AWS juge les règles de six mois trop lentes pour l’IA

AWS documente les tensions entre agents d’IA et gouvernance de sécurité dans Reimagine 2026. Le rapport repose sur des entretiens confidentiels de 45 à 60 minutes. AWS a interrogé 154 dirigeants issus de 128 organisations, dans 23 secteurs, pendant neuf mois. Les auteurs recommandent d’intégrer la gouvernance aux systèmes. Ils demandent aussi de maintenir la responsabilité humaine sur les résultats. Certaines organisations appliquent encore des processus conçus pour des programmes informatiques de six mois. Ces procédures encadrent pourtant des travaux réalisés en quelques jours. Lorsqu’une expérimentation de deux semaines attend un mois d’approbation, des équipes cessent parfois de demander l’autorisation. Lire le rapport de Help Net Security.

Les pratiques accusent un décalage avec l’usage observé. Une enquête Strand Partners, commandée par AWS, indique que plus de la moitié des PME et grandes entreprises européennes utilisent l’IA. Seules 24 % disposent d’une approche documentée pour un usage responsable. Seulement 10 % ont une stratégie de gouvernance des données. Chris Sedore, directeur des services et technologies de l’information à Boston University, estime que 40 à 50 % des personnes de l’université utilisent l’IA au moins chaque semaine. Il décrit une partie des usages comme intégrée aux modèles fournis par l’établissement, et une autre comme hors contrôle. Il compare cette situation à une informatique fantôme dix fois plus importante.

Les entreprises encadrent les données sensibles

Les données exposent plusieurs risques techniques identifiés par les auteurs. La sécurité, la confidentialité et les fuites figurent parmi les principaux points cités. Des données propriétaires, des informations personnelles de clients ou des renseignements commerciaux confidentiels peuvent passer par des systèmes d’IA. Ces transferts peuvent aussi emprunter des outils tiers utilisés sans supervision. Les courriels, discussions et comptes rendus de réunion forment la « couche humaine » analysée par certaines organisations. À Houston Methodist Main Campus, des salariés ont craint que la direction lise leurs messages. Roberta Schwartz a expliqué que le projet cherchait plutôt des tendances collectives. Les données salariales et personnelles étaient retirées avant traitement.

La confiance demande une explication précise des usages. À Houston Methodist Main Campus, les équipes ont eu besoin d’un an d’expérience avant de faire confiance au système. Elles devaient vérifier qu’il identifiait des tendances organisationnelles sans exposer les contenus individuels. Le principe retenu consistait à fournir le signal sans l’identité. Bradesco classe les projets avec un arbre de décision construit par Rafael Cavalcanti, directeur des données et de l’IA. Cet outil examine notamment les données personnelles, le traitement en direct ou par lots, et la nécessité de conserver un humain dans la boucle. Chaque combinaison associe un niveau de risque et des contrôles.

Les agents commencent sous probation

L’autonomie reste progressive pour les agents d’IA. Les auteurs recommandent de commencer avec une approbation humaine. Ils préconisent d’élargir ensuite l’autonomie seulement après avoir vérifié la fiabilité de l’agent. Ils recommandent aussi de pouvoir réduire cette autonomie. Le rapport compare cette période à la probation d’un nouvel employé. Les limites de sécurité doivent être définies en dehors de l’agent. Les agents peuvent mal interpréter des règles intégrées ou tenter de les contourner. Les différences réglementaires compliquent également les déploiements internationaux. Duncan Macdonald, responsable technique de l’habilitation infonuagique chez Standard Bank, cite l’activité de la banque dans 22 pays.

L’adoption mesure mal les résultats opérationnels. Une organisation semblait avoir atteint 88 % d’adoption au début de son parcours. Pourtant, son travail s’améliorait dans moins d’une session sur 5 000. Le temps économisé exige aussi une organisation dédiée. Rashed Iqbal, directeur technique de RAK IDO, estime qu’une économie de trois heures ne crée aucun bénéfice sans plan d’utilisation. Le rapport signale enfin un manque persistant concernant les profils juniors. L’IA retire des tâches répétitives qui contribuaient auparavant à construire leur jugement. Les organisations testent plusieurs réponses, mais aucun dirigeant interrogé n’a revendiqué de solution définitive. Profil de Chris Sedore. Pour aller plus loin, consultez notre guide sur déployer un agent IA en PME sans développeur. Pour aller plus loin, consultez notre guide sur la formation IA et les obligations de l’AI Act.