Six stations pour un agent

Gouvernance des agents IA · banque privée suisse · 05.10.2026

Six stations avant de lâcher un agent.

Une seule ligne pour tous les cas d'usage, du modèle enfermé en local à l'agent qui lit le web. Ce qui change d'un cas à l'autre, c'est le palier, donc le nombre de contrôles.

    Station par station

    Pour chacune : ce qu'on fait, ce qu'on produit, et la condition pour passer à la suivante.

    Station 2, en détail

    Sept questions donnent le palier

    Coche ce qui décrit l'agent. Le palier s'allume, et les trois cercles montrent la règle des deux : un agent ne cumule pas entrées non fiables, données sensibles et action externe sans validation humaine.

    T1

    Lecture seule, pas de données client, usage interne.

    • Socle sur les sept domaines de contrôle
    • Auto-évaluation par le propriétaire
    T2

    Écrit dans un système interne, ou traite des données client.

    • Validation humaine sur chaque écriture
    • Registre de menaces complet
    • Tests adverses
    • Revue par la deuxième ligne
    T3

    Parle à un client, agit vers l'extérieur, touche une fonction critique, ou décide seul sur une personne.

    • Tout ce qu'exige T2
    • Revue indépendante avant mise en service
    • Analyse d'impact LPD
    • Double autorisation
    • Contact avec la FINMA si le processus est critique

    Station 4, en détail

    Sept domaines, trois outils, et un reste

    Chaque contrôle vit dans un outil précis du harness, l'enveloppe logicielle qui encadre l'agent. Aucune colonne n'est pleine : aucun outil ne suffit seul.

    LangGraphorchestrationNeMo Guardrailsfiltrage du contenuOpenShellconfinementÀ construirecode, procédures
    IdentitéUne identité par agent, rattachée à un propriétaire, droits minimaux
    PérimètreOutils en liste blanche, plafonds d'appels, approbation de l'irréversible
    DonnéesRien de sensible vers l'extérieur, masquage, modèle local
    ContenuFiltrer ce qui entre, ce qui sort et ce qui est récupéré
    ConfinementFichiers, processus et réseau fermés par défaut
    TraçabilitéChaque décision et chaque appel d'outil rejouables
    RésilienceArrêt d'urgence, conditions d'arrêt, mode dégradé

    couvre le domainele couvre en partie

    Deux lignes en service

    Le framework appliqué de bout en bout à deux cas d'usage, un fermé et un exposé.

    Ligne A · palier T2 · tout reste en localClassifieur d'incidentsUn modèle local propose la catégorie Bâle II d'un incident opérationnel.Suivre la ligne A→ Ligne B · palier T3 · exposé à internetVeille médias négatifsUn agent cherche sur le web des informations défavorables pour le KYC.Suivre la ligne B→

    D'où vient chaque exigence

    • FINMA 08/2024 : inventaire, classification, tests à seuils fixés d'avance, surveillance, revue indépendante.
    • Circ. FINMA 2023/1 : séparation des environnements, moindre privilège, annonce des cyberincidents.
    • Circ. FINMA 2018/3 : un service externe peut être une externalisation.
    • LPD et art. 47 LB : analyse d'impact, revue humaine, secret bancaire.

    Ce qu'on emprunte ailleurs

    • IMDA (Singapour) et FSB : la structure propre aux agents, faute de texte suisse.
    • OWASP Top 10 Agentic, CSA MAESTRO, MITRE ATLAS : le catalogue de menaces.
    • AI Act et DORA : seulement si les sorties servent dans l'UE.

    Limites connues

    • OpenShell est en version 0.1. Bon pour un lab, pas une preuve pour la production.
    • Aucune défense complète contre l'injection de prompt n'existe. Les contrôles réduisent le risque.
    • Les seuils et les extraits de configuration sont des exemples. Les points juridiques restent à valider.