Quel niveau d'autorité faut-il accorder à un agent d'IA sur le mainframe ?

Le monde des mainframes évolue vers une IA agentive, mais la plupart des organisations lui accordent trop d'autonomie trop tôt, ou pas assez pour qu'elle soit utile. Voici le cadre de référence.

La question que se posent tous les responsables informatiques en ce moment

La véritable question qui se pose aujourd'hui aux responsables informatiques est de savoir quel niveau de contrôle accorder à un agent d'IA, et à quel moment il convient de lui en confier davantage. La plupart des équipes ont déjà décidé d'utiliser ou non l'IA dans leurs opérations. Ce qui reste à déterminer, c'est où doit s'arrêter l'autorité de cet agent.

La pression est bien réelle. Les fenêtres de traitement par lots se réduisent comme peau de chagrin. Le nombre d'alertes ne cesse d'augmenter. Les experts capables d'analyser un vidage système à 3 heures du matin partent à la retraite plus vite qu'on ne peut les remplacer. Les agents d'IA promettent de diagnostiquer, de décider et d'agir à la vitesse de la machine.

Mais les systèmes que vous gérez traitent les paiements, règlent les sinistres et transfèrent les dossiers des patients. On vous demande de faire confiance à quelque chose que vous ne pouvez pas entièrement contrôler, dans un environnement qui ne peut se permettre le moindre dysfonctionnement.

Cette hésitation n'est pas irrationnelle. Elle témoigne d'une juste conscience des risques. Voici un cadre pratique pour étendre l'autorité de l'IA en toute sécurité: que déléguer dès maintenant, que conserver et comment gagner progressivement en autonomie.

Qu’est-ce que l’IA avec intervention humaine, et pourquoi est-ce important ?

L'IA à intervention humaine est un modèle opérationnel où l'agent IA recommande et prépare des actions, qu'un humain examine et autorise avant leur exécution. L'agent effectue l'analyse et le travail préparatoire. L'humain conserve la décision finale et la responsabilité.

Elle se situe entre deux extrêmes:

• L'IA axée sur l'analyse uniquement extrait des informations et s'arrête là. Elle est sûre, mais elle laisse tout le travail à votre équipe.
• L'IA totalement autonome agit sans approbation préalable. Elle est rapide, mais chaque décision repose uniquement sur le jugement de l'agent.

Pour les secteurs réglementés, la plupart des opérations doivent aujourd'hui se situer sur un juste milieu. On bénéficie de la rapidité du diagnostic et de la préparation pilotés par l'IA, tout en conservant la responsabilité humaine pour chaque changement important.

La plupart des responsables informatiques fonctionnent déjà ainsi. Selon une étude commandée par Rocket Software à Hanover Research, 48 % d'entre eux autorisent l'IA à entreprendre des actions limitées, la responsabilité restant humaine, et 34 % lui permettent uniquement de fournir des analyses. Très peu d'organisations ont accordé une autonomie totale à l'IA. Leur prudence témoigne d'une parfaite compréhension des enjeux.

L'échelle d'autorité de l'IA: comment étendre la confiance progressivement

Il convient d'étendre l'autorité de l'IA progressivement, en fonction de sa précision démontrée, plutôt que de décider dès le premier jour du niveau d'autonomie accordé à un agent.

L'échelle d'autorité de l'IA est un cadre à quatre niveaux conçu précisément à cet effet. Chaque niveau confère à l'agent IA une autorité supérieure à celle du niveau précédent, et chaque niveau doit être mérité par des performances avérées au niveau précédent.

• Niveau 1, Observation: L’IA surveille les systèmes et les informations qu’ils génèrent. Elle n’intervient pas et ne formule aucune recommandation.
• Niveau 2, Recommandation: L’IA suggère des actions spécifiques et explique son raisonnement. Un humain décide ensuite s’il convient d’agir.
• Étape 3, Agir avec approbation: L’IA prépare et exécute les actions, mais les étapes à haut risque sont mises en pause pour obtenir une approbation humaine avant de se poursuivre.
• Niveau 4, Agir de manière autonome: L’IA s’exécute dans un périmètre prédéfini et bien testé, sans approbation pour chaque action.

La plupart des environnements mainframe réglementés devraient fonctionner aujourd'hui aux niveaux 2 et 3. C'est là que se concentrent la majeure partie des avantages, notamment un diagnostic plus rapide, une remédiation préparée et une réduction du temps perdu en tri manuel, tout en responsabilisant les utilisateurs quant aux changements importants.

Deux principes permettent à l'échelle de fonctionner en pratique.

Il convient tout d'abord d'attribuer les autorisations par type d'action, et non par agent. Un même agent peut avoir un niveau d'autorisation de 4 pour l'ouverture de tickets d'incident et de 2 pour toute action relative à la configuration de sécurité. Une attribution uniforme à l'ensemble de l'agent est soit trop permissive, soit trop restrictive.

Deuxièmement, le niveau 4 se mérite, il ne se présume jamais. Suivez la fréquence à laquelle les recommandations de l'agent correspondent aux actions de vos experts. Lorsqu'un type d'action affiche une précision constante sur une période significative, promouvez-le. Dans le cas contraire, conservez son niveau actuel.

Que signifie réellement « à haut risque » dans le contexte d'un mainframe ?

Une action est considérée comme à haut risque si elle est difficilement réversible, si elle impacte des données transactionnelles en cours d'exécution ou si elle présente des dépendances en aval entre les systèmes. Dans le cas contraire, une approbation humaine est requise.

Actions qui devraient toujours nécessiter une approbation humaine:

• Redémarrage des traitements par lots de production pendant les heures ouvrables
• Modification des configurations de sécurité ou des autorisations d'accès
• Purge ou archivage des données
• Des changements qui touchent plusieurs sous-systèmes simultanément.

Actions généralement sûres pour une exécution autonome dans des paramètres définis:

• Corrélation des journaux et signalement des anomalies
• Générer des résumés de diagnostic
• Ouverture et enrichissement des tickets d'incident
• Faire émerger des correspondances de schémas historiques à partir d'incidents passés

Remarquez la régularité. Tout élément de la liste autonome génère des informations. Tout élément de la liste d'approbation modifie l'état du système. Cette distinction offre à votre équipe une règle simple et justifiée pour démarrer, que vous pourrez affiner au fur et à mesure que l'agent fera ses preuves.

À quoi ressemble une bonne architecture de gouvernance en pratique

Une bonne architecture de gouvernance de l'IA associe chaque action à une identité, consigne chaque décision de manière immuable et soumet toute action à haut risque à une autorisation humaine explicite. Ces trois exigences sont non négociables avant d'étendre l'autorité de l'IA à quelque niveau que ce soit.

• Chaque action est associée à une identité. Vous devriez pouvoir voir quel agent a agi et quelle personne l'a approuvée, sous forme de deux enregistrements distincts.
• Chaque décision est consignée de manière immuable. L'historique des actions de l'IA, et leurs justifications, ne peut être modifié a posteriori.
• Chaque action à haut risque est soumise à un contrôle. L'agent ne peut pas poursuivre tant qu'un humain n'a pas explicitement autorisé l'étape.

Fusée^® EVA^™ Rocket EVA a été conçu pour ce modèle. Il intègre un processus d'approbation humaine pour les actions à haut risque: l'agent établit le diagnostic, formule la recommandation et prépare la solution, qui doit ensuite être approuvée par un humain avant son exécution. Chaque action est associée à l'identité d'un agent et à celle d'un approbateur humain, ce qui permet de répondre aux questions d'un auditeur sans avoir à reconstituer les événements à partir de journaux épars.

Rocket EVA applique également des règles opérationnelles grâce à une approche de type « politique sous forme de code » et à un noyau d'exécution déterministe, garantissant ainsi que les agents ne peuvent effectuer que des actions validées dans les limites autorisées. Il n'est pas nécessaire de commencer par le haut de la hiérarchie. De nombreuses équipes débutent par des cas d'utilisation à faible risque, comme le triage nocturne des échecs de traitement par lots, ce qui leur permet de gagner en confiance dans la précision de l'agent et d'étendre progressivement son autorité, un type d'action à la fois.

Voilà comment on modernise sans rupture. On progresse méthodiquement, en apportant des preuves à chaque étape.

Découvrez comment l'architecture de gouvernance de Rocket EVA gère l'autorité de l'IA à tous les niveaux.

Rocket est une marque déposée de Rocket Software, Inc. et de ses filiales.