En septembre, une direction juridique d'un grand groupe m'a demandé de cadrer un agent de suivi du droit des sociétés : calendrier des échéances, modèles à jour, check-lists, contrôle de complétude avant les formalités. Avant même de parler d'outil, la juriste référente a posé une condition : une validation humaine systématique, la sienne.
Elle n'était pas méfiante envers l'IA. Elle savait simplement qu'en cas d'erreur sur une formalité, c'est son nom qui serait en cause. Elle voulait que la responsabilité reste visible.
Beaucoup d'entreprises n'ont pas eu ce réflexe.
Ce que montre l'étude Deloitte
Le Deloitte AI Institute a publié le 29 octobre son enquête The State of AI in the Enterprise, menée auprès de 3 500 dirigeants dans 25 pays. Trois chiffres méritent l'attention d'un comité de direction.
- 40 % des entreprises laissent déjà l'IA exécuter des décisions sans approbation humaine, au moins en partie.
- 23 % déclarent que la responsabilité reste floue quand un système d'IA produit un mauvais résultat.
- 15 % seulement constatent un changement significatif dans l'autorité de décision liée à l'IA.
Lus ensemble, ces chiffres décrivent un décalage. L'IA agit déjà, mais l'organisation n'a pas bougé. Les décisions changent de mains sans que les rôles, les délégations et les circuits de validation aient été revus.
L'étude montre aussi que l'usage progresse : 81 % des entreprises disent décider et exécuter plus vite, et 28 % déclarent des gains de revenus liés à l'IA, contre 20 % en janvier. La question n'est donc pas de freiner. Elle est de savoir qui porte ce qui est délégué.
Pourquoi la question arrive maintenant
Pendant deux ans, l'IA générative a surtout rédigé, résumé et proposé. Un humain relisait avant d'envoyer. La responsabilité restait naturellement chez lui.
Les agents changent la donne. Ils arrivent dans les outils que les entreprises paient déjà, et ils agissent : mettre à jour une fiche, classer une demande, déclencher un rappel, préparer un paiement. Certains s'exécutent sans qu'un humain intervienne à chaque étape.
Les équipes de sécurité le voient venir. Selon l'étude Okta Global CISO Insights 2026, citée par le Journal du Net le 19 octobre, 81 % des responsables sécurité s'inquiètent des accès excessifs accordés à l'IA, mais 47 % seulement disent pouvoir identifier tous les agents présents dans leur environnement.
Un agent que l'on ne sait pas recenser est un agent dont personne ne répond.
Trois niveaux de délégation, trois niveaux de contrôle
Toutes les décisions ne se valent pas. Je propose aux directions métier de classer chaque usage dans l'un de ces trois niveaux.
Niveau 1. L'IA informe. Elle résume, alerte, prépare une synthèse. L'humain décide et agit. Le contrôle porte sur la qualité de l'information. Exemple : une alerte sur une échéance contractuelle.
Niveau 2. L'IA propose. Elle prépare une décision complète, que l'humain valide avant exécution. Le contrôle porte sur la validation : qui valide, en combien de temps, avec quel droit de refus. Exemple : un projet de réponse à une réclamation client.
Niveau 3. L'IA exécute. Elle agit seule, dans des limites fixées. Le contrôle porte sur les limites et sur la trace. Exemple : le classement automatique des demandes entrantes vers la bonne équipe.
Le passage d'un niveau à l'autre est une décision de direction, pas un réglage technique. C'est là que se joue la responsabilité.
Une règle simple : un responsable nommé par décision déléguée
Pour chaque usage de niveau 2 ou 3, une fiche d'une page suffit. Elle répond à six questions.
- Quelle décision est déléguée, en une phrase ?
- Qui en répond : une personne nommée, dans le métier, pas « l'IT » ni « le projet » ?
- Quelles limites : montant, périmètre, type de dossier, au-delà desquels l'humain reprend la main ?
- Quelle trace : où retrouve-t-on ce que l'IA a fait, et pourquoi ?
- Quel signal d'alerte : quel incident fait revenir l'usage au niveau inférieur ?
- Quelle revue : à quelle date, et par qui, la délégation est-elle réexaminée ?
Cette fiche sert à trois directions à la fois. Le juridique y trouve la chaîne de responsabilité. La finance y trouve les limites d'engagement. La DSI y trouve l'inventaire des agents et de leurs accès.
Ce que le droit demande déjà
Le règlement européen sur l'IA ne réglemente pas les agents en tant que catégorie, rappelle le Journal du Net. Il impose en revanche de pouvoir identifier, superviser et contrôler les systèmes déployés, selon leur niveau de risque.
Pour les systèmes à haut risque, le texte prévoit un contrôle humain (article 14) et des obligations pour les organisations qui les déploient (article 26). Selon une tribune publiée par Maddyness le 28 octobre, la révision dite Omnibus a reporté l'essentiel de ce chapitre au 2 décembre 2027.
Ce délai est une chance. Il laisse le temps de construire des règles de délégation qui servent d'abord l'entreprise, avant qu'elles ne deviennent une obligation de conformité.
Par où commencer
Si vous ne deviez faire qu'une chose ce mois-ci : demandez à chaque direction la liste des usages où l'IA agit sans validation, même partielle. Pour chacun, posez une seule question : qui en répond ?
Les usages sans réponse sont votre priorité. Ce ne sont pas forcément les plus risqués, mais ce sont ceux où personne ne verra venir le problème.
La juriste qui exigeait sa validation n'a pas ralenti le projet. Elle l'a rendu possible, parce que chacun savait qui tenait la décision.
Je construis ces règles de délégation avec les directions métier, le juridique et l'IT, de l'inventaire à la revue. Parlons de vos usages.
Sources
- Enterprise AI Enters an ROI Reckoning: More Use, Uneven Value, Deloitte AI Institute, 29 octobre 2026
- AI Act : les entreprises ont-elles encore le temps de préparer la gouvernance de leurs agents IA ?, Journal du Net, 19 octobre 2026
- Formation IA en entreprise : les exigences de l'AI Act, Maddyness, 28 octobre 2026