Après les logiciels SaaS installés sans l'aval de l'informatique, une nouvelle vague échappe aux radars des DSI : les agents IA que les équipes métier configurent elles-mêmes pour automatiser leurs tâches. Autonomes, connectés aux données et capables d'agir, ces agents déplacent le problème du Shadow IT vers un terrain plus sensible : celui des actions invisibles menées au nom de l'entreprise.
Le Shadow IT n'est pas nouveau : depuis des années, les collaborateurs adoptent des outils numériques sans passer par la DSI, parce qu'ils répondent plus vite à un besoin concret. Ce qui change avec l'IA agentique, c'est la nature même de ce qui échappe au contrôle. On ne parle plus d'un tableur en ligne ou d'une messagerie parallèle, mais de programmes capables de décider et d'agir.
DE L'OUTIL À L'ACTEUR
Un agent IA est un système qui reçoit un objectif, raisonne à partir d'un modèle de langage, puis enchaîne des actions : lire un document, interroger une base, envoyer un message, déclencher un traitement. Là où un assistant conversationnel répond, l'agent exécute. Quand plusieurs agents se coordonnent pour traiter un processus complet, on parle d'orchestration.
Le point de bascule pour les dirigeants est simple : un outil non déclaré stocke des données ; un agent non déclaré prend des décisions et laisse des traces dans les systèmes, souvent sans que personne ne sache précisément ce qu'il a fait ni pourquoi.
POURQUOI CELA ÉCHAPPE AUX DSI
Trois facteurs se cumulent. D'abord, la facilité d'accès : construire un agent ne demande plus de compétences de développeur, les plateformes grand public le permettent en quelques clics. Ensuite, la connectivité : ces agents s'appuient sur des connecteurs vers les outils du quotidien, ce qui leur ouvre un accès aux données et aux droits de l'utilisateur qui les a créés. Enfin, l'invisibilité : un agent qui agit via le compte d'un salarié ressemble, dans les journaux d'activité, à ce salarié lui-même.
LES RISQUES CONCRETS
Pour un décideur, les enjeux se lisent en termes de responsabilité. Une fuite de données via un agent mal configuré engage l'entreprise au titre du RGPD. Une action erronée sur un système métier peut avoir un impact financier direct. Et en cas d'incident, l'absence de traçabilité rend l'analyse difficile : qui a autorisé quoi, avec quelles données, pour quel résultat ?
GOUVERNER SANS INTERDIRE
L'expérience du Shadow IT a montré que l'interdiction pure ne fonctionne pas : elle pousse les usages dans la clandestinité. La voie réaliste consiste à offrir un cadre plus attractif que l'usage sauvage.
Cela passe par des briques techniques que le monde agentique commence à formaliser. Les AI primitives sont des composants élémentaires standardisés — accès aux données, appel d'outils, mémoire, journalisation — fournis par la DSI et réutilisables par les métiers. Le type-safe AI désigne des approches où les entrées et sorties d'un agent sont strictement définies et validées : un agent ne peut produire qu'un résultat conforme à un format attendu, ce qui réduit fortement les comportements imprévisibles. Enfin, la gouvernance repose sur un registre des agents en production, des permissions limitées au strict nécessaire et une supervision humaine sur les actions à fort impact.
UN ENJEU DE ROI, PAS SEULEMENT DE CONFORMITÉ
Il serait tentant de ne voir dans ce sujet qu'une question de sécurité. C'est aussi une opportunité : les agents créés dans l'ombre signalent des besoins réels et des processus mal outillés. Une DSI qui sait les repérer, les industrialiser et les sécuriser transforme un risque diffus en levier de productivité mesurable. La question n'est donc pas de savoir si les métiers utiliseront des agents, mais si l'entreprise saura les voir.
