Auditabilité des décisions des agents IA : le journal dit ce que l'agent a fait, pas sur quoi il a tranché

Glean donne aux agents une identité et un journal d'audit. Le log dit quelle source l'agent a citée, jamais quelle source valide il a écartée.

Le 26 août 2026, Glean a annoncé des « independent agents » dotés de leur propre identité, de permissions provisionnées séparément de celles d’un utilisateur, et d’un journal d’audit propre. Sept mois plus tôt, le 22 janvier 2026, l’IMDA singapourienne publiait un cadre de gouvernance de l’IA agentique qui demande, précisément, que chaque agent porte une identité vérifiable et une trace de qui l’a autorisé à agir.

Les deux mouvements vont dans le même sens et sont une bonne nouvelle : l’agent autonome cesse d’emprunter le compte d’un salarié, il devient une entité identifiable, dont les actions sont enregistrées. Pour un CDO en environnement régulé, c’est la condition d’entrée de tout déploiement sérieux.

Elle ne suffit pas. Ce type de journal enregistre l’action de l’agent, l’identité sous laquelle il a agi, l’heure, la ressource consultée. Il n’enregistre pas ce sur quoi l’agent a tranché. Quand deux documents également valides du corpus se contredisent, aucune ligne de log ne dit qu’un arbitrage a eu lieu, parce que l’agent ne l’a pas vécu comme un arbitrage : il a classé, il a cité la mieux notée, il a agi. Appelons cela le trou d’arbitrage : l’écart entre la trace de ce qu’un agent a fait et la trace de ce qu’il a écarté.

Le test tient en une demi-journée et ne demande aucun outil. Prenez les trois procédures les plus consultées de votre référentiel. Demandez à chaque propriétaire métier de nommer la version qui fait foi aujourd’hui, et la date à laquelle les précédentes ont été retirées de la circulation. Le nombre de fois où la réponse arrive sans hésitation est votre point de départ.

Ce blog a déjà traité la gouvernance des agents eux-mêmes (5 août, sur les cadres d’autonomie) et les obligations de gouvernance des données de l’article 10 de l’AI Act (6 juillet). Le sujet ici est en aval de la première et en amont de la seconde : la reconstitution, six mois plus tard, de la décision documentaire qu’un agent a prise seul. La réponse habituelle des organisations est double, et les deux options se ressemblent plus qu’elles n’en ont l’air. Soit un processus maison : les propriétaires métier relisent leur documentation avant d’ouvrir le corpus à l’IA. Soit l’outil déjà acheté : une plateforme de gouvernance IA ou une brique d’IAM pour agents, qui journalise finement les accès et les actions. Le premier ne passe pas à l’échelle d’un référentiel réel. Le second documente l’agent, jamais le patrimoine documentaire que l’agent consomme.

Ce qu’un journal d’agent enregistre, et ce qu’il ne peut pas enregistrer

Un journal d’audit d’agent est un registre d’événements techniques. Il répond aux questions : quel agent, sous quelle identité, avec quelles permissions, à quelle heure, sur quelle ressource, avec quel résultat. Bien tenu, il permet de rejouer une chaîne d’actions et d’attribuer une responsabilité à un propriétaire humain.

Prenons-le dans sa meilleure forme, celle que les fournisseurs sérieux livrent aujourd’hui : un journal qui consigne non seulement l’action, mais l’identifiant et le numéro de version du document cité, avec un horodatage et une conservation longue. C’est un bon journal, et il change réellement la donne pour une investigation post-incident.

La frontière est là, et elle est nette : sa portée s’arrête à la source citée. L’existence d’une source valide écartée n’y figure à aucun moment. Il indique que l’agent a cité la procédure PROC-4412-v3. Il n’indique pas qu’une version antérieure, jamais retirée de la circulation, portait un seuil différent ; que la note de service de mars, publiée dans un autre espace, disait l’inverse ; ni que les deux documents étaient techniquement valides, non expirés, correctement indexés. Le log est complet du point de vue de l’exécution, et muet du point de vue de l’autorité documentaire.

C’est un problème de couche. La traçabilité de l’exécution se construit au moment où l’agent agit. La traçabilité de l’autorité documentaire se construit avant, sur le patrimoine, une fois pour toutes puis en continu. Aucune quantité de journalisation en aval ne reconstitue une information qui n’a jamais été produite en amont.

Et le décalage n’est pas symétrique. Un humain confronté à deux réponses divergentes hésite, demande, escalade : le doute est un mécanisme de détection, imparfait mais réel. Un agent qui fonctionne en continu et initie ses propres actions ne dispose pas de ce mécanisme. Il arbitre selon un score de pertinence, sans percevoir qu’il arbitre.

Le multiplicateur : d’une réponse fausse à N décisions non rejouables

Tant qu’un humain pose la question, une contradiction documentaire coûte une réponse fausse, à un instant donné, à une personne qui peut douter et vérifier. Le dommage est ponctuel et localisable.

Un agent autonome change l’unité de compte. Le même conflit, non détecté, produit une décision par occurrence, tous les jours, sur tous les dossiers concernés, avec une cohérence parfaite. Chaque décision est individuellement plausible, journalisée, attribuée à un agent identifié. Aucune n’est rejouable, parce que rien dans la trace n’indique qu’une alternative valide existait. C’est un problème d’échelle et de silence, plus que de qualité.

La recherche en récupération d’information a nommé ce cas. Les travaux sur les conflits de connaissance distinguent le conflit entre la mémoire du modèle et le contexte récupéré, et le conflit inter-contexte : entre plusieurs documents récupérés simultanément. Le benchmark ConflictQA, présenté à SIGIR 2026, relève que ce second cas est resté largement sous-étudié alors qu’il est le plus fréquent dans un corpus d’entreprise réel, et mesure qu’informer explicitement le modèle du type de conflit présent améliore nettement l’exactitude de son raisonnement, de l’ordre de vingt points dans son protocole. L’ordre de grandeur vaut pour ce protocole et pas pour votre référentiel ; la mécanique, elle, se transpose. La détection du conflit est un signal séparé, qui doit être produit sur le patrimoine avant l’appel au modèle. Si personne ne l’a produit, le modèle ne l’inventera pas, et le journal ne l’enregistrera pas.

Ce que la traçabilité doit produire pour être opposable

Sur le plan réglementaire, le calendrier européen s’est desserré, sans que les exigences changent de nature. Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet, reporte la conformité des systèmes à haut risque de l’annexe III au 2 décembre 2027, et celle des systèmes embarqués dans des produits déjà couverts par la législation sectorielle (annexe I) au 2 août 2028.

Ce report ne libère rien sur le périmètre en vigueur. Les obligations de transparence s’appliquent depuis le 2 août 2026. Et sur le périmètre haut risque, le contenu des articles reste celui qui a été voté, avec une répartition des rôles qu’il est utile de garder en tête, parce qu’elle détermine ce qui vous restera à faire quand votre fournisseur aura fait sa part. L’article 12 est une exigence de conception, portée par le fournisseur du système : celui-ci doit permettre l’enregistrement automatique des événements sur tout le cycle de vie. Les articles 19 et 26 sont des obligations de déployeur, c’est-à-dire les vôtres : conserver les journaux au moins six mois, et affecter la supervision humaine, exigée par l’article 14, à des personnes compétentes et dotées de l’autorité nécessaire. Un fournisseur peut vous livrer un journal irréprochable au sens de l’article 12 sans qu’aucune de vos décisions documentaires ne devienne pour autant reconstituable. Le report accorde du temps de préparation, et rien d’autre. Pour une organisation dont les systèmes basculeront en haut risque en décembre 2027, l’échéance utile est celle de la mise en état du patrimoine documentaire, qui se compte en trimestres.

Une supervision humaine effective sur une décision documentaire suppose que la personne qui supervise puisse répondre à une question simple : quelle version de quel document faisait foi le jour où l’agent a tranché, et où est la trace de l’arbitrage ? Un journal d’exécution répond à la première moitié. La seconde moitié n’existe que si les contradictions du corpus ont été identifiées, arbitrées et datées en amont, par des experts métier nommés.

C’est le périmètre d’une Document Knowledge Platform (DKP) : la couche de qualité documentaire en amont des systèmes d’IA, articulée en trois temps. Govern, établir la propriété, l’autorité et le cycle de vie de chaque document. Clean, détecter et traiter anomalies, doublons divergents, obsolescence et contradictions. Activate, n’ouvrir le corpus aux systèmes d’IA qu’une fois les deux premiers temps tenus. Ce n’est ni un moteur de recherche d’entreprise de plus, ni une plateforme de gouvernance de modèles : c’est la couche qui s’exécute avant elles, sur le patrimoine qu’elles consomment. Cette position est stable et ne se redéfinit pas au rythme des annonces d’éditeurs ni du calendrier de publication des analystes : la couche documentaire précède le moteur, quel que soit le moteur du trimestre.

Sur le procédé, un point de réassurance qui se traite au moment où on décrit la méthode, et pas en annexe : le diagnostic porte sur le contenu documentaire seul, jamais sur les transcripts d’échanges, les journaux d’usage ou la télémétrie des utilisateurs. Le périmètre d’ingestion est contractuel, et les documents ne sont pas réutilisés pour entraîner des modèles.

Compter les contradictions avant d’accorder le droit d’agir

La mesure est possible, et elle est ennuyeuse au bon sens du terme : elle consiste à compter.

Sur un cas anonymisé du secteur énergie & industrie, un premier diagnostic a identifié 398 conflits dans le référentiel documentaire, dont la résolution a porté la fiabilité des réponses de plus de 90 %. Ces 398 conflits existaient avant tout déploiement d’IA. Aucun n’était visible sans les compter, parce que chaque document, pris isolément, était valide.

Sur un groupe industriel du CAC 40, le même exercice a montré que 32 % de la base était constituée de doublons divergents : remontés en deux semaines, résolus en six. Un doublon divergent est le cas le plus hostile à l’auditabilité d’un agent, parce que les deux versions passent tous les contrôles formels. Le score de pertinence choisit, personne n’est prévenu.

L’ordre des opérations qui en découle est simple. Auditer : compter les contradictions, les doublons divergents et les documents périmés du corpus sur lequel l’agent aura le droit d’agir, avant de le lui accorder. Nettoyer : faire arbitrer chaque conflit par l’expert métier compétent, et conserver la trace datée de l’arbitrage, qui est le seul élément qui rendra la décision de l’agent reconstituable six mois plus tard. Surveiller : reconduire la mesure en continu, parce qu’un corpus se dégrade à chaque publication, et parce que les agents autonomes produisent désormais eux-mêmes des documents.

Avant de donner à un agent une identité, des permissions et le droit d’agir, comptez les contradictions du corpus sur lequel il agira. C’est la seule question que son journal d’audit ne pourra jamais traiter à votre place.

C’est exactement le livrable du diagnostic d’entrée : le compte des contradictions et des doublons divergents de votre référentiel, documentés un par un et routés vers l’expert métier compétent, avec les vingt cas les plus critiques traités en priorité. Validation conjointe du Document Owner métier et du RSSI ou du DPO, jamais de la DSI seule.

Foire aux questions

Un journal d’audit d’agent IA ne suffit-il pas à répondre à un auditeur ?

Il répond à la question de l’action : quel agent, sous quelle identité, sur quelle ressource, à quelle heure. Il ne répond pas à la question de l’autorité : le document cité faisait-il foi, et une version contradictoire coexistait-elle. Cette seconde information doit être produite sur le patrimoine documentaire en amont, elle n’est pas déductible du log.

Nous avons déjà une plateforme de gouvernance IA et une gestion des identités d’agents. Qu’est-ce qui manque ?

Ces briques gouvernent l’agent : son identité, ses permissions, ses actions, son cycle de vie. Elles ne gouvernent pas le patrimoine documentaire qu’il consomme. Le point aveugle typique est le doublon divergent : deux documents valides, non expirés, correctement indexés, qui disent l’inverse. Aucun contrôle d’accès ne le détecte.

Le report de l’AI Act à décembre 2027 nous laisse-t-il attendre ?

Le règlement (UE) 2026/1744 reporte l’échéance haut risque de l’annexe III au 2 décembre 2027 et celle de l’annexe I au 2 août 2028. Les obligations de transparence s’appliquent, elles, depuis le 2 août 2026. Sur le périmètre haut risque, le contenu des exigences n’a pas changé : enregistrement des événements, conservation des journaux, supervision humaine effective. La mise en état d’un référentiel documentaire se compte en trimestres, pas en semaines.

Qui doit valider un diagnostic de corpus dans l’organisation ?

Le Document Owner métier, propriétaire de la douleur et de la décision d’arbitrage, conjointement avec le RSSI ou le DPO, gardien du périmètre. Pas la DSI seule : elle est intégratrice, pas autorité documentaire. Les experts métier restent maîtres de la décision sur chaque conflit ; le diagnostic prépare et route, il ne tranche pas à leur place.

Que contient exactement le périmètre d’un diagnostic, du point de vue de la confidentialité ?

Du contenu documentaire uniquement : ni transcripts de conversations, ni journaux d’usage, ni télémétrie utilisateur. Le périmètre d’ingestion est défini contractuellement, et les documents ne sont pas réutilisés pour l’entraînement de modèles.

Sources

Pour aller plus loin

K-AI Corpus Diagnostic — 10 jours ouvrés, rapport complet des 20 anomalies les plus critiques de votre référentiel documentaire, garantie remboursement si aucune anomalie valable n’est détectée. Pour compter les contradictions du corpus avant d’accorder à un agent le droit d’agir dessus, contactez l’équipe K-AI : contact@k-ai.ai. Le périmètre de chaque diagnostic est validé conjointement par le Document Owner métier et le RSSI/DPO, jamais par la seule DSI.

K-AI accompagne déjà CMA CGM, Veolia, PwC, BNP Paribas, TotalEnergies et CEVA Logistics. Partenaires : AWS, Snowflake, Microsoft, Wavestone, Devoteam.