le risque réelLe vibe coding non gouverné, c'est du Shadow IA qui finit en prod.
Générer du logiciel en le décrivant à une IA explose dans les entreprises. Le problème n'est pas l'outil, c'est l'absence de cadre : du code que personne ne relit, des dépendances tirées sans contrôle, des secrets dans les prompts, des choix d'architecture pris par un modèle un vendredi soir. Près d'un collaborateur sur deux a déjà utilisé une IA générative non validée par la DSI. Sans gouvernance, chaque prompt devient une décision technique invisible — et la dette, les failles et le « pourquoi c'est rouge » atterrissent quand même en production. La gouvernance de l'IA pour coder existe précisément pour rendre ce flux visible, traçable et contrôlable.
- Shadow IA : impossible de savoir qui génère quoi, avec quelles données, vers quel dépôt.
- Le risque n'est pas que l'IA écrive du code — c'est que personne ne vérifie ce qu'elle écrit.
- RGPD, secrets, propriété intellectuelle : le risque se matérialise au moment du commit, pas du prompt.
policy-as-codeUne charte IA en PDF ne gouverne rien. Des règles exécutables, si.
La réponse classique est une charte IA dans un Word, un comité transverse et une formation annuelle. Nécessaire, mais inopérant face à un flux qui produit du code à la minute : un document ne bloque pas un commit. La gouvernance qui tient encode les règles en logique vérifiable par la machine — « policy-as-code ». Conventions d'architecture, zones interdites, exigences de sécurité, classification des risques : tout devient des contrôles que le système applique à chaque changement, versionnés dans Git, avec rollback rapide. On passe d'une gouvernance déclarative (« nous interdisons ») à une gouvernance opérante (« le système refuse »).
- Encodez les règles une seule fois ; elles s'appliquent à chaque génération, sans réunion.
- Versionnez la gouvernance dans Git : auditable, diffable, réversible.
- Classez les actions par niveau de risque — et faites bloquer celles qui doivent l'être.
la méthodeLa Méthode Digital Native : intention décrite, règles encodées, livraison vérifiée.
Gouverner l'IA pour coder, c'est séparer trois rôles que le vibe coding mélange dangereusement. Un Product Owner décrit l'intention directement sur le produit live — ce qu'il veut, pas comment le coder. Un Tech Lead encode les règles une seule fois : architecture, conventions, sécurité, contraintes de votre entreprise. Des agents IA livrent à l'intérieur de cette structure, et ne peuvent rien produire en dehors. C'est la Méthode Digital Native : l'IA accélère la fabrication, mais la décision et le contrôle restent à des points humains identifiés et auditables. La DSI ne court plus après le code généré — elle possède le cadre dans lequel il est généré.
- Le Product Owner reste en langage métier ; il ne pilote pas la syntaxe.
- Le Tech Lead encode les standards une fois ; chaque agent démarre dedans.
- Les agents ne sont pas en roue libre : ils opèrent dans une zone et des limites définies.
les gatesDes contrôles déterministes avant la prod — lint, types, tests, sécurité.
Le cœur d'une gouvernance crédible, ce sont les gates : des contrôles déterministes, sans IA, qui s'exécutent avant que le moindre changement n'atteigne la production. Lint, typage, tests, scan de secrets, dérive des lock-files, convention de commit. Vert ou ça ne passe pas. Ces gates ne coûtent aucun token et ne dépendent pas du jugement d'un modèle — ils sont reproductibles et auditables. Surtout, tout transite par VOTRE GitHub, sur votre plan IA existant : le code reste chez vous, l'historique reste chez vous, et « je ne lis pas chaque diff » ne veut plus dire « personne ne vérifie » — ça veut dire « une structure vérifie, à chaque fois, au lieu de vous, parfois ».
- Gates déterministes : zéro token, 100 % reproductibles, exécutés avant chaque mise en prod.
- Scan de secrets et convention de commit imposés au niveau du flux, pas de la bonne volonté.
- Livraison via votre GitHub : le code, l'historique et la revue restent dans votre périmètre.
cocoricoSouveraineté : on ne possède pas les modèles, mais on possède les outils qui les gouvernent.
Agentation est une entreprise française, une équipe de français. Soyons honnêtes : on n'est pas souverains sur les MODÈLES — Claude, GPT et les autres restent américains. Mais on peut être souverains sur les OUTILS qui orchestrent ces modèles, et c'est déjà une énorme partie de l'enjeu : avec juste des modèles, on ne fait pas grand-chose ; tout le travail de gouvernance, de contrôle, de vérification et de mise en production se joue dans la couche d'orchestration. C'est là que la souveraineté est atteignable — et c'est exactement la couche qu'Agentation occupe. Hébergement dans l'UE (Hetzner, Allemagne), données dans l'UE (Supabase), code dans votre GitHub, RGPD by design. La gouvernance de l'IA pour coder n'est pas qu'une exigence de sécurité : c'est aussi un choix de souveraineté.
- Souveraineté sur l'orchestration : le cerveau de la gouvernance reste européen, même si le modèle ne l'est pas.
- Hébergement UE (Hetzner), données UE (Supabase), code dans votre GitHub : RGPD by design.
- Une équipe française qui parle aux DSI françaises — pas un support en décalé sur un autre fuseau.
le logicielUne méthode ne suffit pas : il faut le software qui l'applique.
On peut écrire la plus belle charte de gouvernance — sans logiciel pour l'appliquer, elle reste une intention. Agentation est l'outil qui rend la Méthode Digital Native réelle : il fait coexister le Product Owner qui décrit, le Tech Lead qui encode, les agents approuvés qui livrent et les gates qui vérifient — le tout dans votre infrastructure. C'est la différence entre « nous avons une politique IA » et « notre politique IA s'exécute à chaque commit ». Pour une DSI, c'est ce qui transforme la gouvernance de l'IA de slide de comité en garde-fou opérationnel.
- Du PDF de gouvernance au garde-fou exécuté : Agentation est la couche qui applique.
- Agents approuvés, zones définies, gates avant prod — réunis dans un seul flux.
- S'appuie sur vos comptes : votre GitHub, votre plan IA, votre périmètre de données.
FAQQu'est-ce que la gouvernance de l'IA pour coder, concrètement ?
C'est l'ensemble des règles et contrôles qui garantissent que tout code généré par IA passe par un cadre vérifiable avant la production : des règles encodées une fois (architecture, sécurité, conventions), des agents approuvés qui opèrent dans des limites définies, et des gates déterministes (lint, types, tests, scan de secrets) qui bloquent ce qui ne respecte pas le cadre. Le tout transite par votre GitHub, donc reste traçable et auditable.
En quoi est-ce différent d'une charte IA ou d'une politique interne ?
Une charte décrit ce qu'on autorise ; elle ne bloque rien au moment du commit. La gouvernance opérante encode ces règles en « policy-as-code » : des contrôles que le système applique automatiquement à chaque changement, versionnés dans Git, avec rollback. La charte reste utile pour le cadre humain, mais elle a besoin d'un logiciel pour devenir réellement contraignante. Agentation est ce logiciel.
Comment éviter le Shadow IA sans interdire l'IA aux équipes ?
L'interdiction pousse les usages dans l'ombre. La bonne réponse est de fournir un chemin gouverné plus simple que le chemin clandestin : un endroit où décrire l'intention, où les agents livrent dans une structure qui vérifie tout, et où la DSI garde la visibilité et la traçabilité. On reprend le contrôle en canalisant l'usage, pas en le réprimant.
Est-ce compatible avec nos exigences RGPD et de souveraineté ?
Oui. Agentation est édité par une équipe française, héberge dans l'UE (Hetzner, Allemagne) et stocke les données dans l'UE (Supabase). Votre code reste dans votre GitHub, sur votre plan IA — nous ne voyons pas votre code. La souveraineté ne porte pas sur les modèles (qui restent américains) mais sur la couche d'orchestration et de gouvernance, qui est précisément là où se joue le contrôle.
Qui pilote, et faut-il être développeur ?
Le Product Owner décrit l'intention en langage métier, sans écrire de code. Le Tech Lead — humain — encode les règles une fois et garde la main sur le cadre. Les agents livrent à l'intérieur. La DSI gouverne la structure, pas chaque diff. On n'a pas besoin d'être développeur pour décrire un résultat ; on a besoin d'un cadre qui garantit que ce résultat est livré proprement.
Que se passe-t-il si un agent produit du code non conforme ?
Il ne passe pas. Les gates déterministes (lint, typage, tests, scan de secrets, convention de commit, dérive des lock-files) s'exécutent avant toute mise en production : vert ou ça ne part pas. L'agent retravaille dans la structure jusqu'à conformité. Aucun changement non vérifié n'atteint la prod, et tout reste tracé dans votre GitHub.