L'arrivée des agents IA dans les entreprises n'est plus une simple discussion ni un petit pilote isolé.
OutSystems a interrogé près de 1 900 responsables IT dans le monde entre décembre 2025 et janvier 2026. Le constat est net : 96 % des entreprises ont déjà déployé des agents IA sous une forme ou une autre, et 97 % élaborent une stratégie d'agents à l'échelle de l'entreprise.
Vient ensuite le revers du tableau : 94 % des répondants craignent que la prolifération de l'IA augmente la complexité, la dette technique et les risques de sécurité.
Le déploiement va vite. Le contrôle suit beaucoup moins vite.
Qu'est-ce qui prolifère ?
AI sprawl est un terme récent, mais il décrit un problème très concret : le nombre d'agents IA dans l'entreprise augmente rapidement, sans mode de gestion unifié.
Les données illustrent cet écart :
- 38 % des entreprises utilisent à la fois des agents développés en interne et des agents tiers achetés, mélangeant deux systèmes difficiles à gouverner.
- Seules 36 % disposent d'une gouvernance centralisée des agents.
- Seules 12 % utilisent une plateforme unifiée pour gérer la prolifération de l'IA.
Les 88 % restants fonctionnent largement avec des décisions par équipe, des pratiques différentes selon les régions, des dossiers d'accès incomplets et des journaux d'activité dispersés. Beaucoup d'organisations ne peuvent pas dire rapidement quel agent a accédé à quel système, avec quels droits, ni quelle décision il a prise.
Woodson Martin, CEO d'OutSystems, a déclaré que le passage des expériences IA à des résultats métier mesurables n'était plus un sujet d'avenir, mais la réalité que les entreprises affrontent aujourd'hui.
La phrase paraît positive prise seule. Lue avec le chiffre de 94 % d'inquiétude, elle devient beaucoup moins confortable.
L'échéance d'août
Le sujet est particulièrement pressant cette année parce que l'échéance d'application de l'AI Act européen arrive en août 2026.
Pour les entreprises qui déploient des systèmes d'IA, plusieurs exigences sont difficiles à éviter :
Article 9 : une gestion des risques continue et documentée est requise à toutes les étapes du déploiement. En pratique, chaque agent doit avoir une identité unique, un registre de ses autorisations et un historique de ses actions.
Article 13 : lorsqu'un système d'IA tiers est utilisé, le fournisseur doit livrer une documentation suffisante pour permettre de comprendre les sorties du système. Dire que personne ne sait ce que faisait l'agent n'est pas une défense.
Ensemble, ces règles imposent aux entreprises de :
- Tenir un registre de tous les agents, avec leur nombre, leur lieu d'exécution et leurs permissions.
- Conserver tous les journaux d'opérations dans un stockage centralisé et chiffré, plutôt que de reconstituer l'histoire à partir de logs de plateformes isolées.
- Révoquer l'accès d'un agent en quelques secondes si nécessaire.
- Donner aux auditeurs humains assez de contexte pour comprendre les décisions d'un agent, pas seulement un score de confiance.
Le problème est que seules 12 % des entreprises disposent aujourd'hui d'une plateforme unifiée pour le faire.
Les chaînes multi-agents compliquent encore la tâche
Un agent isolé peut encore être suivi. Le modèle plus difficile est la chaîne d'agents : une grande tâche est découpée en dizaines de sous-tâches, plusieurs agents traitent chacun une étape, puis le résultat revient à un humain pour validation.
Dans cette architecture, auditer une seule action suppose de reconstruire toute la chaîne. Chaque étape doit avoir ses entrées et ses sorties enregistrées. Si un problème survient, trouver manuellement le point de responsabilité devient presque impossible.
C'est pourquoi l'écart de gouvernance est particulièrement dangereux dans les scénarios multi-agents.
Des écarts régionaux
L'enquête couvre plusieurs régions, avec de fortes différences de maturité.
| Région | Maturité |
|---|---|
| Inde | La plus mature, avec la plus forte part de déploiements en production |
| Australie | Passage des pilotes à la production |
| Japon | Également en transition des pilotes vers la production |
| Brésil | Niveau intermédiaire |
| Allemagne et Royaume-Uni | Niveau intermédiaire |
Voir l'Inde en tête surprend un peu, mais cela se comprend : un secteur des services IT dense, des coûts d'ingénierie plus bas et une forte acceptation des nouveaux outils peuvent accélérer l'adoption des agents.
Que faire maintenant ?
Les recommandations de l'étude tiennent en trois points :
- Compter d'abord : combien d'agents tournent ? Quels droits ont-ils ? Si la réponse est floue, il faut commencer là.
- Centraliser les logs : chaque action de chaque agent doit laisser une trace consultable au même endroit, et non dans une mosaïque de journaux propres à chaque plateforme.
- Prévoir un coupe-circuit d'urgence : si un agent se comporte mal, peut-on couper son accès en 30 secondes ? Sinon, c'est le premier contrôle à corriger.
Il reste encore quelques mois avant août, mais pour les entreprises qui gèrent les agents avec des pratiques dispersées par équipe, ce délai n'est pas large.
Sources : CocoLoop, Agentic AI Goes Mainstream in the Enterprise, but 94% Raise Concern About Sprawl (OutSystems / Business Wire); Agentic AI's governance challenges under the EU AI Act in 2026 (AI News)