EY alerte sur les agents autonomes hors radar des entreprises

EY a publié le 15 septembre 2026 une étude sur la gouvernance de l’IA dans les entreprises. L’enquête porte sur 202 décideurs américains responsables de l’IA. Ces répondants travaillent dans des sociétés cotées générant au moins un milliard de dollars de revenus annuels. EY constate que les stratégies d’IA ne reflètent pas correctement l’usage d’agents autonomes. Cette situation laisse des lacunes importantes en cybersécurité. De nombreux répondants doutent de pouvoir détecter un agent d’IA non autorisé dans leur entreprise. EY résume l’enjeu ainsi : une gouvernance formelle ne garantit pas son efficacité opérationnelle. Les résultats ont été collectés entre le 28 mai et le 15 juin 2026.

Les contrôles progressent sur plusieurs dimensions de la gouvernance de l’IA. Près des trois quarts des entreprises imposent une intervention humaine pour les décisions importantes. Soixante et onze pour cent obligent tous les salariés à suivre une formation sur la gestion des risques liés à l’IA. Environ deux tiers demandent à leurs fournisseurs de déclarer leur utilisation de modèles d’IA. Cinquante-huit pour cent utilisent des référentiels externes de gestion des risques, notamment ceux du National Institute of Standards and Technology. La même proportion inventorie tous les modèles employés, y compris ceux intégrés dans des outils tiers. EY détaille ces résultats dans son analyse sur la gouvernance de l’IA.

Les agents échappent aux responsabilités

Les agents autonomes révèlent toutefois des failles de supervision après leur déploiement. Près de six répondants sur dix, dans les organisations qui utilisent ces agents, estiment qu’aucun groupe ne les supervise clairement. Près de quatre sur dix déclarent que la responsabilité de cette supervision reste « non définie ». Environ la moitié des organisations n’ont pas actualisé leur cadre de gouvernance pour intégrer les risques propres aux agents autonomes. Quatre sur dix manquent de visibilité sur tous les outils d’IA présents sur leurs réseaux. Enfin, près d’un quart déclarent ne pas pouvoir détecter les agents non autorisés opérant en interne. Ces chiffres décrivent des responsabilités et des capacités de détection incomplètes.

Les décisions autonomes compliquent les contrôles conçus pour surveiller uniquement les résultats de l’IA. EY indique que ces systèmes peuvent intervenir dans plusieurs processus, interagir avec des données, appeler des outils ou exécuter des tâches sans intervention humaine en temps réel. Les analystes recommandent donc d’évaluer la capacité des contrôles à identifier et interrompre une activité autonome avant une défaillance matérielle. Ils préconisent aussi de pouvoir expliquer cette activité et d’en conserver les preuves après l’événement. La gouvernance doit ainsi examiner les actions des agents, et pas seulement les résultats produits. Cybersecurity Dive rapporte l’étude d’EY.

Les incidents deviennent concrets pour les organisations interrogées par EY. Près de neuf entreprises sur dix ont rencontré un problème lié à l’IA au cours des douze derniers mois. Plus d’un tiers des répondants ont subi un incident ou une défaillance ayant provoqué un impact matériellement négatif. Les conséquences citées comprennent une perte de données, des dommages financiers, une perturbation opérationnelle ou une atteinte à la marque. EY ajoute qu’une visibilité insuffisante sur les outils d’IA peut aggraver les effets d’une intrusion. Un incident très visible peut aussi devenir un événement de réputation lorsque l’entreprise ne peut pas expliquer une décision, un contrôle défaillant ou une responsabilité. Pour aller plus loin, consultez notre guide sur déployer un agent IA en PME sans développeur.