Transformation & IA · Gouvernance 2026
Chaque équipe a créé son agent IA. Personne ne sait combien il y en a, ce qu’ils font, ni qui répond de leurs actes.
Bienvenue dans l’ère de l’« agent sprawl » : la prolifération des agents IA en entreprise, et ce qu’elle révèle de votre management.
Les agents IA en entreprise se multiplient plus vite que n’importe quelle technologie avant eux. Un agent pour trier les tickets du support, un agent pour rédiger les comptes rendus, un agent pour relancer les clients, un agent pour préparer le backlog, un agent bricolé un vendredi soir par un développeur motivé. Chacun, pris isolément, fait gagner du temps. Ensemble, ils forment un écosystème que plus personne ne pilote.
Le phénomène a désormais un nom : l’agent sprawl, littéralement l’étalement ou la prolifération des agents. Atlassian vient de lui consacrer une analyse détaillée, « Tackling agent sprawl across the enterprise », et le cabinet Gartner a publié en 2026 une série de recommandations pour le maîtriser. Les chiffres donnent le vertige : d’ici 2028, une grande entreprise du Fortune 500 utiliserait en moyenne plus de 150 000 agents. Et seulement 13 % des organisations estiment disposer aujourd’hui de la bonne gouvernance pour les encadrer.
Chez Corporate Mavericks, on n’a aucune envie d’ajouter une couche de comités d’approbation au-dessus de l’IA. Mais on a encore moins envie de voir des milliers d’agents agir au nom de vos équipes sans que personne ne sache qui en est responsable. Parce qu’au fond, l’agent sprawl n’est pas un problème technique. C’est un problème de responsabilité, donc un problème de management.
Qu’est-ce qu’un agent IA (et pourquoi ce n’est pas un chatbot de plus) ?
Un assistant IA classique répond à vos questions : vous posez une demande, il produit un texte, vous décidez quoi en faire. Un agent IA va plus loin. C’est un système logiciel qui reçoit un objectif, découpe le travail en étapes, utilise des outils (votre messagerie, votre CRM, Jira, Confluence, un tableur, une API) et prend des décisions de manière autonome pour atteindre cet objectif. Il ne se contente pas de suggérer : il agit.
Concrètement, un agent peut lire les demandes clients entrantes, les classer, rédiger une réponse, créer un ticket, mettre à jour un statut, prévenir la bonne personne. Un agent autonome peut enchaîner des dizaines d’actions sans qu’un humain valide chacune d’elles. C’est précisément ce qui fait sa valeur, et c’est précisément ce qui le rend risqué : confier à une IA le droit de prendre des décisions dans les processus de l’entreprise, c’est déléguer une part de responsabilité.
Il existe plusieurs types d’agents IA :
Les agents personnels, créés par un collaborateur pour automatiser ses propres tâches (trier ses mails, préparer ses réunions).
Les agents d’équipe, configurés pour un processus partagé (qualification des tickets, revue de documentation, onboarding).
Les agents métier transverses, branchés sur les applications métier et les données d’entreprise pour traiter des processus complets (facturation, recrutement, support client).
Les agents de développement, qui écrivent, testent ou relisent du code, de plus en plus intégrés aux outils des développeurs.
Le problème n’est pas l’existence de ces agents intelligents. Le problème, c’est que les plateformes rendent la création d’un agent aussi simple que la création d’un document partagé. Et vous savez ce qui arrive aux documents partagés quand personne ne fait le ménage.
Agent sprawl : quand les agents IA en entreprise prolifèrent sans pilote
Le scénario est toujours le même. La direction pousse l’adoption de l’IA générative. Les équipes s’emparent des outils, chacune à sa manière. Le marketing crée ses agents, le support crée les siens, la finance aussi, et les développeurs en déploient d’autres dans leurs pipelines. Les déploiements se font dans l’urgence, sans contexte partagé, sans propriétaire clair, sans supervision coordonnée.
Atlassian résume bien le paradoxe : les gains de productivité individuels ne se transforment pas automatiquement en résultats pour l’organisation. Des efficacités isolées peuvent très vite tourner à la prolifération. Selon une étude d’OutSystems citée dans l’analyse, 94 % des organisations craignent que cette prolifération de l’IA n’augmente la complexité, la dette technique et les risques de sécurité.
On a déjà vécu ça avec le shadow IT, ces outils SaaS achetés en douce par les équipes. Mais l’agent sprawl est d’une autre nature, et c’est le point le plus important de toute l’analyse.
« La prolifération des agents est un risque d’identité et de responsabilité, pas du shadow IT. »
Atlassian, « Tackling agent sprawl across the enterprise » (traduction Corporate Mavericks)
Pourquoi cette distinction compte-t-elle autant ? Le shadow IT, ce sont des outils non approuvés qui stockent des données. On peut les repérer, par exemple grâce au trafic vers des fournisseurs inconnus. Un agent IA non maîtrisé, lui, est un acteur non approuvé qui utilise vos données et vos permissions pour agir en votre nom. Il opère comme un utilisateur autorisé, sur une infrastructure autorisée, avec des identifiants autorisés. Sauf qu’il le fait à une vitesse et à une échelle qu’aucun humain n’atteint.
Résultat : des questions opérationnelles basiques deviennent impossibles à trancher. Quels agents sont actifs ? Qui les possède ? À quelles données accèdent-ils ? Quelles actions déclenchent-ils ? Et surtout : que se passe-t-il quand l’un d’eux se trompe ?
Les 5 risques concrets de la prolifération des agents IA
L’analyse d’Atlassian identifie cinq conséquences qui remontent directement jusqu’au comité de direction. On les reprend ici, avec la lecture managériale qui va avec.
L’exposition des données. Un agent peut faire remonter ou déplacer des informations confidentielles d’une manière que personne n’avait anticipée. Le compte rendu du comité stratégique qui finit résumé dans un canal ouvert, par exemple.
Le risque d’identité et d’accès. Un agent hérite souvent de permissions trop larges, celles de la personne qui l’a créé, et se connecte à des systèmes sans les contrôles appropriés.
L’ambiguïté opérationnelle. Les équipes ne savent pas qui possède un agent, comment il prend ses décisions, ni comment l’arrêter. Quand son créateur quitte l’entreprise, l’agent, lui, continue de tourner.
Les coûts et la complexité non planifiés. Impossible de piloter la capacité, la dépendance aux fournisseurs ou le retour sur investissement quand l’activité des agents est éclatée dans tous les sens.
Des résultats inexacts et des décisions désalignées. Des agents déconnectés, sans contexte partagé, produisent des réponses contradictoires et des actions qui ne servent pas les objectifs de l’équipe.
Remarquez qu’aucun de ces risques n’est purement technique. Chacun renvoie à une question que le management sait (ou devrait savoir) poser : qui décide, qui possède, qui répond.
Chaque semaine, des analyses comme celle-ci sur l’IA et le management, sans jargon ni langue de bois.
Pourquoi interdire les agents IA ne marche pas
Face à ce tableau, le réflexe de beaucoup de directions est connu : tout bloquer. Un comité IA, une procédure de validation en sept étapes, une liste blanche de trois cas d’usage autorisés, et interdiction de créer des agents sans l’aval de la DSI. Sur le papier, le risque disparaît. Dans la réalité, il se déplace.
Atlassian le dit sans détour : restreindre l’IA sans garde-fous intelligents limite sa valeur, freine l’adoption et pousse l’expérimentation vers des outils non autorisés, où les collaborateurs collent du contexte sensible hors de toute supervision. Vous n’avez pas supprimé les agents, vous les avez rendus invisibles.
On retrouve exactement le mécanisme décrit dans notre article sur la bureaucratie en entreprise : chaque règle ajoutée pour se protéger d’un risque en crée un autre, plus diffus. Et comme pour le coût de l’IA en entreprise, rationner l’accès est souvent la pire façon de reprendre le contrôle.
L’excès inverse n’est pas meilleur. Donner à chaque agent une autonomie totale, un accès large et une exécution sans limite, c’est accepter de découvrir les dégâts après coup. Et verrouiller chaque action derrière une demande de confirmation du type « Dois-je faire ceci ? » produit une fatigue de l’approbation : les utilisateurs cliquent « oui » sans lire, et le contrôle devient une illusion. Les deux extrêmes ralentissent la création de valeur.
La règle d’or
Gouverner l’IA, pas bloquer l’IA.
La bonne gouvernance définit ce qu’un agent peut faire, avec quelles données, pour qui, et sous quelle revue. Elle pose un cadre clair, puis laisse les équipes avancer vite à l’intérieur. C’est exactement la logique de l’autonomie alignée : des limites explicites plutôt qu’un contrôle permanent.
Comment gouverner les agents IA sans tuer l’initiative : 6 principes
Voici ce qu’on retient de l’analyse d’Atlassian et des recommandations de Gartner, traduit en principes applicables par n’importe quelle organisation, quels que soient ses outils.
1. Tenir un registre vivant des agents
Vous ne pouvez pas gouverner ce que vous ne voyez pas. La visibilité est le premier signal de la gouvernance agentique. Il faut pouvoir répondre à tout moment à une question simple : combien d’agents existent, et combien sont réellement utilisés ? Un registre (même un simple tableau au départ) recense pour chaque agent son objectif, ses sources de données, ses outils, son propriétaire et sa fréquence d’utilisation. Les plateformes commencent à le proposer nativement, avec des indicateurs d’usage qui permettent de repérer les agents à nettoyer, à fusionner ou à restreindre.
2. Un propriétaire humain par agent, sans exception
C’est le principe le plus simple et le plus négligé. Chaque agent doit avoir un humain nommé qui en répond. Pas « l’équipe data », pas « la DSI » : une personne. Quand un agent se trompe, elle sait pourquoi, elle sait comment l’arrêter, et elle décide s’il faut le corriger ou le retirer. Un agent sans propriétaire est un agent à désactiver.
3. Calibrer l’autonomie selon le risque de l’action
Séparez les actions qu’on peut automatiser en confiance de celles qui exigent une supervision humaine. Ce tri évite à la fois l’autonomie aveugle et le harcèlement de confirmations. La matrice ci-dessous, inspirée des exemples d’Atlassian, donne une base de départ.
4. Hériter des permissions, puis les restreindre
Le socle minimal : un agent ne doit jamais voir plus que ce que la personne qui l’utilise a le droit de voir. Mais pour une gouvernance plus mature, il faut aller plus loin et définir des droits spécifiques par agent, limités à son rôle, plutôt que de s’appuyer sur l’accumulation de permissions d’un collaborateur présent depuis dix ans. Un agent de qualification de tickets n’a aucune raison d’accéder aux dossiers RH. Autre bonne pratique soulignée par Atlassian : faire apparaître l’agent comme contributeur à côté de la personne qui l’a lancé, et non à sa place. La traçabilité, c’est savoir qui a fait quoi, humain ou machine.
5. Donner du contexte, pas seulement des droits
C’est la phrase la plus juste de toute l’analyse : un agent non gouverné avec un contexte riche est risqué, mais un agent gouverné sans contexte est inutile. Dans une enquête Pulse menée auprès de plus de 1 000 travailleurs du savoir, seuls 12 % estiment que leur IA comprend l’entreprise mieux que ses collaborateurs les plus juniors. Autrement dit, la plupart des agents ont le niveau de compréhension d’un nouvel arrivé. Selon le rapport State of Teams 2026 d’Atlassian, les équipes dotées de fondations plus solides (objectifs clairs, connaissances partagées, priorités explicites) sont 7,3 fois plus susceptibles de déclarer un meilleur retour sur investissement de l’IA.
Traduction managériale : si vos objectifs ne sont écrits nulle part, si vos décisions vivent dans la tête de trois personnes et si votre documentation date de 2021, aucun agent ne fera de miracle. Il produira au mieux du contenu générique, au pire du workslop, ce contenu qui a l’air professionnel et ne sert à rien.
6. Faire le ménage et retirer les agents
Un agent n’est pas éternel. Prévoyez dès sa création comment il sera évalué et quand il sera retiré. Une revue trimestrielle du registre suffit souvent : on supprime les agents inutilisés, on fusionne les doublons (trois équipes ont presque toujours créé le même agent de synthèse de réunion), on restreint ceux qui ont des droits trop larges, et on prend le temps de vérifier les performances réelles de chacun (temps gagné, taux d’erreur, usage effectif). Les entreprises savent lancer des projets ; elles savent beaucoup moins bien les arrêter. Avec les agents, ce défaut coûte cher.
Le test anti-bullshit avant de créer un agent IA
Avant de déployer un nouvel agent dans votre équipe, posez ces sept questions. Si vous ne pouvez pas répondre à toutes, l’agent n’est pas prêt.
Quel problème précis résout-il, et comment le mesure-t-on aujourd’hui ?
Existe-t-il déjà un agent qui fait la même chose ailleurs dans l’entreprise ?
Qui en est le propriétaire nommé, et qui le remplace en son absence ?
À quelles données accède-t-il, et en a-t-il vraiment besoin ?
Quelles actions peut-il faire seul, et lesquelles exigent une validation ?
Comment l’arrête-t-on en cas de problème, et qui est prévenu ?
Comment saura-t-on, dans trois mois, s’il faut le garder, le modifier ou le supprimer ?
Si la réponse à la question 3 est « tout le monde », la vraie réponse est « personne ».
Comment créer un agent IA utile (sans ajouter au chaos)
Gouverner ne veut pas dire renoncer. Les meilleurs agents IA excellent sur des tâches répétitives, bien délimitées, où la valeur est facile à mesurer. C’est là qu’il faut commencer, avant de s’attaquer aux problèmes complexes.
Atlassian cite deux exemples instructifs. Le premier, un agent de revue de la qualité des tickets Jira : il analyse les tickets entrants, évalue s’ils contiennent assez de détails et publie un retour concret quand un ticket change de statut. Le périmètre est étroit, les règles sont claires, le bénéfice est visible. Le second, un assistant d’onboarding : il aide les nouveaux arrivants à monter en compétence en rassemblant la documentation utile, en présentant les normes de l’équipe et en les guidant dans les étapes obligatoires, sans jamais exposer d’informations auxquelles ils n’ont pas accès.
Le cas de DocuSign, présenté dans la même analyse, montre ce que donne une approche gouvernée à grande échelle : une création de tickets 75 % plus rapide (de 20 à 5 minutes environ par ticket), des séances d’affinage du backlog réduites de 2 heures à 30 minutes, plus de 10 heures récupérées chaque semaine par une équipe QA grâce à un agent spécialisé, et des agents standardisés déployés sur plus de 100 espaces Confluence avec une visibilité centralisée. Ces chiffres sont communiqués par l’éditeur, à prendre comme des ordres de grandeur, mais la logique est saine : peu d’agents, bien définis, partagés et suivis, plutôt que des centaines d’agents personnels qui font tous à peu près la même chose.
La méthode, si vous voulez créer des agents dans votre équipe :
partez d’un irritant réel, observé, et non d’une démonstration impressionnante vue sur LinkedIn ;
commencez par un premier agent en lecture seule, qui propose sans agir, et vérifiez la qualité de ses suggestions ;
élargissez son autonomie action par action, à mesure que la confiance se construit ;
documentez ses règles et ses sources pour que d’autres équipes puissent le réutiliser plutôt que le recréer ;
fixez dès le départ les indicateurs qui diront s’il crée de la valeur (temps gagné, erreurs évitées, satisfaction des utilisateurs).
Le vrai sujet : qui répond quand un agent se trompe ?
L’analyse d’Atlassian conclut sur une idée que l’on partage entièrement : la gouvernance préserve le jugement humain là où il compte le plus. L’IA peut rassembler l’information, interpréter un large contexte et synthétiser vite. Les humains restent responsables des décisions qui demandent de la nuance, de l’expertise et une revue.
Pour un manager, cela change la nature du travail. Hier, vous étiez responsable de ce que faisait votre équipe. Demain, vous serez aussi responsable de ce que font les agents de votre équipe. « C’est l’IA qui a envoyé ce mail au client » ne sera jamais une excuse recevable, ni pour le client, ni pour la direction, ni pour un régulateur. Un agent n’a pas de responsabilité ; il n’a que des permissions.
Ce déplacement ressemble beaucoup à ce qu’on observe dans les organisations autogérées (voir notre article sur l’autogestion en entreprise) : plus vous distribuez l’autonomie, plus vous devez clarifier les rôles, les limites et la redevabilité. L’autonomie sans cadre n’est pas de la liberté, c’est du flou. Et comme on l’expliquait à propos de la collaboration humain-IA, les gains de vitesse individuels s’évaporent quand ils ne sont pas reliés au travail collectif.
Trois réflexes à adopter dès maintenant :
Inscrivez les agents dans vos accords d’équipe. Qui peut en créer, pour quoi faire, avec quelle validation. Une page suffit.
Parlez des agents dans vos rétrospectives. Quels agents nous aident vraiment ? Lesquels produisent du bruit ? Lesquels faut-il arrêter ?
Traitez une erreur d’agent comme un incident. Sans chercher de coupable, mais en remontant aux causes : contexte manquant, droits trop larges, absence de validation sur une action à risque.
L’entreprise qui s’en sortira ne sera pas celle qui aura le plus d’agents IA. Ce sera celle qui pourra répondre, à tout moment, aux questions qui comptent : qu’est-ce qui existe, qui le possède, comment c’est utilisé, combien ça coûte, et est-ce que ça sert vraiment.
En résumé
L’agent sprawl est un risque de responsabilité, pas un simple problème d’outillage.
Interdire pousse les agents dans l’ombre ; tout autoriser revient à découvrir les dégâts après coup.
Un registre, un propriétaire par agent, une autonomie calibrée selon le risque.
Sans contexte partagé, un agent bien gouverné reste inutile.
Un agent n’a que des permissions : la responsabilité reste humaine.
Questions fréquentes sur les agents IA en entreprise
Un agent IA est un système logiciel qui reçoit un objectif, utilise des outils (messagerie, CRM, gestion de tickets, documentation) et prend des décisions de manière autonome pour l’atteindre. Contrairement à un assistant IA qui se contente de répondre, un agent agit : il crée, modifie, envoie ou classe des éléments dans vos applications métier.L’agent sprawl désigne la prolifération non maîtrisée des agents IA dans une organisation : des agents créés par de nombreuses équipes, sans inventaire, sans propriétaire clair ni contrôle des accès. Gartner projette qu’une grande entreprise du Fortune 500 utilisera en moyenne plus de 150 000 agents d’ici 2028.Le shadow IT désigne des outils non approuvés qui stockent des données et que l’on peut souvent détecter. Un agent IA non maîtrisé est un acteur qui utilise vos données et vos permissions pour agir en votre nom, avec des identifiants autorisés. Il est donc plus difficile à repérer et ses actions ont des conséquences directes.Partez d’un besoin réel et délimité, nommez un propriétaire humain, limitez les accès aux seules données nécessaires, commencez en lecture seule, puis élargissez l’autonomie action par action. Les actions à risque (suppression, permissions, données personnelles ou financières, envoi externe) doivent rester soumises à une validation humaine.Non. Interdire ou trop restreindre pousse les collaborateurs vers des outils non autorisés, hors de toute supervision. Mieux vaut un cadre clair (registre, propriétaires, niveaux d’autonomie) à l’intérieur duquel les équipes peuvent expérimenter librement.Toujours un humain. Chaque agent doit avoir un propriétaire nommé qui en répond, sait comment l’arrêter et décide de le corriger ou de le retirer. Les erreurs d’agents se traitent comme des incidents : on cherche les causes (contexte manquant, droits trop larges, absence de validation), pas un coupable.
L’IA sans le bullshit, chaque semaine
Une newsletter pour les managers qui veulent tirer parti de l’IA sans perdre le contrôle de leur organisation. Zéro hype, que du concret.