Les agents IA entrent dans tes outils : trois règles à fixer avant de les laisser agir
Par Anis Hammouche·6 juillet 2026
Un agent IA ne se contente pas de répondre : il agit dans les outils où tu le branches, les tiens ou ceux d'un client. Son erreur ne reste donc plus dans une fenêtre de discussion, elle part dans le système. Avant de le laisser faire, fixe trois choses par écrit : ses droits, les données qu'il voit, et les actions qui attendent un humain.
Prends Léa, développeuse freelance (un cas inventé, comme tous les détails de cet exemple). Une boutique de céramique en ligne, tenue par deux personnes, lui demande de brancher un agent sur sa boîte de support. Le client dit « il peut tout faire ». Léa se demande ce que « tout » veut dire le jour où l'agent répond au mauvais client, ou rembourse une commande qui ne devait pas l'être.
D'un assistant qui répond à un assistant qui agit
Un chatbot classique fonctionne en vase clos. Tu lui décris un problème, il produit du texte, et c'est toi qui décides quoi en faire. Rien ne bouge dans tes systèmes sans ton geste. Un agent reçoit au contraire un accès à des outils et un objectif, puis il enchaîne les actions pour l'atteindre.
Deux annonces de Google, fin juin 2026, montrent la direction. Le 24 juin, Google a présenté l'usage d'ordinateur (« computer use ») comme outil intégré à Gemini 3.5 Flash : des développeurs peuvent bâtir des agents qui voient un écran, raisonnent et agissent sur un navigateur, un mobile ou un bureau. Le 30 juin, Google a annoncé des mises à jour de Gemini Spark : de nouvelles applications connectées, dont Canva, Dropbox, Google Tasks et Google Keep, la prise en charge de serveurs MCP personnalisés, le suivi de sujets en temps réel, et une version pour Mac en bêta, réservée aux abonnés Google AI Ultra aux États-Unis. Je décris ces annonces d'après les pages de Google, pas d'après un test.
Tu n'utiliseras peut-être aucun de ces produits. Ce qui compte, c'est le schéma : l'assistant ne rédige plus un brouillon que tu relis, il trie des fichiers, envoie un message, met à jour une fiche. Chaque action touche la réalité, pas un brouillon.
Pourquoi agir vaut plus, et coûte plus, que répondre
Une bonne partie du travail consiste à faire circuler de l'information d'un outil à un autre : lire une demande, retrouver un dossier, mettre à jour un tableau, prévenir quelqu'un. Un agent qui fait cette navette supprime la partie la plus répétitive, celle où un humain sert de passerelle entre deux logiciels.
Mais ce qui fait sa valeur fait aussi son risque. Un chatbot qui se trompe produit une phrase fausse que tu corriges avant usage. Un agent qui se trompe exécute une action fausse dans un système réel : il écrit une mauvaise donnée, envoie un message au mauvais destinataire, modifie ce qu'il ne fallait pas toucher.
La bonne question n'est donc pas « l'agent est-il capable », mais « que se passe-t-il quand il se trompe, et qui l'arrête à temps ». Pour Léa, c'est aussi une question de responsabilité : c'est elle que le client appellera.
Chatbot qui répond ou agent qui agit : ce qui change vraiment
| Dimension | Chatbot qui répond | Agent qui agit |
|---|---|---|
| Ce qu'il fait | Produit du texte, tu décides ensuite | Exécute des actions dans les outils |
| Utilité | Te fait gagner de la rédaction et de la recherche | Te fait gagner l'exécution complète d'une tâche |
| Risque | Une réponse fausse, corrigée avant usage | Une action fausse, déjà passée dans le système |
| Ce qu'il faut cadrer | Peu : tu restes le dernier maillon | Beaucoup : droits, données, validation des actions |
La colonne de droite n'est pas la colonne de gauche en plus puissant. C'est un autre régime de responsabilité. Avec un chatbot, tu es toujours le dernier maillon avant l'action. Avec un agent, ce maillon disparaît par défaut, sauf si tu le remets en place volontairement.
Trois règles à fixer avant de laisser un agent agir
Cadrer un agent ne demande pas d'expertise technique pointue. Cela demande de trancher trois questions, dans l'ordre. Google ne dit pas autre chose pour son outil : dans l'annonce de l'usage d'ordinateur, l'entreprise propose des garde-fous optionnels (demander une confirmation explicite pour les actions sensibles ou irréversibles, arrêter la tâche si une injection de prompt indirecte est repérée) et conseille de les combiner avec un bac à sable, une vérification humaine et des contrôles d'accès stricts. Une injection de prompt indirecte, c'est une instruction cachée dans un contenu que l'agent lit, comme un email ou une page web, et qu'il prend pour un ordre.
L'OWASP, qui tient la liste de référence des risques des applications à base de modèles de langage, classe ce danger sous le nom d'« Excessive Agency » et lui donne trois causes : trop de fonctions, trop de permissions, trop d'autonomie. Ses exemples ressemblent au cas de Léa : un outil censé résumer une boîte mail n'a besoin que de la lire, pas d'y supprimer ou d'y envoyer des messages, et une action à fort impact doit être confirmée par l'utilisateur. Les trois règles ci-dessous répondent à ces trois causes.
| Règle | La question à poser | Pour la boutique de Léa (cas inventé) |
|---|---|---|
| Les droits | À quoi l'agent a-t-il accès, et pas plus ? | Il lit et classe les messages de support. Il ne supprime rien et ne touche pas à la caisse. |
| Les données | Que voit-il, et où ça part ? | Les emails contiennent noms, adresses et numéros de commande. Le client décide si ces données peuvent passer par le fournisseur choisi. |
| La validation humaine | Qu'est-ce qui ne part jamais tout seul ? | Il prépare un brouillon de réponse. Une personne envoie, et valide tout remboursement. |
Les droits : à quoi il a accès. Un agent ne devrait recevoir que les accès strictement nécessaires à sa tâche. Un agent qui trie des demandes entrantes n'a pas besoin de supprimer des dossiers. Si tu le branches chez un client, demande un compte dédié avec un rôle limité plutôt que le compte du patron : tu sais alors exactement ce qu'il peut faire, et tu sais le couper sans toucher au reste. Un agent avec des droits larges « au cas où » est un risque large lui aussi.
Les données : ce qu'il voit et manipule. Avant de brancher un agent, sache quelles données il va lire et transformer, et où elles vont. Des données clients ne se confient pas comme une liste de tâches anodine. La question est concrète : si cette donnée fuitait ou était modifiée par erreur, quel serait le dégât ? Pour ce qu'une personne colle dans un assistant grand public, relis ce que tu colles dans ChatGPT ou Claude gratuit ; pour les catégories à ne jamais confier, il y a ce qu'il ne faut jamais confier à une IA grand public.
La validation humaine : ce qui ne part jamais tout seul. Toutes les actions ne se valent pas. Classer une demande ou préparer un brouillon peut se faire en autonomie. Envoyer un message à un client, valider un paiement, modifier un dossier officiel doit passer par un humain qui confirme. Tu n'as pas à choisir entre « tout automatique » et « rien automatique » : tu traces une ligne. En dessous, l'agent agit seul ; au-dessus, il propose et un humain valide.
Ces trois règles ne freinent pas l'agent, elles le rendent déployable. Pour t'aider à les écrire noir sur blanc, voici une fiche à remplir avant de brancher quoi que ce soit, pour toi ou pour un client.
Tâche confiée à l'agent : [une phrase]
Outil où il agit : [nom de l'outil]
DROITS
- Il peut : [lire / classer / rédiger un brouillon]
- Il ne peut pas : [envoyer / supprimer / rembourser / payer]
- Compte utilisé : [compte dédié avec rôle limité, pas le compte du patron]
DONNÉES
- Il lit : [types de données]
- Données sensibles dans le lot : [oui ou non, lesquelles]
- Où elles transitent : [fournisseur, pays si connu]
- Si l'une fuitait ou changeait par erreur : [le dégât, en une phrase]
VALIDATION HUMAINE
- Il agit seul sur : [liste]
- Il attend un humain pour : [liste]
- Qui valide, et sous quel délai : [prénom, délai]
- Comment l'arrêter : [bouton, accès à retirer]
Questions fréquentes
Un agent IA, c'est juste un chatbot plus avancé ? Non, c'est une catégorie différente. Un chatbot produit du texte que tu utilises ensuite, un agent exécute des actions dans les outils à ta place. La différence n'est pas la puissance, c'est la responsabilité : avec un chatbot, tu es le dernier maillon avant l'action ; avec un agent, ce maillon disparaît par défaut. C'est précisément ce qu'il faut décider de remettre en place.
Faut-il des compétences techniques pour cadrer un agent ? Pas pour les décisions de fond. Fixer les accès autorisés, trier les données sensibles et décider quelles actions passent par un humain sont des décisions de propriétaire de l'activité, pas de développeur. La partie technique vient après, pour appliquer le cadre posé : créer un compte à rôle limité, par exemple, demande en général l'aide de la personne qui administre l'outil. Si personne ne pose ce cadre en amont, aucun outil ne le posera à ta place.
Est-ce risqué de déployer un agent maintenant ? Le risque vient d'un déploiement sans cadre. Un agent avec des droits larges et aucune validation sur les actions sensibles est risqué. Le même agent, avec un périmètre minimal et une validation humaine sur ce qui compte, devient un outil que tu maîtrises. Le bon moment pour déployer, c'est quand le cadre est écrit, pas quand la démo impressionne.
Par où commencer sans tout ouvrir d'un coup ? Par une seule tâche, bien délimitée, à faible enjeu. Tu cadres ses droits, ses données et son niveau de validation, tu la fais tourner, tu observes. Un agent qui fait bien une tâche cadrée vaut mieux que dix agents lâchés partout sans périmètre.
Sources
- Google, Introducing computer use in Gemini 3.5 Flash (24 juin 2026, lu le 1er novembre 2026)
- Google, Gemini Spark updates: macOS launch, connected apps and more (30 juin 2026, lu le 1er novembre 2026)
- OWASP Gen AI Security Project, LLM06:2025 Excessive Agency (lu le 1er novembre 2026)
Léa, son client et la boutique de céramique sont fictifs.
La suite logique, c'est Tes petits tickets traînent : confie-les à un agent de code et relis sa pull request, où les mêmes trois règles s'appliquent à un agent qui touche à du code. Je publie ce genre de cadrage dans ma newsletter, tu peux t'inscrire juste en dessous.