Qui doit valider le déploiement d'un agent IA dans l'entreprise : la DSI, les métiers ou le DPO ?

Avec l'arrivée des agents IA sur les plateformes CRM (Agentforce chez Salesforce, copilotes divers), une question revient chez les DSI et directions d'ETI : qui doit autoriser la mise en production d'un agent qui interagit avec des clients ou traite des données ? La réponse n'est jamais une personne unique. Un agent IA touche à la fois à l'expérience client (métier), à la sécurité et l'architecture (DSI) et au traitement de données personnelles (DPO). La validation est donc collective, structurée par une gouvernance claire.

Trois responsabilités distinctes, aucune isolée

Confondre les rôles est la première source de blocage ou, à l'inverse, de risque. Chaque acteur porte une responsabilité qui lui est propre et qu'aucun autre ne peut assumer à sa place.

• Le métier valide la pertinence de l'usage : quels cas d'usage, quel ton, quelles limites de réponse, quel niveau d'autonomie de l'agent (répondre seul ou proposer à un humain).
• La DSI valide la faisabilité technique et la sécurité : accès aux données, intégration au SI, journalisation, coûts d'infrastructure, réversibilité.
• Le DPO valide la conformité au RGPD : base légale du traitement, minimisation des données, information des personnes, sous-traitance et transferts.

Un agent lancé sans l'un de ces trois avis expose l'entreprise soit à un rejet des utilisateurs, soit à un incident de sécurité, soit à un risque juridique.

Ce que valide précisément le métier

Le métier est le commanditaire de l'agent : c'est lui qui définit la valeur attendue. Sa validation porte sur :

• Le périmètre fonctionnel : à quelles questions ou tâches l'agent répond, et lesquelles restent hors champ.
• Le niveau d'autonomie : information seule, action avec confirmation humaine, ou action automatique.
• Les critères de qualité : taux de réponses correctes attendu, gestion des cas inconnus, escalade vers un conseiller.
• Les indicateurs de succès : réduction du temps de traitement, satisfaction client, taux de résolution.

Sans validation métier, un agent techniquement irréprochable peut être inutile ou contre-productif vis-à-vis des clients.

Ce que valide la DSI

La DSI est garante de l'intégrité du système d'information. Son avis conditionne la mise en production sur les points suivants :

• Les accès et habilitations : quelles données l'agent peut lire ou modifier, avec quels droits.
• La sécurité : cloisonnement des données, protection contre les fuites via les prompts, tests d'usage détourné.
• L'intégration : cohérence avec l'architecture existante, absence de flux parallèles non maîtrisés.
• La traçabilité : journalisation des échanges pour audit, supervision et amélioration continue.
• Les coûts et la réversibilité : modèle de facturation à l'usage, capacité à désactiver l'agent sans casse.

La DSI doit aussi anticiper l'entrée en application progressive du règlement européen sur l'IA (AI Act), qui impose des obligations selon le niveau de risque du système.

Ce que valide le DPO

Dès qu'un agent traite des données personnelles (nom, historique client, échanges), le DPO intervient. Sa validation s'appuie sur les principes rappelés par la CNIL et le RGPD :

• La base légale du traitement et sa finalité clairement définie.
• La minimisation : l'agent n'accède qu'aux données strictement nécessaires.
• L'information des personnes : le client doit savoir qu'il échange avec un système automatisé.
• La sous-traitance : contrat avec l'éditeur, localisation des traitements, encadrement des transferts hors UE.
• L'opportunité d'une analyse d'impact (AIPD) lorsque le traitement présente un risque élevé.

La CNIL et la Commission européenne fournissent des ressources publiques utiles pour cadrer ces obligations avant tout déploiement.

La solution : un comité de validation sponsorisé par la direction

Plutôt que d'attendre l'accord successif de chacun, les organisations qui réussissent leur déploiement mettent en place un comité de validation IA réunissant les trois parties. Son rôle :

1. Examiner chaque cas d'usage sur une grille commune (valeur métier, risque technique, risque données).
2. Classer le niveau de risque et décider : déploiement, déploiement conditionné, ou refus.
3. Définir les conditions de suivi (indicateurs, revue périodique, seuil d'alerte).

La direction générale reste l'arbitre final : c'est elle qui porte le risque global et tranche en cas de désaccord entre métier, DSI et DPO. Sans ce sponsor, les projets s'enlisent dans des allers-retours.

Repères pour bien démarrer

Avant de lancer un agent IA, quelques principes limitent les risques :

• Commencer par un périmètre restreint et un cas d'usage à faible risque.
• Prévoir systématiquement une supervision humaine et une possibilité d'escalade.
• Documenter les décisions du comité pour tracer la responsabilité.
• Planifier une revue régulière une fois l'agent en production.

Être accompagné pour cadrer la gouvernance

La mise en place d'un comité de validation et le cadrage des rôles autour d'un agent IA demandent une expérience concrète des déploiements. INTEGREER, en tant que tiers de confiance neutre, met en relation les ETI avec des intégrateurs ayant déjà mené ce type de projet, sans engagement de votre part. L'objectif : vous aider à choisir un partenaire capable de structurer une gouvernance solide, adaptée à votre organisation et à votre niveau de risque.