Analyse de l’enquête EY : 98 % ont des politiques, 47 % les ignorent, 26 % oublient les agents

Une politique de gouvernance de l’IA sait très bien rester dans un dossier. Elle est moins utile lorsqu’un déploiement urgent la contourne, ce qui n’est apparemment pas un sport rare. Techstrong.ai a rapporté que la première enquête américaine d’EY sur les risques et la gouvernance de l’IA a révélé que 98 % des répondants déclaraient que leur organisation dispose de politiques formelles de gouvernance de l’IA, tandis que 47 % disaient que la gouvernance avait été ignorée lors de déploiements urgents d’IA.

Parmi les organisations utilisant l’IA agentique, Techstrong.ai a rapporté que 26 % ne pouvaient pas détecter des agents d’IA non autorisés opérant en interne, ce qui est le moment où le dossier commence à ressembler à de la décoration.

La politique existe. Le contrôle, non

Techstrong.ai a rapporté qu’EY a interrogé 202 décideurs seniors en IA dans des entreprises américaines cotées en bourse réalisant au moins 1 milliard de dollars de chiffre d’affaires annuel. Cet échantillon compte, car il ne s’agit pas de projets amateurs exécutés sur un ordinateur portable de secours sous un bureau, aussi charmante que serait cette défense en matière de conformité.

BigDATAwire, relayant l’annonce d’EY, a indiqué que l’enquête examinait la manière dont les dirigeants gouvernent l’IA, notamment la vitesse à laquelle les cadres de gouvernance s’adaptent à l’IA agentique, ainsi que l’ampleur et l’impact des risques liés à l’IA. Le communiqué d’EY a formulé le problème clairement : la mise en œuvre de l’IA autonome dépasse la capacité de surveillance.

La lecture pratique est simple. Une politique qui peut être ignorée en cas d’urgence n’est pas un contrôle, c’est une suggestion sur papier à en-tête. Pour les équipes qui construisent, la bonne question n’est pas de savoir si l’organisation possède un document de gouvernance de l’IA, mais si les workflows de mise en production rendent difficile le fait de livrer sans responsable, cas d’usage approuvé, revue des risques et plan de journalisation.

Si la réponse dépend du fait que quelqu’un se souvienne d’envoyer un e-mail au service juridique, alors la réponse est non.

L’IA agentique transforme les usages cachés en problème opérationnel

Techstrong.ai a rapporté que, parmi les organisations utilisant l’IA agentique, 49 % n’avaient pas mis à jour leurs cadres de gouvernance pour les systèmes agentiques et 26 % ne pouvaient pas détecter des agents d’IA non autorisés opérant en interne. Cette combinaison est le vrai casse-tête de conformité.

Les systèmes agentiques ne sont pas simplement des fenêtres de discussion avec une meilleure image de marque ; ils peuvent être connectés à des outils, des workflows, des bases de données et des permissions internes. Si l’inventaire est incomplet, l’organisation ne peut pas dire de manière fiable ce qui agit, sous l’autorité de qui, ni sur quelles données.

L’obligation évidente, même avant qu’un régulateur ne pose des questions gênantes, est la visibilité. Les équipes ont besoin d’un registre des agents qui indique le propriétaire, l’objectif, les outils connectés, les catégories de données, le périmètre des permissions, le modèle ou fournisseur, et le statut de production. Elles ont aussi besoin de journaux qui montrent les actions effectuées par l’agent, et pas seulement les prompts saisis par l’utilisateur.

Les agents internes non autorisés sont difficiles à gouverner pour la même raison que les fournisseurs non suivis sont difficiles à auditer : personne ne peut examiner un système qu’il ne peut pas trouver.

La gouvernance doit entrer dans le chemin de déploiement

Techstrong.ai a rapporté qu’EY recommande une responsabilisation plus claire, des contrôles intégrés aux workflows de déploiement, une meilleure visibilité sur les systèmes d’IA et une vérification récurrente du fait que les agents se comportent comme prévu. Traduit hors du dialecte des consultants, cela signifie que la gouvernance doit devenir une partie intégrante de la livraison.

Le registre d’approbation doit se trouver là où les décisions de déploiement sont prises, pas dans une présentation affichée après le lancement. Un agent en production ne devrait pas avancer sans qu’un responsable nommé, un usage autorisé, une voie d’escalade et une exigence de surveillance soient déjà associés.

C’est là que la politique devient du travail d’ingénierie. Les achats devraient bloquer les services d’IA non approuvés, les plateformes internes devraient exiger un enregistrement avant l’accès aux systèmes sensibles, et les pipelines de déploiement devraient conserver la preuve que les revues ont bien eu lieu. La vérification récurrente n’est pas une réunion trimestrielle cérémonielle.

Elle consiste à tester si les agents restent bien dans la tâche qui leur a été assignée, si les permissions ont dérivé, et si les journaux restent utiles lorsque quelque chose tourne mal.

Le prochain audit demandera des preuves, pas des intentions

BigDATAwire a décrit l’enquête comme montrant que les processus et les contrôles ne suivent pas le rythme, malgré les risques de réputation, de cybersécurité et d’IA de l’ombre. C’est la partie à prendre au sérieux sans en faire du théâtre.

La gouvernance écrite reste utile, mais seulement comme carte pour des étapes applicables : inventaire, portes d’approbation, télémétrie, escalade et contrôles périodiques. La loi récompense rarement une entreprise pour avoir eu de bonnes intentions dans un PDF.

Pour les lecteurs qui construisent ou achètent de l’IA autonome, la prochaine étape est modeste et concrète. Choisissez un workflow agentique et retracez-le de la demande au déploiement puis à la surveillance, puis identifiez chaque point où la gouvernance dépend de la mémoire au lieu d’un contrôle système.

Surveillez ensuite si les fournisseurs commencent à proposer des inventaires d’agents et des pistes d’audit utilisables, car cela comptera davantage qu’un autre modèle de politique avec une page de couverture de bon goût.