5 bonnes pratiques pour la gouvernance de l'IA agentique dans les services financiers

Par Maneeza Malik, Directeur du marketing produit

L'IA agentique redéfinit les services financiers et l'assurance plus rapidement que la gouvernance ne peut suivre. L'industrie va au-delà des copilotes et des chatbots pour passer à des agents d'IA autonomes fonctionnant à l'échelle de la production. Cela nécessitera un changement fondamental dans le risque d'entreprise, la gouvernance et le contrôle.

Gartner prévoit que d'ici 2028, l'entreprise moyenne du classement Fortune 500 déploiera plus de 150 000 agents d'IA dans l'ensemble de ses fonctions métier. Parallèlement, Gartner prévient que les organisations – en particulier celles des secteurs réglementés tels que les services financiers et l'assurance – ne sont pas adéquatement préparées à la gouvernance, à la sécurité, à la conformité et à la complexité opérationnelle qu'entraîne le déploiement d'agents à grande échelle.

Pour les banques et les assureurs, cela crée une nouvelle réalité. Chaque agent d'IA devient un acteur numérique interagissant avec les systèmes métier essentiels. Chaque nouvel agent élargit la surface d'attaque de l'entreprise. Chaque flux de travail autonome introduit de nouveaux risques opérationnels, de sécurité et réglementaires.

C'est pourquoi l'IA agentique ne peut pas être traitée comme une simple initiative d'IA de plus ou une nouvelle couche dans la pile technologique. Elle exige des contrôles de gouvernance, d'identité, de sécurité, d'observabilité et de conformité qui sont intégrés à l'ensemble de l'entreprise.

Comment l'IA agentique modifie le modèle de risque financier

Les systèmes d'IA traditionnels exécutaient généralement des tâches précisément définies au sein de flux de travail financiers bien établis, telles que la classification de transactions, la génération de prévisions ou la recommandation d'actions. Les contrôles d'entreprise ont été conçus autour de ces cas d'utilisation restreints, avec des humains ou des règles métier déterministes régissant le flux de travail global et l'exécution.

L'IA agentique modifie ce modèle. Les agents IA peuvent planifier et exécuter des tâches en plusieurs étapes, invoquer des applications et des API d'entreprise, accéder à des données de tous les systèmes, se coordonner avec d'autres agents et adapter leurs actions en fonction d'un contexte changeant. Plutôt que de prendre en charge une seule tâche, ils peuvent orchestrer des processus métier entiers.

Alors que les agents d'IA deviennent des participants actifs dans les opérations des entreprises, le modèle de risque de l'entreprise s'élargit. Les institutions financières doivent régir non seulement le modèle d'IA, mais aussi l'identité, les autorisations, l'accès aux outils, les limites de décision, l'accès aux données et le comportement d'exécution de chaque agent tout au long de son cycle de vie.

Cela introduit trois changements majeurs.

• Les frontières de décision deviennent moins explicites. Alors que les agents exécutent des flux de travail de plus en plus complexes, les organisations ont besoin de politiques claires qui définissent quand un agent peut agir de manière autonome, quand une approbation humaine est requise et comment les décisions sont surveillées, régies et audités.
• Les intégrations font partie de la surface d'attaque. Les agents s'appuient sur des API, des applications d'entreprise, des plateformes SaaS, des sources de données et des services externes pour accomplir leurs tâches. Chaque connexion introduit des risques potentiels liés à l'authentification, à l'autorisation, à l'exposition des données et aux dépendances tierces.
• L'échelle devient un défi de gouvernance. Les systèmes multi-agents peuvent rapidement passer d'une poignée d'agents à des centaines ou des milliers exerçant des fonctions spécialisées. Sans gestion du cycle de vie des agents d'IA, inventaire, responsabilité, application des politiques et surveillance continue, les institutions financières et les assureurs risquent de perdre la visibilité sur ce auquel les agents peuvent accéder, ou sur la manière dont ils interagissent au sein de l'entreprise.

Les normes émergentes telles que Protocole de contexte du modèle (MCP) accélérera davantage cette tendance en standardisant la manière dont les agents d'IA se connectent aux outils d'entreprise et aux sources de données. À mesure qu'il devient plus facile d'intégrer des agents aux systèmes métier, les organisations ont besoin d'une identité, d'une gouvernance, d'une application des politiques et de contrôles d'exécution cohérents pour chaque interaction d'agent.

Bonnes pratiques pour la mise en œuvre de la gouvernance de l'IA dans les services financiers

Pour relever ces défis, les institutions financières doivent établir des cadres de gouvernance qui réduisent à la fois les risques et préparent l'entreprise à un comportement inattendu des agents. Les cinq bonnes pratiques suivantes constituent une base pour :

• Réduire les risques opérationnels, de sécurité et de conformité associés au déploiement d'une IA agentique à l'échelle de l'entreprise.
• Élaboration de plans d'urgence détecter, contenir et réagir lorsque des agents d'IA se comportent de manière inattendue, enfreignent les règles ou connaissent des défaillances opérationnelles.

Meilleure pratique #1 :
Gouverner les agents d'IA en tant qu'employés numériques

Le premier principe est simple : traiter chaque agent IA comme un employé numérique.

Chaque agent doit avoir :

• Un rôle et un objectif clairement définis
• Un ensemble de responsabilités délimité
• Accès au moindre privilège
• Outils et sources de données approuvés
• Limites de décision clairement définies
• Supervision humaine lorsque cela est approprié

Sans ces contrôles, les agents IA deviennent des acteurs non gérés opérant dans les systèmes d'entreprise.

La gouvernance doit également être guidée par des politiques plutôt que manuelle. Les organisations ont besoin de politiques lisibles par machine qui définissent ce que les agents sont autorisés à faire, quand ils peuvent agir de manière autonome et quand ils nécessitent des approbations avec intervention humaine.

Dans les secteurs réglementés comme la banque et l'assurance, la gouvernance de l'IA est plus qu'une bonne pratique. C'est une nécessité et une fonction de contrôle qui permet l'auditabilité, la responsabilisation et la conformité réglementaire.

Meilleure pratique #2 :
Sécuriser l'ensemble de l'écosystème des agents IA

Une erreur fréquente est de focaliser la sécurité uniquement sur le Grand Modèle de Langage (LLM) lui-même. En réalité, la surface d'attaque de l'entreprise s'étend bien au-delà du modèle dès que l'on commence à introduire des agents IA. Les agents IA interagissent avec :

• API
• Bases de données
• Systèmes d'identité
• Applications et systèmes d'entreprise (par ex., CRM, ERP, RH, finance, etc.)
• Flux de travail internes
• Services externes
• Outils compatibles avec MCP

Chaque connexion à laquelle un agent IA peut accéder fait partie de la surface d'attaque de l'entreprise.

À mesure que les agents d'IA deviennent plus autonomes, la sécurité doit s'étendre au-delà de la protection des modèles sous-jacents pour sécuriser l'ensemble de l'écosystème des agents. Cela inclut la gestion des identités et des accès, l'authentification et l'autorisation, la sécurité des API et des outils, les contrôles d'accès aux données, ainsi que l'application de politiques pour les données sensibles, y compris les informations personnelles identifiables (PII) et les informations commerciales confidentielles. Une surveillance continue à l'exécution pour détecter les comportements non autorisés, les violations de politiques et les menaces émergentes est impérative.

Chaque action effectuée par un agent doit être traitée comme une transaction d'entreprise privilégiée. Avant d'accéder à des données, d'invoquer un outil ou d'exécuter un flux de travail, le système doit vérifier l'identité, valider les autorisations, appliquer la politique et enregistrer l'action à des fins d'auditabilité.

Pour les institutions financières et les assureurs, sécuriser l'IA agentique signifie traiter les agents IA comme des identités d'entreprise de premier ordre, régies avec la même rigueur que les employés, les applications et les comptes de service.

Meilleure pratique #3 :
Implémenter la gestion du cycle de vie des agents

Gérer une poignée d'agents d'IA est simple. En gérer des centaines ou des milliers à travers les unités commerciales, les environnements, les zones géographiques et les cas d'usage représente un défi de gouvernance d'entreprise. Sans une gestion centralisée du cycle de vie des agents et sans les contrôles appropriés, la complexité devient rapidement incontrôlable.

Les organisations ont besoin d'une approche centralisée pour gérer l'ensemble du cycle de vie des agents – du provisionnement et du déploiement à la surveillance, l'optimisation, les mises à jour et la mise hors service. Aucun agent ne doit exister sans gouvernance ni persister indéfiniment.

La gestion du cycle de vie des agents doit inclure :

• Inventaire et propriété des agents
• Gestion des versions et de la configuration
• Gestion des identités et des accès
• Observabilité du temps d'exécution et surveillance des performances
• Application des politiques et suivi de la conformité
• Journaux d'audit et historique des activités
• Évaluation continue et analyse des risques
• Mise hors service sécurisée

Sans ces capacités, les organisations perdent rapidement toute visibilité sur les agents qui existent à travers l'entreprise (inventaire), la raison de leur existence (objectif) et les personnes qui en sont responsables (propriété, traçabilité et imputabilité). Pour les secteurs réglementés, le maintien de cette visibilité – et de la piste d'audit associée – est essentiel pour la gouvernance, la conformité et la gestion des risques.

Dans de nombreux cas, les agents sont créés pour des fonctions ou des processus métier spécifiques, mais au fil du temps, ce contexte se perd. Cela crée le risque d'agents d'IA non gérés ou “ fantômes ”, ainsi qu'une incertitude quant aux systèmes auxquels ils peuvent accéder, à leur comportement et à la question de savoir s'ils continuent de fonctionner dans les limites approuvées.

L'observabilité est un élément essentiel de la gestion du cycle de vie des agents. Contrairement aux applications traditionnelles, les agents d'IA prennent des décisions dynamiques, utilisent des outils et s'adaptent à un contexte en constante évolution. Les entreprises ont besoin d'une visibilité en temps réel sur l'activité des agents, l'utilisation des outils, les violations de politiques, les défaillances et les chemins d'exécution afin de faciliter la gestion des incidents, le dépannage opérationnel et la conformité réglementaire.

Meilleure pratique #4 :
Définir les métriques de performance des agents

Les institutions financières et les assureurs doivent définir des mesures claires de performance et d'efficacité pour garantir que les agents IA génèrent constamment de la valeur commerciale tout en respectant les limites approuvées en matière de risque et de conformité.

La gestion de la performance des agents devrait inclure :

• Indicateurs de résultats commerciaux et de réussite des tâches : mesurer si les agents atteignent les objectifs commerciaux escomptés et délivrent la valeur attendue.
• Qualité de décision et cohérence des résultats : évaluer en continu l'exactitude, la fiabilité et la cohérence des décisions et des réponses de l'agent.
• Surveillance du respect des comportements et des politiques : détecter l'utilisation non autorisée de l'outil usage, des chemins d'exécution inattendus ou des actions qui ne respectent pas les politiques de gouvernance approuvées.
• Détection de la dérive des modèles et des comportements : identifier les changements dans les performances du modèle ou le comportement des agents au fil du temps qui peuvent indiquer une dérive du modèle, des problèmes de qualité des données, des modifications des instructions ou une adaptation non intentionnelle.
• Métriques de santé opérationnelle et de supervision humaine : suivre la disponibilité, la latence, les pannes, les taux d'escalade et les interventions humaines pour garantir que les agents restent fiables et dignes de confiance.

La gestion des performances des systèmes agentiques va au-delà de la surveillance traditionnelle des applications. Les organisations ont besoin d'une visibilité continue sur la qualité des décisions, les chemins d'exécution, l'utilisation des outils et les changements de comportement tout au long du cycle de vie d'un agent. Tout écart par rapport au comportement attendu – qu’il soit dû à une dérive du modèle, à des modifications de configuration, à l’évolution des données ou à d’autres facteurs – doit déclencher un examen structuré et, le cas échéant, une intervention humaine. C’est pourquoi les workflows impliquant une intervention humaine et la supervision restent un contrôle de gouvernance essentiel.

Conjuguée à la gestion du cycle de vie des agents, la mesure continue des performances fournit le socle opérationnel nécessaire pour gouverner l'IA agentique à l'échelle de l'entreprise.

Meilleure pratique #5 :
Intégrer la conformité et la supervision humaine dans les flux de travail des agents

Dans les secteurs réglementés, la conformité ne peut pas être une étape de validation externe. Elle doit être intégrée directement dans la conception, l'exécution et la surveillance des agents.

Les exigences de conformité – notamment les dispositions réglementaires, les politiques internes, les normes d'auditabilité et les règles de gouvernance des données – doivent être appliquées en permanence au sein des flux de travail des agents. Cela implique d'intégrer directement dans la logique d'exécution les contraintes relatives aux données usage, les contrôles juridictionnels, la traçabilité des décisions et les exigences en matière de conservation.

La supervision humaine reste un contrôle essentiel, mais elle doit être appliquée de manière sélective et fondée sur le risque. Toutes les actions ne nécessitent pas l'intervention humaine. Cependant, les actions à fort impact telles que les transactions financières, les décisions en contact avec les clients ou l'accès à des données sensibles doivent déclencher des examens de flux de travail avec intervention humaine sur la base de seuils de risque définis.

La surveillance doit également être structurée et cohérente. Les organisations ont besoin de voies d'escalade définies, de flux de travail d'approbation et de mécanismes d'intervention qui sont standardisés pour tous les agents. Cela garantit que l'intervention humaine est prévisible, auditable et alignée sur les politiques de risque de l'entreprise plutôt que d'être ponctuelle.

Pour les institutions financières et les assureurs, intégrer la conformité et la supervision humaine dans les flux de travail des agents est ce qui permet de passer à l'échelle supérieure sans perdre le contrôle réglementaire.

Concrétiser l'IA agentique grâce à Jitterbit Harmony

Le défi pour les institutions financières et les assureurs n'est pas de créer des agents d'IA, mais de les opérationnaliser avec une gouvernance, une sécurité, une conformité et une observabilité cohérentes dans des environnements d'entreprise hybrides.

Jitterbit Harmony résout ce problème avec une plateforme low-code unifiée et dotée d'IA qui rassemble :

• iPaaS
• Développement d'applications
• Gestion complète du cycle de vie des API
• Assistants IA et agents IA

Grâce à la solution Harmony, les établissements financiers et les assureurs peuvent intégrer les sources de données et les systèmes et d'orchestrer des workflows et des agents complexes à grande échelle, à partir d'un environnement unique. Des contrôles complets de sécurité, de gouvernance de l'IA, d'observabilité et de conformité sont intégrés à la plateforme. Cela permet aux organisations de mettre à l'échelle l'automatisation tout en garantissant :

• Contrôle opérationnel
• Auditabilité
• Harmonisation réglementaire
• Application de la sécurité

Services d'IA agentique Jitterbit : de la stratégie à la production

Agentic AI Professional Services de Jitterbit l'équipe aide les organisations à passer de la stratégie au déploiement prêt pour la production de systèmes agentiques.

Fort d'une solide expérience en matière d'intégration, de conception de flux de travail et d'architectures agentiques, l'équipe soutient le développement de :

• flux de travail basés sur le RAG
• Contrôles avec humain dans la boucle
• Architecture d'agent sécurisée
• Cadre de gouvernance d'entreprise

Les organisations peuvent accélérer l'adoption tout en garantissant que les agents sont déployés avec les mesures de protection, la traçabilité et la supervision opérationnelle appropriées.

Êtes-vous prêt à commencer votre parcours vers l'IA agentique ?

Découvrez comment Jitterbit aide les institutions financières et les assureurs à créer, connecter et faire évoluer des solutions d'IA agentique grâce à des assistants IA, des agents IA et la base d'intégration nécessaire pour rivaliser sur un marché axé sur l'IA.