Les questions relatives aux « shadow agents » ne sont pas techniques, mais organisationnelles

Que faire quand les « Shadow Agents » prennent la main ? Le phénomène est bien réel, mais peu d’entreprises en ont pleinement conscience. Et bien moins encore ont déployé une stratégie ad hoc, montre Veeam Sotfware.

Alors que la pression réglementaire s’intensifie et que la responsabilité des dirigeants d’entreprise s’accroît, le manque de gouvernance des données et de confiance suscite des conflits au sein des conseils d’administration et de l’anxiété chez les dirigeants quant à leur responsabilité personnelle.

Pour Veeam Software, les organisations doivent faire face à une IA non maîtrisée sur deux fronts. Sur le plan de la sécurité des données, d’abord, 70 % des organisations admettent que des flux de travail automatisés basés sur l’IA interagissent avec des données sensibles sans supervision totale. Ensuite, en matière de gouvernance, les services informatiques perdent le contrôle : 67 % des entreprises signalent que leurs employés créent des flux de travail d’IA autonomes que le service informatique ne peut pas suivre entièrement.

La gouvernance de l’IA n’est pas un sujet du back-office !

« Alors que les organisations se précipitent pour opérationnaliser l’IA, les résultats de notre étude mettent en évidence un défi majeur : garantir que les données alimentant les agents d’IA restent fiables, sécurisées et résilientes, observe Tim Pfaelzer, General Manager & Senior Vice President, Veeam Software. Sans une gouvernance, une visibilité et une protection adéquates, les entreprises risquent d’exposer des informations sensibles, d’accroître les risques de non-conformité et de compromettre les fondations de données fiables nécessaires pour déployer l’IA à grande échelle. »

La pression réglementaire croissante et les exigences de « responsabilité de l’entreprise » propulsent également la gouvernance de l’IA du domaine technique -pratiquement le back-office- vers les instances de direction.

Et là ça coince. 32 % des organisations indiquent que cette pression génère déjà des tensions ou des conflits entre les dirigeants… notamment depuis l’introduction de la responsabilité juridique personnelle des dirigeants en matière de cyber-résilience et de conformité réglementaire.

Dans l’attente de réponses nommées

On bute sur des questions de gouvernance pure. Un : qui est propriétaire de cet agent ? Pas le fournisseur, pas l’équipe IT générique, mais une personne. Deux : qui valide la mise en production de l’agent ? Quelle est la séquence de validation avant qu’un agent ait accès à des systèmes réels ? Qui participe à cette validation, et avec quels critères ? Trois, qui surveille son comportement en continu ? Un agent validé à un moment T n’est pas nécessairement sûr six mois plus tard. Les modèles changent, Les usages dérivent, les données évoluent. Qui regarde ce que l’agent fait, vraiment, et à quelle fréquence ? Quatre : qui décide quand un incident arrive ? Si l’agent prend une mauvaise décision, déclenche une action incorrecte, expose des données sensibles, qui prend la main, avec quel mandat ?

Ces questions ne sont pas techniques, mais organisationnelles. Et tant qu’elles restent sans réponse nommée, chaque agent déployé -officiel ou « shadow »- opère dans un vide de responsabilité.

 « Les dirigeants n’ont jamais eu autant de sujets à prendre en compte concernant la gouvernance des données et les réglementations sur la cyber-résilience, reconnait Tim Pfaelzer. Si la pression et les tensions accrues sont tout à fait compréhensibles, une meilleure concertation au niveau de la direction permettra à l’organisation d’être bien mieux armée pour garantir la fiabilité de sa gouvernance des données et de l’IA à l’ère des agents autonomes. »