
• Règlement (UE) 2024/1689 sur l’IA, article 14 « Contrôle humain » (AI Act Service Desk, Commission européenne)
• RGPD, article 22 « Décision individuelle automatisée, y compris le profilage » (texte publié par la CNIL)