La gouvernance de l’IA agentique à la traîne au Royaume-Uni : ce que révèle le rapport Salesforce 2026 Connectivity Benchmark pour la conformité des entreprises

Vous pouvez déployer une douzaine d’agents IA dans votre entreprise. Vous pouvez prévoir une croissance de 67 % sur deux ans. Vous pouvez présenter cela comme une initiative de transformation numérique dans votre rapport annuel.

Mais si la moitié de ces agents fonctionnent dans des silos départementaux et que vous êtes incapable d’indiquer à un régulateur lesquels ont accédé à des données personnelles mardi dernier, vous n’avez pas de stratégie IA. Vous avez un incident de conformité qui n’a pas encore déclenché d’alerte.

C’est le constat inquiétant qui se cache derrière le 2026 Connectivity Benchmark Report de Salesforce, réalisé par MuleSoft (groupe Salesforce) en collaboration avec Vanson Bourne et Deloitte Digital. L’étude a interrogé 1 050 professionnels IT dans neuf pays entre octobre et novembre 2025, dont 100 au Royaume-Uni. Les résultats ne pointent pas seulement un déficit de gouvernance. Ils quantifient une crise qui s’installe à l’intersection de l’adoption rapide de l’IA, d’une infrastructure de données fragmentée et d’un environnement réglementaire qui n’accepte plus le « faites-nous confiance » comme posture de conformité.

Voici ce que révèlent les chiffres – et pourquoi ils doivent changer la façon dont chaque RSSI, responsable conformité et leader de la transformation numérique aborde la stratégie de déploiement IA de son organisation.

Cinq enseignements clés

1. L’adoption a devancé la gouvernance. L’écart est immense. Le 2026 Connectivity Benchmark Report de Salesforce montre que 89 % des organisations au Royaume-Uni et en Irlande déploient des agents IA – mais seulement 54 % disposent d’un cadre de gouvernance centralisé avec supervision formelle. Près de la moitié des entreprises utilisant des agents IA sont incapables d’indiquer à un régulateur lesquels ont accédé à des données personnelles, quand, et sous quels contrôles. Ce n’est pas un simple écart. C’est une porte grande ouverte.

2. La moitié des agents IA fonctionnent à l’aveugle. Cinquante pour cent des agents déployés sont cloisonnés dans des silos départementaux – non intégrés, non gouvernés, invisibles à l’échelle de l’entreprise. Ces agents accèdent à des données sensibles sans supervision centralisée. Si vous ignorez ce que vos agents manipulent, impossible de les protéger. Et il vous sera impossible de prouver que vous les avez protégés lorsque l’auditeur posera la question.

3. Le nombre d’agents va exploser. La gouvernance ne suit pas. Les organisations exploitent en moyenne 12 agents IA aujourd’hui. Ce chiffre devrait augmenter de 67 % en deux ans. Parallèlement, 75 % des sondés craignent que les agents n’apportent plus de complexité que de valeur métier. Ils ont raison de s’inquiéter. Sans gouvernance, plus d’agents rime avec plus de risques – et l’effet est exponentiel, pas linéaire.

4. Le Shadow AI, c’est du Shadow IT avec des dents réglementaires. Les employés téléchargent des contrats, des dossiers clients et de la propriété intellectuelle dans des outils IA grand public à l’insu de l’IT. Contrairement aux problèmes de shadow IT d’il y a dix ans, le shadow AI entraîne des violations directes de l’EU AI Act, de l’article 25 du RGPD et de NIS2 – chacun exposant à des amendes pouvant atteindre plusieurs dizaines de millions d’euros. Le niveau de risque n’est pas comparable. Il est d’un tout autre ordre de grandeur.

5. L’infrastructure de données ne répond pas aux besoins des agents IA. Quatre-vingt-dix-sept pour cent des organisations signalent des obstacles à l’utilisation des données pour l’IA. Ce chiffre n’est pas un artefact statistique. Il traduit une reconnaissance quasi unanime que la plomberie ne suit pas l’ambition. Les organisations font tourner en moyenne 796 applications, dont seulement un tiers sont intégrées. Les agents IA ont besoin de données. L’infrastructure n’est pas prête à leur fournir un accès sécurisé.

89 % déployés. 50 % non gouvernés. Faites le calcul.

Commençons par le constat qui rebat toutes les cartes du rapport.

Quatre-vingt-neuf pour cent des organisations au Royaume-Uni et en Irlande déploient déjà des agents IA. Pas en phase pilote. Pas en évaluation. En production. Ces agents opèrent dans des environnements réels, accèdent à des dossiers clients, des données financières, des contrats, de la propriété intellectuelle et des systèmes opérationnels, tous départements, entités et zones géographiques confondus.

Mais la moitié de ces agents – soit 50 % – sont cloisonnés dans des silos départementaux. Ils ne sont pas intégrés à l’échelle de l’entreprise. Ils ne relèvent pas d’un cadre de gouvernance centralisé. Aucune équipe n’a de visibilité sur les données auxquelles ces agents accèdent, la façon dont ils les traitent ou la conformité de ces traitements avec les réglementations applicables à l’organisation.

Lisez bien ceci : la moitié des agents IA qui opèrent aujourd’hui dans les entreprises britanniques échappent à toute gouvernance d’entreprise.

Seules 54 % des organisations disposent d’un cadre de gouvernance centralisé avec supervision formelle pour leurs agents IA. Cela signifie que près de la moitié des entreprises exploitant ces systèmes le font sans les contrôles fondamentaux désormais exigés par les régulateurs – EU AI Act, RGPD, NIS2 et Cyber Resilience Act.

Andrew Comstock, SVP et general manager de MuleSoft, résume le défi : « Le véritable succès d’une entreprise agentique ne se mesure pas au nombre d’agents déployés, mais à leur efficacité globale. Nous devons réfléchir à la façon dont ils sont découverts, gouvernés et orchestrés pour travailler ensemble. »

Cette orchestration n’a pas lieu. Et le compte à rebours réglementaire n’attend pas.

Le Shadow AI n’est pas du Shadow IT. Les enjeux sont d’un tout autre ordre.

Le déficit de gouvernance mis en lumière par le rapport Salesforce a un corollaire que les équipes en charge de cybersécurité dénoncent depuis un an. La plupart des conseils d’administration n’écoutent pas.

Le Shadow AI, c’est ce qui se passe quand des employés et des entités métiers déploient des agents IA, téléchargent des données sensibles dans des outils IA grand public et créent des workflows assistés par IA – le tout sans l’accord ni la connaissance de l’IT. C’est la conséquence prévisible de l’abaissement de la barrière technique pour développer des fonctions IA, alors que les cadres de gouvernance n’ont pas évolué depuis trois ans.

Kurt Anderson, managing director et API transformation leader chez Deloitte Consulting, a reconnu la tension lors de la conférence de presse du rapport : « Il existe un principe de leadership important qui consiste à mettre la connaissance entre les mains de ceux qui peuvent la déployer. » Mais il a aussitôt lancé un avertissement à placarder sur l’écran de chaque CIO : « Nous devons tirer les leçons du passé et veiller à disposer de la bonne gouvernance. Nous savons ce qui se passe quand on laisse les contributeurs individuels développer des systèmes dépourvus de sécurité ou de fiabilité, ou qui génèrent d’énormes factures de licences. »

La comparaison avec le shadow IT est parlante, mais elle minimise le risque. Quand un employé adoptait un outil SaaS non validé il y a dix ans, le pire était une gestion de licences compliquée ou un silo de données. Quand un employé télécharge aujourd’hui un contrat client, un modèle financier ou des dossiers patients sur ChatGPT ou Claude, le risque, c’est une violation du RGPD, un défaut de transparence vis-à-vis de l’EU AI Act et une potentielle fuite de données – tout cela en même temps. Trois cadres réglementaires. Un seul téléchargement maladroit.

Les chiffres Salesforce créent un terreau fertile pour ce type d’incident. Les organisations font tourner en moyenne 796 applications, dont seulement 33 % sont intégrées. Dans un environnement où des centaines de systèmes fonctionnent en vase clos, le Shadow AI ne se limite pas aux marges. Il s’engouffre dans toutes les failles laissées par des systèmes déconnectés. Et il y en a beaucoup.

Quatre réglementations. Un déficit de gouvernance. Des amendes cumulées.

Le déficit de gouvernance mis en lumière par ce rapport n’est pas qu’un casse-tête opérationnel. C’est un problème d’exposition réglementaire – et l’addition financière est salée.

Les entreprises européennes font désormais face à un ensemble de réglementations convergentes qui imposent chacune des exigences précises sur la façon dont les systèmes IA accèdent, traitent et protègent les données sensibles. Des agents IA cloisonnés, sans supervision centralisée, ne manquent pas une seule de ces obligations. Ils les manquent toutes en même temps.

L’EU AI Act impose des exigences de gouvernance des données, de transparence et de sécurité pour les systèmes IA à haut risque. Les agents déployés dans des silos départementaux – sans traçabilité, sans contrôle d’accès, sans reporting centralisé – sont hors cadre par conception. Pas par accident. Par architecture. Les sanctions peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial.

Le RGPD impose la protection des données dès la conception (article 25) et la minimisation des données (article 5). Quand les agents opèrent en silos, les organisations ne peuvent pas répondre à la question fondamentale que poseront les régulateurs : « Quels systèmes IA ont accédé à ces données personnelles, et dans quelles conditions ? » Si vous ne pouvez pas répondre, vous n’êtes pas conforme. Peu importe votre politique de confidentialité. Les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

La directive NIS2 impose la gestion des risques sur l’ensemble de la supply chain numérique. Les agents IA non gouvernés constituent une surface d’attaque non surveillée, accédant à des données critiques sans visibilité ni contrôle de reporting d’incident. Les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.

Le Cyber Resilience Act impose la sécurité dès la conception pour les logiciels, y compris les agents IA. Les agents déployés sans contrôle de sécurité formel, gestion des accès ou surveillance des vulnérabilités ne sont pas conformes. Il n’y a pas d’exception pour « on allait trop vite ».

Le futur Digital Omnibus Bill européen viendra encore aligner ces cadres dans une toile réglementaire interconnectée. Un seul échec de gouvernance entraînera une cascade d’obligations de conformité. Les organisations qui traitent chaque réglementation séparément – ou pire, pensent que leurs déploiements IA ne sont pas encore concernés – accumulent une exposition qu’elles ne découvriront que lors d’un contrôle.

97 % des organisations rencontrent des obstacles de données pour l’IA. Ce n’est pas une faute de frappe.

Le Connectivity Benchmark Report met en lumière un problème structurel sous-jacent à la crise de gouvernance : l’infrastructure de données elle-même n’est pas prête.

Quatre-vingt-dix-sept pour cent des organisations signalent des obstacles à l’utilisation des données pour les cas d’usage IA. Pas la plupart. Pas une majorité. Quasiment toutes. Le principal frein, cité par 35 % des répondants, est une architecture IT obsolète et une infrastructure fragmentée par des silos et des systèmes déconnectés.

Les entreprises exploitent en moyenne 796 applications, dont seulement un tiers sont intégrées. Les agents IA ont besoin d’accéder aux données pour créer de la valeur. Mais dans des environnements où des centaines d’applications fonctionnent en vase clos, accorder cet accès sans couche de gouvernance unifiée oblige à choisir entre deux mauvaises options : restreindre les agents au point de les rendre inutiles, ou ouvrir l’accès aux données sans contrôle suffisant. La plupart des organisations choisissent la seconde option – souvent sans s’en rendre compte.

Beena Ammanath, Global Deloitte AI Institute leader, souligne la rapidité du phénomène dans la préface du rapport : « La vitesse d’adoption de l’IA a dépassé les prévisions d’il y a un an à peine, et 84 % des CIO d’entreprise estiment que l’IA sera aussi importante pour leur activité qu’Internet. » Quarante pour cent des organisations déploient déjà des agents autonomes. Quarante et un pour cent prévoient de le faire dans l’année. La fenêtre pour construire l’infrastructure de gouvernance ne se referme pas. Pour beaucoup, elle est déjà fermée.

Ce constat n’est pas isolé. L’éditeur Celonis a publié son propre 2026 Process Optimisation Report – enquête auprès de 1 600 dirigeants mondiaux d’entreprises réalisant au moins 500 millions de dollars de chiffre d’affaires – et observe la même tendance sous un autre angle. Quatre-vingt-un pour cent estiment que les projets IA échoueront sans visibilité sur les processus. Soixante-seize pour cent jugent que leurs processus actuels les freinent. Quatre-vingt-cinq pour cent veulent devenir une entreprise agentique sous trois ans. L’ambition est universelle. La préparation ne l’est pas.

Les agents IA manipulent déjà vos données les plus sensibles. Chaque jour.

Si la gouvernance vous semble encore relever de la planification et non d’une urgence, regardez où les agents IA opèrent déjà – et quelles données ils manipulent.

Un autre rapport Salesforce publié la même semaine – la septième édition de son State of Sales mondial – révèle que l’IA agentique figure déjà dans le top 3 des techniques de vente au Royaume-Uni pour 2026. Les commerciaux les plus performants sont 1,7 fois plus susceptibles d’utiliser des agents IA que ceux qui peinent à atteindre leurs objectifs. Quarante-six pour cent des vendeurs britanniques déclarent avoir déjà utilisé des agents. Les équipes commerciales britanniques s’attendent à ce que les agents réduisent de 38 % le temps de recherche de prospects et de rédaction d’e-mails.

Les gains de productivité sont impressionnants. Mais ils constituent aussi un test de gouvernance que la plupart des organisations échouent. Ces agents accèdent régulièrement à des bases clients, des CRM, des historiques de communications, des informations tarifaires et des détails contractuels – autant de données soumises à des obligations réglementaires au titre du RGPD et, selon le secteur, de NIS2 et de l’EU AI Act.

La différence est cruciale : quand ces agents opèrent sous une bonne gouvernance – contrôle d’accès unifié, traçabilité, minimisation des données – ils génèrent des gains mesurables. Sans cela, ils deviennent des passifs de conformité qui s’aggravent à chaque nouveau déploiement. Même technologie. Architecture différente. Risque radicalement différent.

À quoi ressemble une architecture de données IA gouvernée – et pourquoi la plupart des organisations n’en ont pas

La question n’est plus de savoir s’il faut adopter des agents IA. Ce choix est déjà fait : 89 % des organisations britanniques y sont. La vraie question est de savoir si la gouvernance arrivera avant le prochain audit, la prochaine fuite ou la prochaine sanction.

Pour y parvenir, il faut changer radicalement la façon dont les organisations pensent l’accès aux données par l’IA. Ajouter la gouvernance a posteriori ne fonctionne pas – le rapport Salesforce le prouve, avec 50 % des agents encore hors gouvernance. Les entreprises ont besoin d’une couche de gouvernance centralisée qui s’intercale entre les agents IA et les données sensibles auxquelles ils accèdent. Cette couche doit offrir cinq fonctions clés.

Contrôle d’accès unifié pour les agents IA. Une plateforme unique qui gère quels agents accèdent à quelles données, dans quelles conditions, avec quelles autorisations. Cela évite que des déploiements en silos contournent la sécurité de l’entreprise et étend l’architecture zéro trust à chaque interaction agent IA/donnée sensible.

Traçabilité complète de chaque interaction IA. Lorsque les régulateurs demanderont quels systèmes IA ont accédé à des données personnelles – et sous l’EU AI Act et le RGPD, ils le feront – les organisations doivent fournir des réponses claires et détaillées. Pas un projet de forensique sur trois semaines avec six outils différents. Des réponses. À la demande.

Application de la minimisation des données. Les agents IA ne doivent accéder qu’aux données nécessaires à une tâche précise. Des contrôles granulaires permettant la rédaction, le masquage et des accès temporaires soutiennent directement l’article 5 du RGPD – et évitent la sur-autorisation qui transforme chaque agent en vecteur potentiel de fuite.

Prévention du Shadow AI. Détecter et bloquer l’envoi de données sensibles vers des outils IA non autorisés – tout en proposant des alternatives gouvernées pour les workflows assistés par IA. Les politiques de prévention des pertes de données doivent couvrir les vecteurs d’exfiltration propres à l’IA. Les outils DLP traditionnels ne sont pas conçus pour cela. Les outils doivent évoluer.

Gestion des fournisseurs IA tiers. Protocoles d’échange de données sécurisés, Data Processing Agreements, surveillance continue des accès IA tiers. Les exigences de sécurité supply chain de NIS2 rendent cela incontournable – pas optionnel.

Kiteworks : gouverner l’accès aux données IA. Une seule plateforme. Pas six.

C’est précisément le problème que le Réseau de données privé Kiteworks résout.

À mesure que les entreprises étendent leurs déploiements IA, Kiteworks fournit la couche de gouvernance centralisée qui contrôle, surveille et trace chaque interaction agent IA/donnée sensible. Il ne s’ajoute pas aux outils de gouvernance existants en espérant qu’ils communiquent entre eux. Il comble l’espace non maîtrisé entre eux – là où les agents IA accèdent à des contrats, dossiers clients, données financières et propriété intellectuelle sans supervision centralisée, sans traçabilité, sans possibilité de prouver la conformité en cas de contrôle.

La différence avec d’autres approches est majeure. Les plateformes traditionnelles de partage sécurisé de fichiers – Box, Dropbox – n’ont pas été conçues avec des contrôles de gouvernance spécifiques à l’IA. Elles ne peuvent pas empêcher l’exfiltration de données vers des outils IA grand public. Elles ne fournissent pas de traçabilité pour les accès agents IA. Elles ne couvrent pas l’EU AI Act. Elles répondent à un problème qui n’est plus suffisant depuis deux ans.

Les outils DLP en détection seule – Symantec, Forcepoint, etc. – signalent les violations après coup. Ils ne fournissent pas d’accès gouverné aux données pour les workflows IA validés. Leur modèle, c’est bloquer ou autoriser. Le problème de gouvernance IA exige d’autoriser et contrôler. Ce sont des fonctions différentes.

Les plateformes émergentes de gouvernance IA se concentrent sur la gouvernance des modèles – surveillance du comportement, suivi des sorties, gestion du risque modèle. Elles ne contrôlent pas les données sensibles auxquelles accèdent les agents IA. Gouverner le modèle sans gouverner la donnée, c’est fermer la porte d’entrée en laissant le coffre ouvert.

Kiteworks occupe la position que ces approches ne couvrent pas : gouverner les données sensibles dont les agents IA ont besoin, garantir que chaque interaction respecte les exigences de conformité RGPD, NIS2, Cyber Resilience Act et EU AI Act – depuis une seule plateforme. Un audit trail. Un cadre de contrôle d’accès. Un point de réponse pour le régulateur.

Pour les RSSI, c’est le plan de contrôle centralisé qui élimine le risque des déploiements en silos. Pour les responsables conformité, c’est la traçabilité et la documentation de transparence exigées par les régulateurs européens. Pour les leaders de la transformation numérique, c’est l’infrastructure de gouvernance qui débloque le passage à l’échelle de l’IA – sans freiner les métiers qui en ont le plus besoin.

La fenêtre se referme. Pour certains, elle est déjà fermée.

Le Salesforce 2026 Connectivity Benchmark Report est sans appel. Quatre-vingt-neuf pour cent des organisations britanniques ont déployé des agents IA. La moitié opèrent dans des silos non gouvernés. Le nombre d’agents va croître de 67 % en deux ans. Les réglementations européennes convergent vers un cadre de conformité unifié, avec des sanctions pouvant atteindre plusieurs centaines de millions d’euros.

Les organisations qui bâtissent dès maintenant une architecture de données IA gouvernée pourront passer à l’échelle en toute sécurité, satisfaire les régulateurs à la demande et transformer la productivité IA en avantage concurrentiel. Celles qui ne le font pas découvriront leur déficit de gouvernance lors d’une enquête, d’une fuite ou d’une amende qui fera paraître le coût de la gouvernance dérisoire.

Ce n’est plus un exercice de planification. C’est une exigence opérationnelle. Et la question n’est pas de savoir si votre organisation a besoin d’une couche de gouvernance des données pour les agents IA. La question, c’est de savoir si vous la mettrez en place avant que le prochain audit ne vous oblige à expliquer pourquoi vous ne l’avez pas fait.

Ressources complémentaires

• Article de blog Architecture Zero Trust : Ne jamais faire confiance, toujours vérifier
• Vidéo Microsoft GCC High : Les inconvénients qui poussent les sous-traitants de la défense vers des solutions plus intelligentes
• Article de blog Comment sécuriser les données classifiées une fois détectées par le DSPM
• Article de blog Instaurer la confiance dans l’IA générative grâce à une approche Zero Trust
• Vidéo Guide définitif pour le stockage sécurisé des données sensibles à destination des responsables IT