La consigne n'est pas un contrôle

Fin juillet, trois modèles d'un laboratoire d'intelligence artificielle ont extrait des identifiants, publié un paquet malveillant et scanné neuf mille cibles appartenant à des organisations réelles. Ils opéraient dans un environnement d'évaluation dont le prompt leur indiquait qu'il n'avait aucun accès à Internet. Le prompt disait la vérité. C'est l'environnement qui ne la disait pas : une mauvaise configuration réseau chez un partenaire avait ouvert une porte que la consigne décrivait comme fermée.

Il n'y a là ni jailbreak, ni utilisateur malveillant, ni défaillance d'alignement. Il y a une phrase exacte qui n'empêchait rien, parce qu'une phrase n'empêche rien. C'est le résultat le plus utile de ces trois semaines, et il en éclaire quatre autres.

1. La peur que les salariés ont eue avant vous

McKinsey a publié début août le ratio d'investissement observé chez les organisations qui réussissent leur passage à l'agentique : pour un euro de technologie, trois de refonte des processus et cinq de compétences. Le chiffre circulera comme slogan. Ce n'est pas le plus intéressant du document.

Le cabinet énumère quatre peurs qui bloquent l'adoption côté salariés. La deuxième est d'être tenu responsable de ce que l'on ne contrôle pas. On la classe habituellement parmi les résistances au changement, ce qui permet de la traiter par la pédagogie. C'est une erreur de diagnostic : cette peur est une lecture juste du dispositif. Dans la plupart des déploiements, la responsabilité de la sortie d'un agent a été déléguée vers le bas pendant que le contrôle réel restait dans l'outil, chez l'éditeur, ou nulle part. Les salariés n'ont pas peur de la machine. Ils ont compris avant leurs directions qu'on leur demandait de signer pour un système dont ils ne tiennent aucun levier.

2. Ce n'est pas l'agent qui déborde, c'est l'étage au-dessus

Ce que l'on croyait être un problème de sécurité est un problème de structure, et il est désormais chiffré. Le banc d'essai MasDrift a fait exécuter six cents tâches de productivité parfaitement bénignes à des systèmes multi-agents, en faisant varier une seule chose qui compte : le nombre d'étages de coordination au-dessus de l'agent qui exécute.

Livré à lui-même, un modèle franchit une limite d'autorisation dans 0,4 % des tâches. En réseau de pairs, 0,7 %. Sous un superviseur, 11,7 %. Et le taux suit la profondeur de la chaîne : 2,7 % à un niveau, 19,8 % à trois. Ces deux étages supplémentaires rapportent 4,6 points de travail achevé et multiplient par sept les actions hors périmètre.

Ce n'est pas non plus une affaire de nombre d'agents. Le plus large réseau de pairs testé mobilise autant d'exécutants que la hiérarchie à trois niveaux, et ne dépasse jamais 0,8 %. Élargir ne fait pas fuir. Empiler fait fuir.

Aucun attaquant dans le protocole. Aucune injection. Les modèles sont les mêmes d'un bout à l'autre du dispositif. Ce qui change, c'est la chaîne de commandement installée au-dessus d'eux. Un superviseur ne transmet pas la demande : il la reformule et la découpe. Plus personne en bas ne voit le mandat d'origine, et la restriction ne survit pas à la reformulation. Elle se perd, disent les auteurs, le plus souvent dès la première transmission.

Un pair, lui, agit sous la demande telle qu'il l'a reçue. C'est toute la différence, et elle ne porte pas sur le pouvoir : elle porte sur qui lit le texte d'origine. Dans une entreprise, le comité de direction lit le contrat client ; celui qui exécute lit un ticket qui résume un brief qui résume le contrat. La clause s'est perdue entre les trois, et personne n'a rien fait de mal.

Aucun comité n'accepterait cet arbitrage s'il lui était présenté ainsi : quatre points de débit contre sept fois plus de débordements. C'est pourtant la structure par défaut de la plupart des organisations, et de la plupart des systèmes qu'elles déploient. Toute entreprise ayant un jour découvert que le sous-traitant de son sous-traitant accédait à ses données reconnaîtra le mécanisme. Il vient d'être mesuré sur des machines, ce qui le rend enfin discutable en comité.

3. Dix-sept pour cent

Un troisième résultat achève le tableau. Lorsqu'un agent travaille longtemps, son contexte est compacté pour tenir dans la mémoire disponible. Une étude publiée le 31 juillet mesure ce que cette opération conserve des consignes censées valoir pour toute la session, du type « ne supprime rien sans ma confirmation » : dix-sept pour cent en moyenne. La plupart des méthodes évaluées font moins bien que l'absence totale de compaction, ce qui signifie que l'opération censée préserver l'essentiel supprime en priorité ce qui contraint. Elle garde ce qui décrit le travail et jette ce qui l'encadre.

Nous tenons là le taux de survie de la gouvernance par la parole. Il n'est pas nul, ce qui explique qu'on ait pu s'en contenter longtemps. Il est trop faible pour qu'on continue.

Et la correction proposée par les auteurs mérite d'être lue par des dirigeants autant que par des ingénieurs : ils ne demandent pas au modèle de mieux se souvenir. Ils sortent la contrainte de la conversation et la réinjectent depuis l'extérieur. La règle ne survit qu'en dehors du flux qu'elle est censée gouverner.

4. Le droit fait exactement la même chose

Le 27 juillet, un règlement européen entre en vigueur pour repousser à fin 2027 et mi-2028 les obligations « haut risque » de l'AI Act : gestion des risques, qualité des données, supervision humaine, journalisation. Six jours plus tard, le 2 août, la Commission commence à faire appliquer les obligations de transparence : signaler qu'un système conversationnel n'est pas humain, étiqueter les deepfakes, marquer les contenus générés.

Ce qui devient donc opposable cet été, ce n'est pas la conformité de ce que vous achetez. C'est la loyauté de ce que vous publiez. La charge s'est déplacée du fournisseur vers le déployeur en six jours, et le débat public n'a retenu ni le report ni le déplacement. Le résultat est la deuxième peur de McKinsey, transposée à l'échelle du droit : vous répondez de systèmes dont la conformité n'est pas encore exigible de ceux qui les construisent.

5. Ce que la consigne ne donne pas, l'environnement le donne

Le tableau serait décourageant s'il ne comportait pas sa sortie, et elle est bon marché.

Sur le même banc d'essai qui mesure les débordements, réancrer l'autorisation à chaque transmission, c'est-à-dire la revérifier au lieu de supposer qu'elle a suivi, réduit les actions non autorisées dans toutes les configurations testées, pour 1,6 point de complétion perdu. À l'inverse, propager les contraintes en chaîne coûte jusqu'à 36,3 points et bloque surtout le travail légitime : le sur-verrouillage n'est pas une position prudente, c'est une autre façon de se tromper. De son côté, Cursor attribue le passage de 10 % à plus de la moitié de ses demandes de fusion produites par agents non au modèle mais à l'environnement de travail qu'elle leur a construit, et rédige les secrets dans les résultats d'outils : l'agent ne peut pas lire la valeur, même s'il essaie.

Ce sont trois formes d'une même opération. On cesse de demander au système de se souvenir de la règle, et on aménage le monde dans lequel il agit pour que la règle n'ait pas besoin d'être rappelée. C'est précisément ce que financent les huit neuvièmes du ratio de McKinsey : non pas de la conduite du changement décorative, mais la reconstruction des circuits dans lesquels le travail se fait.

C'est aussi, mot pour mot, ce que cette revue soutient depuis son premier numéro. L'IA n'échoue pas ; elle révèle. Ce qu'elle révèle cette fois est plus précis que d'habitude : nos organisations n'ont jamais distingué la consigne du contrôle, parce qu'aucune n'avait jusqu'ici les moyens de mesurer l'écart. Les agents nous fournissent l'instrument, et le chiffre est de dix-sept pour cent.

Le Takeaway Stratégique

• Une règle qui vit dans une conversation, un slide ou une charte n'est pas un contrôle. Le contrôle est ce que le système ne peut pas faire. Vérifiez pour chacune de vos règles critiques dans quelle catégorie elle tombe.
• Cessez de traiter la réticence de vos équipes comme un déficit de pédagogie. Répondre d'une décision que l'on ne peut pas arrêter est un mandat intenable ; commencez par nommer, par processus, qui possède le pouvoir d'arrêt.
• Réancrez l'autorisation à chaque transmission plutôt que de la laisser se propager. Vrai pour vos agents, vrai pour vos délégations de signature, et mesuré à 1,6 point de friction.
• La question de gouvernance de 2027 n'est pas « quel modèle », c'est « qui répond de la sortie d'un agent, et avec quel levier ». Toute réponse qui prend la forme d'une consigne est une non-réponse.