Le langage des agents gouvernés.

Agentification

Agentification

La discipline qui transforme un processus métier réel en agents d'IA construits, exploités et gouvernés en production, et non en pilote isolé. Dans une entreprise réglementée, elle couvre la stratégie, l'ingénierie, la gouvernance et la montée en compétence, et se termine par le client propriétaire de ses agents.

Centre de compétence

Une équipe qui concentre l'expertise rare nécessaire pour construire, exploiter et gouverner des agents dans une organisation, et qui transfère cette capacité au client, par opposition à un cabinet de conseil sur un projet unique ou à un outil sur étagère.

La Fondation

La mission de six à huit semaines de Vesster qui mène un processus à forte conséquence jusqu'à un agent gouverné en production, mesuré face à une référence auditable et se terminant par un gate go/no-go. Des semaines jusqu'à une vraie réponse, plutôt qu'une année.

Équipe sur le terrain

Des spécialistes seniors intégrés dans l'opération du client, travaillant sur ses processus et systèmes réels pour construire le contexte dont les agents ont besoin et les agents eux-mêmes, avant d'en transférer la propriété.

Gouvernance

VessterOS

Le système d'exploitation de Vesster pour les agents : il orchestre des équipes d'agents et applique la gouvernance (autonomie graduée, conformité exécutable, pistes d'audit, identité et kill-switch), conçu pour des agents probabilistes plutôt que pour la gestion de changement informatique classique.

Autonomie graduée (L0–L4)

Une échelle d'autonomie que l'agent ne gravit qu'en passant les evals : L0/L1 observent (mode ombre), L2 agit avec une personne dans la boucle, L3 tourne avec une personne sur la boucle, L4 est pleinement autonome. L'autonomie se gagne capacité par capacité, elle ne s'active pas d'un interrupteur.

REQUIRE-HUMAN

Un verdict de conformité câblé : là où la loi ou un comité des risques exige qu'une personne décide, l'agent est structurellement empêché de décider et doit passer la main. C'est imposé, ce n'est pas une recommandation. L'agent prépare la décision ; la personne la prend.

Piste d'audit (chaînée par hachage)

Un journal append-only et inviolable, écrit avant que l'action ne s'engage, où chaque entrée est chaînée à la précédente par un hachage cryptographique. Il donne au régulateur une preuve inspectable de chaque décision autonome.

Harnais d'evals

La suite de tests automatisés qui mesure un agent face à une référence auditable avant qu'il ne gagne davantage d'autonomie, puis en continu. C'est le seuil de confiance qui commande la promotion sur l'échelle d'autonomie.

Surveillance de la dérive

Une mesure continue qui détecte quand le comportement d'un agent se dégrade ou s'écarte, souvent après une mise à jour du modèle, afin de le repérer, de revenir en arrière ou de le repasser par un gate avant qu'il ne cause un dommage.

Kill-switch

Un contrôle testé et journalisé permettant d'arrêter immédiatement un agent ou de lui retirer son autonomie. C'est parce qu'il est testé et journalisé qu'il se défend devant un régulateur, pas parce qu'il existe en théorie.

Sécurité

Identité non humaine

Une identité propre et gouvernée, délivrée à chaque agent plutôt que de réutiliser les identifiants d'une personne, avec des permissions à moindre privilège, pour que les actions de l'agent soient attribuables et son accès délimité et révocable.

Frontière de contamination

Un contrôle structurel qui empêche une entrée non fiable (documents, contenu web, sortie d'outils) de devenir un privilège exécutable. Il contient l'injection de prompt par conception, au lieu d'essayer de détecter chaque chaîne malveillante.

Injection de prompt

Une attaque où des instructions malveillantes cachées dans les données que l'agent lit tentent de détourner son comportement. C'est l'équivalent agentique des attaques par injection et une menace centrale de l'OWASP Agentic Security Initiative.

Conformité

Conformité exécutable

Exprimer les règles réglementaires et de politique interne sous forme de contrôles exécutables que l'agent doit passer à l'exécution, produisant des verdicts lisibles par machine (ALLOW, ALLOW-WITH-CONDITIONS, DENY, REQUIRE-HUMAN) au lieu d'un document de politique figé.

EU AI Act (haut risque)

Le règlement européen qui classe certains usages de l'IA comme à haut risque (crédit, assurance, services essentiels), avec des obligations de gestion des risques, de gouvernance des données, de supervision humaine, de transparence et de journalisation. La gouvernance de Vesster est conçue pour répondre à ces obligations.

DORA

Le règlement européen sur la résilience opérationnelle numérique, qui fixe des exigences de gestion du risque informatique, de tests et de supervision des tiers pour les entités financières. Les systèmes agentiques en banque et en assurance doivent s'inscrire dans un modèle opérationnel aligné sur DORA.

ISO/IEC 42001

La norme internationale de système de management pour l'intelligence artificielle. Vesster est ISO/IEC 42001 par conception, aux côtés de ses certifications ISO/IEC 27001, 27017 et 27018 en sécurité de l'information.

Déploiement

Agnostique vis-à-vis du fournisseur / déployable partout

Une architecture qui n'est liée ni à un éditeur de modèles ni à un cloud : modèles de frontière ou open source, tournant dans votre VPC, on-premises ou isolés du réseau, avec un routage par sensibilité pour que les données réglementées restent dans votre périmètre et que vous évitiez le lock-in.

Calcul confidentiel / TEE

Des environnements d'exécution de confiance (TEE) matériels qui gardent les données chiffrées même pendant leur traitement, utilisés là où les charges réglementées les plus sensibles doivent tourner sans exposer les données à l'hôte.