Gouvernance des agents IA : 80 % des grandes entreprises ont déjà vu un incident remonter au conseil ou à la direction, selon IBM

Ce que dit la source

L'étude « The New Realities of AI Governance », publiée le 14 octobre 2026 à Londres, repose sur une enquête menée par Censuswide pour IBM auprès de 3 221 dirigeants, membres de comités exécutifs inclus, d'organisations de 1 000 salariés et plus dans huit pays : France, Allemagne, Italie, Espagne, Pays-Bas, Royaume-Uni, Arabie saoudite et Émirats arabes unis. Les données ont été collectées du 14 au 24 septembre 2026. Constat central : 80 % des répondants déclarent qu'un incident lié à l'IA (défaillance d'un agent, exposition de données, décision erronée, faille de sécurité) a atteint leur conseil d'administration ou leur comité exécutif dans l'année. Un changement de politique de gouvernance n'est cité comme résultat principal que par 40 % des organisations concernées.

Le déploiement avance plus vite que les règles. 35 % des organisations exploitent des agents IA en production et 75 % des répondants s'attendent à ce que des agents agissent sans approbation humaine de chaque action d'ici 2027. Pourtant, 37 % seulement estiment que leur gouvernance est conçue pour cette échelle. Quand le déploiement devance la gouvernance, 56 % poursuivent dans des limites de risque convenues pendant que les règles s'adaptent ; 33 % attendent.

La responsabilité reste floue. 98 % des organisations ont formellement confié le risque IA au conseil d'administration, et 26 % disposent d'un comité du conseil dédié. Mais à la question de savoir qui répond d'un résultat dommageable causé par un agent, aucun rôle ne dépasse 17 % des réponses, le DSI ou le directeur technique arrivant en tête. Sur la responsabilité juridique, 20 % souhaitent un partage proportionnel entre l'entreprise utilisatrice et le fournisseur, 19 % estiment que le cadre réglementaire nécessaire n'existe pas encore et 14 % la font porter au fournisseur. Les capacités jugées nécessaires : des cadres contractuels de responsabilité des fournisseurs (33 %), des seuils d'escalade vers un humain (32 %), une supervision en temps réel avec traces d'audit (30 %) et la possibilité d'arrêter immédiatement tous les agents de l'entreprise (29 %).

La gouvernance s'arrête souvent aux frontières de l'entreprise : 54 % reconnaissent des lacunes dans la couverture de l'IA utilisée par leurs fournisseurs et partenaires ; 21 % surveillent ce risque en continu et 13 % exigent une certification indépendante. Dans l'Union européenne, 41 % des répondants accélèrent leurs investissements en gouvernance avant l'entrée en application des obligations de l'AI Act pour les systèmes à haut risque, fixée au 2 décembre 2027 depuis le règlement Omnibus. Enfin, 87 % déclarent disposer d'un cadre formel de mesure du retour sur investissement de l'IA, mais 40 % seulement l'appliquent à toute l'entreprise ; parmi ceux qui en ont un, 68 % y intègrent le coût de la gouvernance.

Notre analyse

Le chiffre à retenir n'est pas 80 % mais l'écart entre la quasi-généralisation de la responsabilité au niveau du conseil (98 %) et la faible proportion d'organisations chez qui l'incident débouche sur un changement de règle (40 %). La gouvernance de l'IA s'est installée dans les organigrammes avant d'exister dans les opérations. La question posée par les agents n'est plus de savoir qui signe, mais quels contrôles fonctionnent pendant qu'un système agit. Les cinq priorités du rapport vont dans ce sens : connaître chaque agent en service, y compris chez les fournisseurs ; donner à chacun une identité, un propriétaire et le strict périmètre d'autorité nécessaire ; couvrir les processus de bout en bout ; fixer les contrôles au niveau de chaque agent ; quantifier le risque pour le conseil.

Les limites de la source méritent la même attention. Il s'agit d'une enquête déclarative, qui mesure la perception des dirigeants plutôt que leurs pratiques. L'échantillon ne comprend que des organisations de 1 000 salariés et plus : les PME et les ETI de moins de 1 000 salariés n'en font pas partie. Le rapport ne publie pas de résultats détaillés pour la France, et son périmètre mêle l'Union européenne, le Royaume-Uni et deux États du Golfe. Enfin, IBM commercialise des logiciels de gouvernance de l'IA et illustre le rapport par les cas de ses propres clients : le document défend une thèse autant qu'il la mesure.

Ces réserves ne retirent rien à la convergence des signaux. Calendrier européen, agents qui enchaînent des actions sur plusieurs applications, responsabilité sans consensus : le programme de 2027 est le même partout, passer d'une gouvernance qui approuve des projets à une gouvernance qui supervise des systèmes en fonctionnement.

Ce que cela change pour une entreprise française

Une PME ou une ETI française de moins de 1 000 salariés n'est pas dans l'échantillon, mais elle est doublement concernée. D'abord parce qu'elle déploie les mêmes outils avec moins de moyens. Quatre mesures tiennent dans un trimestre : inventorier les agents en service, y compris ceux activés dans les logiciels en ligne souscrits par les équipes ; désigner un responsable métier par agent, avec la liste écrite de ce qu'il peut faire et des cas où il rend la main à une personne ; conserver un journal de ses actions et prévoir un bouton d'arrêt ; intégrer le coût de ces contrôles dans le calcul de rentabilité. Pour les usages de l'annexe III de l'AI Act (recrutement, gestion des salariés, accès au crédit), c'est le socle de la documentation attendue fin 2027.

Ensuite parce que la PME est souvent le fournisseur ou le sous-traitant d'un grand compte. Plus de la moitié des grandes entreprises interrogées admettent mal couvrir l'IA de leurs partenaires et comptent d'abord sur des clauses contractuelles et des droits d'audit : il faut s'attendre, dans les appels d'offres et les renouvellements de contrat, à des questions précises sur les agents utilisés, le lieu de traitement des données et la possibilité de suspendre un traitement. Y répondre par écrit, registre à l'appui, devient un argument commercial avant d'être une obligation.