Outil gratuit · Agents IA

Combien de Shadow Agents chez vous ?

Un agent IA ne répond pas : il agit, avec une identité et des droits. Six questions suffisent à situer l’écart entre les cinq contrôles de gouvernance et ce que vous avez réellement en place.

Ce diagnostic ne scanne pas votre système d’information — une page web n’y a aucun accès, et nous ne prétendrons pas le contraire. Il mesure votre position ; la découverte des agents réellement actifs, c’est l’extension qui la fait.

1. Inventorier

Pouvez-vous dire, aujourd’hui, combien d’agents IA agissent dans votre organisation ?

Agents sur les postes, agents intégrés aux SaaS, connecteurs MCP, automatisations montées par les métiers.

2. Identifier

Chaque agent possède-t-il une identité qui lui est propre ?

Une identité non-humaine dédiée, avec un propriétaire et une expiration — pas une clé partagée, pas le compte d’un salarié.

3. Restreindre

Les droits de vos agents sont-ils limités aux actions dont ils ont besoin ?

Liste blanche d’outils, cloisonnement, et interdiction des actions irréversibles sans validation humaine.

4. Tracer

Pourriez-vous reconstituer ce qu’un agent a fait la semaine dernière ?

Objectif reçu, outils appelés, paramètres, résultats, données touchées — horodatés.

5. Superviser

Existe-t-il un moyen testé d’arrêter un agent qui dérape ?

Un point d’arrêt réellement éprouvé, et des alertes sur comportement anormal. « On débrancherait la clé » ne compte que si quelqu’un l’a déjà fait.

6. RGPD

L’un de vos agents produit-il une décision qui affecte une personne ?

Tri de candidatures, scoring, refus ou priorisation d’un dossier. Si oui, l’article 22 du RGPD s’applique dès aujourd’hui.

Répondez aux six questions. Aucune donnée n’est envoyée : tout est calculé dans votre navigateur.

Pourquoi l’inventaire bloque tout le reste

Les cinq contrôles ne sont pas cinq cases à cocher indépendantes. On n’attribue pas d’identité, on ne restreint pas de droits, on ne trace pas et on ne supervise pas un agent qu’on ne connaît pas. C’est pourquoi ce diagnostic refuse de donner un score quand l’inventaire manque : afficher 4 sur 5 à une organisation qui ne voit pas ses agents serait un chiffre faux.

C’est aussi le constat du CERT-FR dans son bulletin du 13 avril 2026, et de la note CNIL/CIANum du 20 juillet 2026 : le risque naît de ce qui agit sans être vu.

Commencer par la découverte