Réponse en bref
Le cas FT-12 applique un agent IA au processus « Cybersécurité, gestion des vulnérabilités ». L’agent corrige de façon autonome les problèmes de code de faible complexité, rend compte, escalade la complexité élevée. Le corpus documente un déploiement chez BNY, agents « ingénieurs numériques » et retient une autonomie cible N3, avec le contrôle suivant : escalade automatique vers un responsable humain au-delà du seuil.
Ce qui est effectivement documenté
Le déploiement est publiquement documenté, mais aucun résultat chiffré suffisamment exploitable n’est attaché à cette fiche. Le cas prouve une mise en œuvre, pas encore un retour sur investissement comparable.
Séparation des faits : le statut décrit la preuve publique recensée. Les gains de coût et de délai ci-dessous sont des notations ordinales de l’étude Acadewie, pas des résultats financiers attribués à l’organisation citée.
Comment fonctionne l’agent
Le dispositif s’appuie sur documents internes, règles de contrôle, tickets, journaux techniques et référentiels de gouvernance. Son rôle doit être décrit par des actions vérifiables et non par une promesse générale d’autonomie.
Le processus « Cybersécurité, gestion des vulnérabilités » dépend d’une collecte, d’une analyse et d’une coordination humaines qui allongent le délai et rendent les reprises difficiles à mesurer.
Corrige de façon autonome les problèmes de code de faible complexité, rend compte, escalade la complexité élevée.
Escalade automatique vers un responsable humain au-delà du seuil.
La règle de conception est de attribuer chaque agent à un propriétaire humain, un périmètre, des droits et des critères d’arrêt. Chaque action doit produire une trace exploitable : données consultées, règle appliquée, sortie proposée, validation et éventuelle correction.
Autonomie et contrôle humain
L’autonomie devient acceptable dans un périmètre fermé, avec seuils, droits limités, journalisation et retour automatique vers un humain.
Contrôle retenu pour ce cas : Escalade automatique vers un responsable humain au-delà du seuil. Ce contrôle doit être défini comme une opération réelle, avec un responsable, un délai et un pouvoir d’arrêt, pas comme une simple mention dans la gouvernance.
Conditions minimales de passage en production
- Limiter les droits de l’agent aux systèmes et opérations nécessaires au cas FT-12.
- Tester les exceptions, les données incomplètes et les tentatives d’action hors périmètre.
- Mesurer les corrections humaines et suspendre l’agent lorsque leur fréquence dépasse le seuil convenu.
- Conserver une piste d’audit reliant chaque sortie aux données et règles utilisées.
Valeur attendue et indicateurs
Le potentiel se situe à la fois dans la compression du délai et dans la réduction du travail répétitif. Le business case doit toutefois convertir le temps libéré en capacité réellement réaffectée.
Les quatre indicateurs à suivre pendant le pilote
- Vulnérabilités corrigées dans le délai cible
- Correctifs rejetés en revue
- Régressions introduites
- Cas escaladés hors seuil
Le calcul économique doit partir d’une unité de travail observable : un dossier, une alerte, un appel, un contrat ou une remise. Le volume, le temps humain avant et après, le coût d’erreur et la capacité réellement réaffectée permettent ensuite de construire un ROI défendable.
Risques et cadre réglementaire
Cadre identifié : DORA ; NIS2 ; gestion du changement.
Le scénario d’échec à éviter est une action non autorisée, une preuve insuffisante ou une dérive silencieuse du périmètre. La maîtrise ne repose donc pas uniquement sur le modèle : elle combine qualité des données, limites d’outils, séparation des droits, tests de non-régression et supervision humaine.
- Documenter la finalité, le propriétaire et les données autorisées avant l’ouverture des accès.
- Vérifier que l’explication fournie permet réellement au contrôleur humain de contester la sortie.
- Prévoir un mode dégradé et une reprise manuelle lorsque la source, l’outil ou le modèle est indisponible.
- Réexaminer le classement réglementaire lorsque le périmètre ou l’autonomie augmente.
Passer du cas d’usage au pilote
La difficulté est intermédiaire. La technologie est accessible, mais les droits d’action, les exceptions et la preuve de contrôle doivent être conçus avant le pilote.
Lecture Acadewie
Ce cas mérite l’attention parce qu’il relie une tâche précise, un niveau d’autonomie et un contrôle humain vérifiable. Sa transférabilité dépend moins d’une démonstration spectaculaire que de la capacité à reproduire les mêmes droits, données, seuils et responsabilités dans une autre institution.
La décision de lancement doit donc répondre à trois questions : l’agent traite-t-il un volume suffisant, son erreur peut-elle être détectée avant de produire un effet irréversible, et le temps libéré sera-t-il réellement réaffecté ? Si l’une de ces réponses manque, le cas reste intéressant mais le business case n’est pas encore fermé.
Source et méthode
Fiche publiée le 8 septembre 2026 à partir du registre Acadewie arrêté au 11 août 2026. Rédaction et analyse : Mounir Fassouane. Cette page distingue les faits publics, les notations de l’étude et les recommandations de déploiement.