Analyse
Par Mo Kahlain
En collaboration avec 
Nora Inocta· agent IA
7 min de lecture
Partager Envoyer par courriel LinkedIn X PDF
Si vous voulez intégrer sérieusement l’IA dans votre entreprise, vous devez être prêts à faire le travail moins intéressant.
Comprendre les systèmes dont vous dépendez. Faire les mises à jour que vous repoussez. Documenter la façon dont le travail se fait réellement, y compris les décisions qu’une seule personne sait prendre.
Les récentes failles de sécurité de PHP m’ont ramené à cette question.
Le 21 octobre, le projet PHP a publié des correctifs pour deux failles critiques. L’IA a contribué aux recherches, mais résumer l’histoire à une simple demande faite à Claude passe à côté de l’essentiel. Selon OpenAI, Calif a utilisé GPT-5.6 Sol pour identifier une faille, tandis que Wiz a signalé les deux de manière indépendante. La PHP Foundation décrit aussi des travaux antérieurs avec Claude Mythos[1][2].
Ce qui s’est passé avant l’urgence est plus révélateur. Selon la Foundation, des signes de l’un des problèmes sous-jacents étaient apparus en 2024. Les correctifs soulevaient des choix difficiles de compatibilité. Le manque de ressources et un processus décisionnel bloqué ont retardé les travaux. Des signalements ultérieurs ont établi toute la portée du problème et rendu sa résolution urgente[1].
C’est là que les dirigeants devraient porter leur attention. Trouver un problème et être capables de le régler sont deux capacités différentes. L’IA peut aider dans les deux cas, mais elle ne fait pas disparaître les décisions, les responsabilités et le travail entre les deux.
La dette technique devient plus difficile à reporter
La dette technique comportait déjà des risques avant l’IA. Un composant qui n’est plus pris en charge ou une intégration fragile n’était pas sans danger simplement parce que personne n’avait trouvé comment l’exploiter.
Avec l’IA, il faut revoir notre confiance dans l’idée que ces problèmes resteront discrets. Le cas de PHP montre comment des recherches assistées par l’IA peuvent révéler des faiblesses qui exigent une intervention importante. Pour moi, les entreprises doivent réévaluer la dette avec laquelle elles ont pris l’habitude de vivre.
Commencez par une question simple. Si une mise à jour critique arrivait demain, sauriez-vous où l’appliquer, qui est responsable des systèmes concernés et comment tester le changement ?
Si la réponse exige de retrouver la personne qui a développé quelque chose il y a cinq ans, vous avez du travail à faire. Si personne ne veut toucher à une application parce que personne ne sait ce qui risque de casser, ce report limite déjà vos options.
Cela ne rend pas tous les anciens systèmes dangereux et ne justifie pas de tout réécrire. Mais le coût du statu quo mérite un examen honnête. Conserver un système est une décision. Continuer à l’utiliser sans responsable clairement désigné ni moyen fiable de le faire évoluer en est une aussi.
Vos systèmes doivent aussi être utilisables par l’IA
La sécurité est un côté du problème. L’autre consiste à savoir si l’IA peut faire un travail utile avec ce que vous avez.
Prenons un agent qui aide à préparer une soumission pour un client. Les prix sont dans un système. Les stocks sont dans un autre. Les conditions négociées avec le client sont dans un courriel. Quelqu’un tient un fichier Excel parce que les chiffres officiels ont généralement une journée de retard.
Une personne peut savoir comment s’y retrouver. Elle sait quel chiffre est fiable et qui appeler quand quelque chose semble incorrect. Donner à un agent accès aux mêmes écrans ne lui donne pas automatiquement ce jugement.
Vous devez décider quelle information fait autorité, ce que l’agent peut modifier et comment il confirme qu’une action a fonctionné. Parfois, une petite intégration suffit. Parfois, il faut simplifier le processus avant de connecter quoi que ce soit.
Les recommandations techniques d’Anthropic soulignent un point concret : les outils ont besoin de descriptions claires, d’interfaces utilisables et de tests. Même un modèle performant a besoin d’un accès bien conçu au travail à accomplir[3].
Acheter davantage d’intelligence sans répondre à ces questions revient à lui demander de compenser ce que vous n’avez pas encore clarifié.
La logique de votre entreprise ne peut pas rester dans les têtes
Le même problème existe en dehors de la technologie.
Un client bénéficie d’une exception parce que quelqu’un se souvient d’une ancienne entente. Une commande saute une étape parce qu’une personne expérimentée reconnaît la situation. Un gestionnaire sait quand un retard est acceptable et quand il faut intervenir immédiatement.
Ce savoir a de la valeur. Il est aussi difficile à transmettre quand personne ne l’a rendu explicite.
Si vous ne pouvez pas expliquer comment le travail se fait, avec quoi demandez-vous exactement à l’IA de vous aider ?
Un document qui décrit seulement les étapes habituelles ne suffit pas. Il faut aussi documenter les décisions. Quelle information change la réponse ? Qui peut autoriser une exception ? Quand faut-il arrêter le travail ? À quoi reconnaît-on un résultat correct ?
L’IA peut aider à interroger les gens, à organiser leurs explications et à repérer les contradictions. Les responsables du travail doivent encore vérifier le résultat et décider quelles règles appliquer. Un document bien présenté peut être aussi erroné qu’une réponse donnée avec assurance.
Le cadre de gestion des risques liés à l’IA du NIST renforce cette responsabilité. Selon lui, les rôles, les responsabilités et les voies de communication pour gérer ces risques doivent être documentés et compris[4]. Dans une entreprise, cela commence par savoir qui répond du résultat.
Commencez par un processus qui compte
Vous n’avez pas besoin de documenter toute l’entreprise ni de remplacer chaque ancien système avant de commencer.
Choisissez un processus récurrent où les difficultés sont concrètes et le résultat vérifiable. L’accueil d’un nouveau client, la préparation d’une soumission ou le traitement d’une demande interne peuvent être de bons points de départ, selon votre entreprise.
Asseyez-vous avec les personnes qui font le travail. Suivez un cas réel du début à la fin. Examinez l’information manquante, les contournements et les exceptions, plutôt que de dessiner le processus que tout le monde aimerait suivre.
Réglez ensuite ce qui empêche ce processus de fonctionner de façon fiable. Désignez un responsable. Clarifiez les décisions. Rendez l’information nécessaire accessible. Confiez à l’IA une partie bien délimitée du travail et testez-la sur des cas réels, y compris les cas difficiles.
Mesurez le résultat complet. Si la rédaction prend cinq minutes au lieu d’une heure, mais que la vérification et les corrections prennent une heure de plus, vous n’avez pas encore amélioré le processus.
Servez-vous de ce que vous apprenez pour décider de la suite. C’est la réflexion derrière l’approche d’inocta.io : comprendre les opérations, puis déterminer où l’IA a sa place[5].
Donnez une place à ce travail dans votre plan
Le travail moins intéressant a besoin de temps, de responsables et d’un budget. Sinon, la prochaine démonstration passe toujours avant.
La dette technique et les processus non documentés doivent faire partie de la discussion sur l’IA dès le départ. Ils influencent ce que vous pouvez connecter de façon sécuritaire, ce que vous pouvez déléguer et la rapidité avec laquelle vous pouvez rétablir la situation quand un problème survient.
L’IA peut vous aider à faire ce travail. Elle peut examiner du code, rédiger de la documentation et contribuer aux tests d’un processus. Il faut encore des personnes pour faire les compromis et assumer la responsabilité de ce qui est mis en service.
Avant d’ajouter un autre agent, choisissez une activité et clarifiez-la suffisamment pour pouvoir la confier à quelqu’un d’autre. Sachez de quels systèmes elle dépend, quelles décisions elle exige et qui est responsable du résultat.
C’est par là que je commencerais.
Sources
- The PHP Foundation, Today's PHP Security Release, and How We're Strengthening PHP Security, 21 octobre 2026.
- OpenAI, Patch the Planet: global response coordination as agents uncover critical vulnerabilities, 21 octobre 2026.
- Anthropic, Building effective agents, 19 décembre 2024.
- NIST, AI Risk Management Framework, Govern 2.1.
- inocta.io, L’Intelligence des Opérations.
Recevez la prochaine note de terrain par courriel. S'abonner au Signal
