Agents IA d'entreprise : pourquoi les garde-fous comptent plus que les prompts

La conversation autour des agents IA est saturée de démonstrations spectaculaires : « regardez, l'IA a créé un site en 20 minutes ». En entreprise, la question n'est jamais « peut-elle le faire ? », c'est « peut-on lui faire confiance sur ce périmètre ? ». La réponse tient dans un mot : garde-fous.

Trois familles de garde-fous

1. Garde-fous d'accès (qui peut faire quoi)

Chaque plugin Rapido déclare finement les permissions dont il a besoin. Rapido CRM peut lire les contacts et créer des devis, il ne peut pas lire les fiches de paie. Cette segmentation, imposée par le protocole MCP, empêche qu'un agent marketing accède à des données RH — même si un utilisateur maladroit le lui demande.

2. Garde-fous d'action (qu'est-ce qui part vraiment)

Certaines actions ne doivent jamais partir sans validation humaine : publication publique, paiement, envoi massif, suppression. Chaque skill Rapido déclare son niveau de risque. Les actions à risque déclenchent un hook `require_human_review` qui gèle l'action, envoie une notification au bon rôle, et attend un OK explicite.

3. Garde-fous de traçabilité (que s'est-il passé)

Chaque appel MCP est journalisé : quelle skill, quels paramètres, quel résultat, quel humain a validé. Ce log est requêtable depuis rapido-direction et exportable en cas d'audit. Pour un DPO, un dirigeant ou un commissaire aux comptes, c'est la différence entre « je crois que ça a marché » et « voici la preuve ».

Le budget humain : le meilleur garde-fou

Un hook particulier mérite un paragraphe : le budget d'attention humaine. Un agent qui déclenche 40 validations par jour va rapidement obtenir un « oui » automatique — donc plus aucune vraie validation. Nos hooks sont calibrés pour ne réveiller un humain que sur ce qui compte vraiment. C'est un travail d'orfèvre, refait pour chaque déploiement.

« Nos hooks refusent 3 % des actions. Ce sont exactement les 3 % qui auraient posé problème. »

Comment évaluer un fournisseur d'IA d'entreprise

Cinq questions à poser à tout vendeur d'agent IA avant de signer :

• Comment vos agents savent-ils qu'ils n'ont pas le droit de faire quelque chose ?
• Quelles actions déclenchent obligatoirement une validation humaine ?
• Où sont journalisées les actions et pendant combien de temps ?
• Que se passe-t-il si un utilisateur demande à contourner un garde-fou ?
• Vos hooks sont-ils configurables par le client ou codés en dur ?

Si le vendeur bafouille sur trois de ces cinq questions, ce n'est pas encore un produit d'entreprise. Chez Rapido Plugins, chacune a une réponse écrite dans la documentation sécurité.