Agent IA : définition et guide complet

Un agent IA est un système d'intelligence artificielle qui perçoit un contexte, décide d'une suite d'actions et les exécute de façon autonome pour atteindre un objectif, sans validation humaine à chaque étape. Contrairement à un chatbot, qui répond dans une conversation, il agit directement sur des outils, des fichiers ou des workflows, par exemple via une plateforme comme n8n.

Points clés

• Un agent IA combine perception, raisonnement et action : il ne se contente pas de répondre, il exécute.
• La différence essentielle avec un chatbot tient à l'autonomie d'exécution, pas à la qualité du langage.
• Le règlement (UE) 2024/1689, dit AI Act, encadre déjà les systèmes d'IA « à niveau d'autonomie variable », une catégorie qui inclut directement les agents.
• Un agent IA d'entreprise a besoin d'un périmètre d'accès défini, d'une limite de coût et d'une traçabilité complète de ses actions.
• DevKira permet de déployer des agents IA gouvernés, avec accès aux outils par rôle, budgets par utilisateur et journal d'audit systématique.
• La CNIL a publié, avec le Conseil de l'IA et du Numérique, une note exploratoire sur les risques spécifiques de l'IA agentique pour les données personnelles.

Sommaire

• Qu'est-ce qu'un agent IA ?
• Agent IA et chatbot : quelle est la différence ?
• Comment fonctionne un agent IA ?
• 7 exemples concrets d'agent IA en entreprise
• Pourquoi la gouvernance des agents IA est-elle indispensable ?
• Quelles sont les trois postures de souveraineté des données pour un agent IA ?
• Que dit le cadre réglementaire européen sur les agents IA ?
• Comment déployer un agent IA gouverné avec DevKira
• Questions fréquentes

Qu'est-ce qu'un agent IA ?

Un agent IA est un programme fondé sur un ou plusieurs modèles de langage qui reçoit un objectif, planifie les étapes nécessaires pour l'atteindre, puis agit lui-même sur des systèmes externes : il lit un fichier, appelle une API, met à jour une base de données ou déclenche un workflow. Il ne se limite pas à produire du texte, il produit des effets.

Cette capacité d'action est ce qui distingue radicalement l'agent IA des générations précédentes d'outils d'intelligence artificielle. Un modèle de langage seul complète une phrase ou répond à une question. Un agent IA, lui, décompose une tâche complexe en sous-tâches, choisit les outils appropriés pour chacune, exécute, observe le résultat, et ajuste sa prochaine action en fonction de ce résultat. Cette boucle peut se répéter des dizaines de fois avant qu'une intervention humaine ne soit nécessaire.

La définition retenue par le règlement européen

Le règlement (UE) 2024/1689, connu sous le nom d'AI Act, définit un système d'IA comme un système conçu pour fonctionner avec un niveau d'autonomie variable, capable de faire preuve d'adaptativité après son déploiement, et qui déduit de ses données d'entrée la manière de générer des résultats tels que prédictions, contenus, recommandations ou décisions susceptibles d'influencer des environnements physiques ou virtuels (article 3, paragraphe 1). Cette définition, disponible dans le texte officiel publié sur EUR-Lex, a été rédigée pour couvrir explicitement les systèmes agentiques, et pas seulement les modèles conversationnels classiques.

Concrètement, cela signifie qu'un agent IA déployé en entreprise entre potentiellement dans le champ d'application de l'AI Act, avec un niveau d'obligations qui dépend de son usage et du risque associé.

Agent IA et chatbot : quelle est la différence ?

Un chatbot répond à une question dans une conversation ; un agent IA exécute une suite d'actions pour atteindre un objectif, avec ou sans supervision continue. La différence ne se situe pas dans la qualité du langage généré, mais dans la capacité à agir directement sur des systèmes, à enchaîner des étapes et à s'auto-corriger.

Cette distinction a des conséquences directes sur la gouvernance. Un chatbot mal configuré produit, au pire, une réponse incorrecte. Un agent IA mal configuré peut modifier un fichier, envoyer un message, exécuter du code ou déclencher un paiement. Le niveau de risque n'est pas du même ordre, et le niveau de contrôle requis non plus.

Critère	Chatbot classique	Agent IA
Déclenchement	Message de l'utilisateur	Objectif, événement ou planification
Sortie	Texte de réponse	Actions sur des systèmes réels (fichiers, API, workflows)
Autonomie	Aucune entre deux messages	Enchaîne plusieurs étapes sans validation systématique
Mémoire	Limitée à la conversation en cours	Peut persister entre sessions et entre outils
Outils utilisés	Aucun, ou recherche web ponctuelle	Multiples : API, bases de données, applications métier
Risque de gouvernance	Réponse erronée	Action irréversible sur un système ou une donnée
Supervision requise	Relecture du contenu	Périmètre d'accès défini, budget, journal d'audit

Comment fonctionne un agent IA ?

Un agent IA fonctionne selon une boucle en trois temps : il perçoit un contexte, il décide d'une action à partir de ce contexte et des outils disponibles, puis il exécute cette action et observe le résultat avant de recommencer. Cette boucle « perception, décision, action » est ce qui permet à l'agent de traiter des tâches à plusieurs étapes sans intervention constante.

La boucle perception, décision, action

À chaque itération, l'agent reçoit un état actualisé : le contenu d'un fichier modifié, la réponse d'une API, le statut d'une tâche précédente. Il évalue si l'objectif final est atteint. S'il ne l'est pas, il planifie l'étape suivante en s'appuyant sur les outils qui lui ont été explicitement autorisés.

La mémoire et le contexte

Contrairement à un chatbot dont la mémoire se limite généralement à une conversation, un agent IA peut conserver un contexte entre plusieurs sessions : l'historique d'un projet, les préférences d'une équipe, l'état d'un workflow en cours. Cette persistance améliore la pertinence des actions, mais elle élargit aussi la surface de données que l'entreprise doit protéger.

Les outils et les actions

Un agent n'agit jamais dans le vide : il agit à travers des outils qui lui sont accessibles — une API de messagerie, un gestionnaire de code comme Gitea, un outil d'automatisation comme n8n, une base de connaissances interne. C'est précisément ce périmètre d'outils qui doit être défini, restreint et audité pour qu'un agent reste gouvernable.

7 exemples concrets d'agent IA en entreprise

Au-delà de la définition théorique, voici sept usages représentatifs de ce que fait réellement un agent IA dans une organisation, du support client à la conformité documentaire.

1. Agent de support client de premier niveau

L'agent lit un ticket entrant, consulte la base de connaissances interne, rédige une réponse et, si le cas dépasse son périmètre, l'escalade automatiquement vers un humain avec un résumé du contexte déjà rassemblé.

2. Agent d'automatisation de workflow via n8n

Connecté à une plateforme comme n8n, un agent orchestre une chaîne d'étapes entre plusieurs outils métier : réception d'une commande, vérification de stock, génération d'une facture, notification à l'équipe concernée, sans intervention manuelle à chaque maillon.

3. Agent de revue de code

Sur un dépôt Gitea, l'agent analyse une pull request, exécute les tests, signale les vulnérabilités détectées par un outil comme SonarQube et propose des corrections, tout en laissant la fusion finale à un développeur humain.

4. Agent de veille réglementaire

L'agent surveille les publications officielles pertinentes pour l'activité de l'entreprise, en extrait les changements significatifs et produit une synthèse hebdomadaire destinée à l'équipe conformité, avec les sources citées.

5. Agent d'onboarding collaborateur

Dès la première connexion d'un nouvel employé, l'agent provisionne les accès prévus pour son rôle, prépare l'environnement de travail et guide la personne à travers les premières étapes, en respectant les permissions déjà définies par l'IT.

6. Agent d'audit des dépenses IA

L'agent analyse la consommation de tokens par équipe et par modèle, détecte les écarts anormaux par rapport au budget alloué et alerte le responsable concerné avant que la facture mensuelle ne révèle un dépassement.

7. Agent de préparation documentaire pour la conformité

Avant un audit NIS2 ou une revue interne, l'agent rassemble les journaux d'accès, les politiques en vigueur et les preuves de conformité déjà disponibles dans l'environnement de travail, pour constituer un dossier prêt à être relu par un humain.

Pourquoi la gouvernance des agents IA est-elle indispensable ?

La gouvernance des agents IA est indispensable parce qu'un agent qui agit sans périmètre défini peut exposer des données sensibles, engager des actions irréversibles ou contourner une politique interne sans que personne ne le sache avant qu'un dommage ne soit constaté. Un agent capable d'agir est aussi un agent capable de mal agir, à une vitesse qu'aucune revue manuelle ne peut suivre.

Cinq problèmes reviennent systématiquement lorsque des agents IA sont déployés sans cadre : des coûts de licence et d'usage qui ne sont pas suivis, des outils fragmentés entre les équipes métier et l'IT, une qualité de sortie qui varie d'une équipe à l'autre, l'absence de garantie que la politique IA de l'entreprise est réellement respectée, et des modèles puissants utilisés sans maîtrise de la souveraineté des données, les invites et les résultats sortant du périmètre de contrôle de l'entreprise.

La CNIL a documenté ce dernier point de façon détaillée dans sa note exploratoire sur l'IA agentique et les données personnelles, publiée en juillet 2026 avec le Conseil de l'IA et du Numérique. Elle y souligne que les agents IA traitent des volumes de données provenant de sources multiples, construisent des profils d'utilisateurs très détaillés et conservent un historique d'interactions à travers plusieurs services, ce qui complique l'identification claire des responsabilités entre les différents acteurs impliqués.

Quelles sont les trois postures de souveraineté des données pour un agent IA ?

Un agent IA peut fonctionner selon trois postures de souveraineté des données, du modèle grand public masqué au modèle exécuté entièrement sur les serveurs de l'entreprise. Le choix dépend de la sensibilité des données que l'agent va manipuler, pas uniquement de la performance du modèle.

Posture	Ce que cela signifie	Quand l'utiliser
Cloud masqué	Les meilleurs modèles du marché (Claude, GPT) sont utilisés de façon conforme : les données sensibles sont masquées avant de quitter l'environnement de travail	Le niveau minimal pour un usage conforme de l'IA
Souverain UE	Un fournisseur européen (Mistral) sous juridiction de l'Union européenne, qui résout la question du transfert de données et l'exposition au CLOUD Act américain tout en conservant une qualité de modèle élevée	La majorité des données d'entreprise
Sur site	Un modèle à poids ouverts s'exécute entièrement sur les serveurs de l'entreprise, sans qu'aucun tiers n'intervienne dans le traitement	Les données critiques : plans industriels, secrets commerciaux

Un agent IA qui accède à des documents contractuels ou à des données RH ne devrait pas fonctionner sous la même posture qu'un agent qui rédige des brouillons de communication interne. C'est cette granularité, posture par posture et agent par agent, que la gouvernance doit permettre, plutôt qu'un choix unique appliqué indistinctement à tous les usages de l'entreprise.

Que dit le cadre réglementaire européen sur les agents IA ?

Le cadre réglementaire européen s'applique aux agents IA au même titre qu'à tout système d'IA, avec un niveau d'obligations proportionné au risque de l'usage concerné. Trois textes structurent l'essentiel de ce cadre pour une entreprise française.

Le règlement (UE) 2024/1689 classe les systèmes d'IA par niveau de risque et impose des obligations de transparence, de documentation et de supervision humaine plus strictes à mesure que ce risque augmente ; le texte complet est consultable sur EUR-Lex, et la Commission européenne en présente une synthèse sur sa page consacrée au cadre réglementaire de l'IA. La directive NIS2 (UE) 2022/2555, en son article 21, impose aux entités essentielles et importantes des mesures de gestion des risques cybersécurité, dont le contrôle des accès — un principe qui s'applique directement à un agent connecté aux systèmes internes de l'entreprise, disponible dans son texte officiel sur EUR-Lex. Enfin, le RGPD encadre tout traitement de données personnelles effectué par un agent, qu'il s'agisse de la base légale du traitement ou du statut de sous-traitant du fournisseur de modèle.

L'ANSSI recommande par ailleurs une approche de sécurité par défaut, limitant les accès au strict nécessaire, une exigence qui s'applique pleinement à un agent capable d'agir sur les systèmes de l'entreprise, détaillé sur cyber.gouv.fr. Aucun de ces textes n'impose ni ne garantit une qualification comme SecNumCloud : cette qualification, délivrée exclusivement par l'ANSSI, reste un cadre de référence pour l'hébergement souverain, distinct de la conformité réglementaire générale d'un agent IA.

Comment déployer un agent IA gouverné avec DevKira

DevKira permet de déployer des agents IA dans un environnement de travail unique où les équipes Business et IT opèrent avec les mêmes garde-fous, plutôt que de laisser chaque équipe brancher ses propres outils sans coordination. Chaque agent hérite des règles définies pour l'un des six rôles de la plateforme DevKira : Expert IT interne, Analyste métier, Ingénieurs IA & Data, Data Scientist et Prompt Engineer, Chef de projet, ou Consultant Politique & Conformité.

Concrètement, un agent construit dans DevKira passe par une passerelle LLM unique donnant accès à plusieurs fournisseurs de modèles avec une clé virtuelle par utilisateur, ce qui permet d'attribuer précisément chaque requête à une personne, un modèle et un coût. L'accès réseau de l'agent passe par un proxy sortant authentifié : seules les destinations explicitement autorisées sont accessibles, tout le reste est refusé par défaut, et une nouvelle destination peut être demandée via une Egress Request approuvée automatiquement si elle présente un faible risque. Le catalogue d'outils intégrés, dont n8n pour l'automatisation de workflows, Gitea pour le code et Jenkins pour l'intégration continue, s'active en un clic et reste versionné de façon centralisée. Ces capacités de gouvernance transforment un agent IA d'expérience isolée en composant traçable de l'environnement de travail de l'entreprise.

Pour un pas-à-pas complet de mise en œuvre, notre guide comment créer un agent IA étape par étape détaille la configuration technique, le périmètre d'accès et les limites de coût à poser avant la mise en production. Pour une lecture centrée sur l'usage quotidien plutôt que sur la définition, l'article ce qu'un agent IA fait concrètement en entreprise complète cette vue d'ensemble par des cas d'usage détaillés.

Questions fréquentes

Qu'est-ce qu'un agent IA ?

Un agent IA est un système d'intelligence artificielle qui perçoit un contexte, planifie une suite d'actions et les exécute de façon autonome pour atteindre un objectif, en s'appuyant sur des outils externes comme des API ou des workflows. Il se distingue d'un simple modèle conversationnel par sa capacité à agir directement sur des systèmes réels, pas seulement à produire du texte.

Quelle est la différence entre un agent IA et un chatbot ?

Un chatbot répond à une question dans une conversation ; un agent IA exécute une chaîne d'actions pour atteindre un objectif, avec une mémoire persistante et un accès à plusieurs outils. La différence porte sur l'autonomie d'exécution, ce qui change fondamentalement le niveau de risque et de gouvernance requis.

Un agent IA peut-il agir sans validation humaine ?

Oui, c'est précisément ce qui définit un agent IA : il peut enchaîner plusieurs actions sans validation à chaque étape. C'est pour cette raison qu'un périmètre d'accès strict, des limites de coût et un journal d'audit complet sont indispensables avant toute mise en production.

Quels outils permettent de créer un agent IA en entreprise ?

Des plateformes d'automatisation comme n8n permettent de construire des agents connectés à des outils métier existants, tandis qu'une passerelle LLM unifie l'accès aux modèles sous-jacents (Claude, GPT, Mistral). L'essentiel est que ces outils s'intègrent à un environnement gouverné plutôt que de rester des scripts isolés.

Un agent IA est-il soumis à l'AI Act européen ?

Un agent IA entre dans le champ du règlement (UE) 2024/1689 dès lors qu'il correspond à la définition d'un système d'IA à autonomie variable prévue à l'article 3. Le niveau précis d'obligations dépend ensuite du niveau de risque associé à son usage concret, pas de sa seule nature technique.

Comment sécuriser les accès d'un agent IA aux données de l'entreprise ?

La sécurisation passe par un périmètre d'accès explicite, un contrôle réseau par liste d'autorisation plutôt que par blocage a posteriori, et une traçabilité complète de chaque action entreprise par l'agent. Ce principe rejoint les recommandations générales de l'ANSSI sur l'accès limité au strict nécessaire.

Combien coûte le déploiement d'un agent IA en entreprise ?

Le coût dépend du volume de tokens consommé par l'agent, du modèle sous-jacent choisi et du nombre d'agents actifs. Sans suivi par utilisateur et par modèle, ce coût reste souvent invisible jusqu'à la facture mensuelle, ce qui rend la mesure et l'attribution des dépenses aussi importantes que le choix technique de l'agent.

Prochaine étape

Un agent IA bien conçu accélère des tâches réelles ; un agent IA mal gouverné devient un point de risque que personne ne surveille. La différence tient rarement à la technologie choisie, et presque toujours au cadre dans lequel elle opère : périmètre d'accès, budget, traçabilité. Pour voir comment poser ce cadre dans votre organisation avant le premier déploiement, réservez une démonstration DevKira ou poursuivez avec notre guide pratique sur la gouvernance des données au quotidien.