Il y a quelques jours, j'ai partagé un badge obtenu sur Claude Academy. Et j'ai reçu un message qui m'a agacé, d'abord. On me demandait si j'arrivais à tirer des posts de mes propres missions, ou si je me contentais de reposter ce que d'autres publient.
En y repensant, la question tombait juste sur un point. Un badge ne dit pas grand-chose de ce qu'on sait réellement faire. Et depuis des mois, je travaille sur un projet dont j'ai finalement assez peu parlé.
Alors je reprends la plume pour raconter comment j'en suis arrivé à confier une partie du fonctionnement de Knowledge Ladder Academy à des agents IA. Avec les résultats, mais aussi les erreurs et les quelques mauvaises surprises.
Des premiers essais aux 630 heures avec Claude
J'ai commencé comme beaucoup de monde avec ChatGPT, pour écrire, reformuler, préparer des supports. Puis j'ai voulu voir jusqu'où on pouvait aller côté développement informatique.
Il y a un an, j'ai construit avec MiniMax une application complète, ce qu'on appelle aujourd'hui du vibecoding, et je l'avais documentée ici.
Est venu ensuite OpenClaw, ma première tentative pour automatiser le fonctionnement de KLA avec des agents autonomes installés sur un serveur.
Ça marchait, en partie. J'y ai surtout appris ce qu'il ne fallait pas faire. Donner trop de liberté à des agents que je ne maîtrisais pas encore suffisamment, multiplier les automatisations sans avoir stabilisé leur fonctionnement, ou conserver des applications dont la maintenance n'était pas correctement suivie.
Avec Claude Code, puis Cowork, j'ai changé d'approche.
D'après le décompte de Claude, j'ai accumulé 630 heures de travail avec ses outils. Ce chiffre ne représente pas simplement le temps passé à discuter avec un chatbot. J'ai consacré une bonne partie de ce travail à construire les agents, à leur donner accès aux bons outils, à tester leurs interventions, à corriger leurs erreurs et à revoir plusieurs fois leur organisation.
Et tout cela en parallèle de mes missions de conseil.
Ce qui tourne aujourd'hui chez KLA
Le fonctionnement courant de KLA repose désormais en partie sur des agents spécialisés. Ils peuvent également déléguer certaines tâches à d'autres agents, avec des responsabilités et des accès différents.
Sur la gestion des formations, ils lisent les mails, préparent les réponses, créent les sessions dans Digiforma, établissent les devis et les conventions. Quand le cabinet comptable réclame une pièce, ils vont la chercher, ouvrent l'application de comptabilité et la déposent.
Sur le site, Kira répond aux questions des visiteurs. Au téléphone, Léna renseigne les personnes qui veulent en savoir plus sur nos formations. Vous pouvez d'ailleurs l'appeler au 09 39 24 55 29. C'est probablement le moyen le plus simple de voir ce que nous avons mis en place.
Le reste s'est construit progressivement.
Pour un atelier à animer, je décris ce que je veux obtenir et je récupère en quelques minutes un tableau Klaxoon prêt à l'emploi. Un support de présentation me prend une dizaine de minutes.
Avant un rendez-vous avec un investisseur à l'étranger, j'ai demandé une version portugaise et anglaise du site. Elle était en ligne peu après.
Pour les contenus, le fonctionnement est similaire. Quand j'ai une idée de vidéo courte, l'agent s'occupe du montage et peut ensuite publier sur Instagram, X et LinkedIn, une fois le rendu validé.
Je continue évidemment à intervenir, à décider, à corriger. La différence, c'est que je ne prends plus en charge toutes les étapes d'exécution.
Et c'est là que j'ai dû faire évoluer ma manière de travailler.
L'autonomie s'est gagnée
Au départ, j'étais très restrictif. Les agents proposaient et je validais presque tout, parfois ligne à ligne. C'était franchement épuisant.
J'avais construit une organisation qui était censée me libérer du travail opérationnel, mais je passais finalement beaucoup de temps à contrôler ce qu'elle produisait.
J'ai mis du temps à lâcher la bride.
Progressivement, j'ai autorisé certaines opérations sans validation préalable, après avoir vérifié qu'elles étaient suffisamment fiables. D'autres sont restées sous mon contrôle.
Aujourd'hui encore, aucun mail engageant un tiers, aucune publication et aucune dépense ne part sans mon accord.
J'ai aussi séparé les responsabilités. Plutôt qu'un assistant unique capable d'intervenir partout, j'ai choisi une organisation avec plusieurs agents spécialisés et des droits adaptés à leurs missions.
Mes années d'expérience en architecture informatique m'ont été particulièrement utiles pour cette partie. Les problèmes de séparation des responsabilités, de droits d'accès, de supervision ou de gestion des incidents ne sont pas nouveaux. Ce qui change, c'est qu'il faut désormais les appliquer à des agents capables d'agir sur les systèmes.
Cette organisation a encore des limites, et je continue à la faire évoluer.
Le matin où le serveur s'est arrêté
Un matin de septembre, je me réveille avec un mail de notre hébergeur. Le serveur est coupé pour logiciel malveillant. Le site, la base de données, Kira et les autres services hébergés dessus ne répondent plus.
Je transmets le mail à notre agent chargé de la sécurité.
Il se connecte au serveur, investigue, et revient avec un état des lieux précis.
À 6h21, une application secondaire, notre outil de statistiques de fréquentation, avait été exploitée via une faille dont le correctif existait depuis quatre mois. Un programme de minage de cryptomonnaie s'y était installé.
D'après l'investigation, le programme était limité à cette application et ne disposait pas des droits d'administration du serveur.
L'agent a appliqué les correctifs, contrôlé le serveur et les services ont été rétablis dans la matinée.
Nous avons ensuite revu les mises à jour de nos applications et réécrit notre procédure de sécurité.
Ce qui me frappe dans cet incident, c'est que l'erreur venait de nous. Une application secondaire avait été négligée dans la maintenance du serveur. L'IA n'y était pour rien.
En revanche, l'agent nous a permis de comprendre rapidement ce qui s'était passé, d'intervenir et de documenter l'incident. Je n'aurais probablement pas été capable de mener seul ces investigations dans le même délai.
La maintenance reste notre responsabilité. Disposer d'un agent de sécurité ne nous en dispense pas.
Fin octobre, l'alerte PHP
Quelques semaines plus tard, fin octobre, de nouvelles alertes de sécurité concernant PHP ont attiré mon attention.
J'ai demandé à notre agent de recenser les éventuelles expositions de notre infrastructure. Je ne lui ai pas demandé de modifier quoi que ce soit à ce stade.
Il a passé nos applications et leurs dépendances en revue.
Nous n'avions pas de PHP directement exposé en première ligne, mais l'investigation a fait apparaître d'autres mises à jour de sécurité en attente, notamment sur une API dont la version devait évoluer.
L'audit du site faisait alors remonter 97 alertes. Après les interventions, il n'en restait plus que 5.
Il faut évidemment regarder la nature de ces alertes, et pas seulement leur nombre. Un outil d'audit peut signaler des situations de gravité très différente.
Mais cette opération illustre assez bien ce qui a changé dans mon quotidien. Je peux demander une vérification technique approfondie sans devoir mobiliser immédiatement un prestataire ou passer moi-même plusieurs heures à examiner les applications une par une.
Cela ne signifie pas que l'agent remplace un audit de sécurité indépendant. En revanche, il me donne une capacité de contrôle et d'intervention que je n'avais pas auparavant à cette échelle.
Ce que je retiens de cette expérience
Il y a quelques semaines, Anthropic a admis KLA dans son programme partenaires, au niveau Registered.
J'en suis satisfait, mais cette reconnaissance n'est pas ce qui m'intéresse le plus dans le travail que nous avons réalisé.
Ce qui m'intéresse, c'est d'avoir pu expérimenter concrètement la mise en place d'une organisation multiagents, avec des contraintes comparables à celles que je rencontre dans mes missions : des processus métier, des responsabilités, des systèmes existants, des incidents et des décisions qui doivent rester humaines.
Je retiens surtout que la difficulté n'est plus uniquement de faire produire quelque chose à un modèle d'IA.
Il faut aussi décider ce qu'on l'autorise à faire, dans quelles conditions, comment vérifier son travail et quoi faire lorsqu'il se trompe.
Sur ce point, mon expérience de la transformation des organisations m'a autant servi que ma culture technique. Accorder de l'autonomie sans clarifier les responsabilités et les mécanismes de contrôle conduit rapidement à des problèmes, avec des humains comme avec des agents IA.
Je continue à expérimenter et à faire évoluer cette organisation. Certaines automatisations fonctionnent très bien. D'autres demandent encore trop de supervision, et je préfère conserver une intervention humaine lorsque les risques le justifient.
Ce travail m'a aussi permis de faire évoluer notre offre de formation. Chez KLA, nous accompagnons désormais les équipes qui souhaitent intégrer l'IA dans leurs activités, depuis les premiers usages métier jusqu'à la création d'assistants et d'agents.
La plupart des entreprises n'ont pas besoin de reproduire notre organisation. En revanche, les questions que nous avons dû résoudre sur l'autonomie, les responsabilités et la maîtrise des risques se poseront à beaucoup d'entre elles.
C'est sur ces sujets que je souhaite continuer à partager nos retours d'expérience.
