Les garde-fous IA sont les limites techniques et organisationnelles posées autour d’un système d’intelligence artificielle pour qu’il ne reçoive, ne produise et n’exécute que ce que son propriétaire a autorisé, quel que soit le résultat généré par le modèle sous-jacent.
Les garde-fous IA existent parce que la sortie d’un modèle de langage est probabiliste : une même entrée peut donner une réponse différente, et une entrée manipulée, une réponse nuisible. Le Top 10 OWASP des applications LLM 2025 nomme ce risque Excessive Agency (LLM06) : des actions dommageables déclenchées par des sorties inattendues, ambiguës ou manipulées, rendues possibles par des fonctionnalités, des permissions ou une autonomie excessives.
Les garde-fous IA agissent à trois niveaux :
- Garde-fous d’entrée : contrôler ce qui atteint le modèle, par exemple un document dont le texte masqué tente de donner des instructions, le mécanisme de l’injection de prompt
- Garde-fous de sortie : valider ce qui revient, comme un format attendu, un montant dans une fourchette plausible, un numéro de TVA qui existe ou un total égal à la somme de ses lignes
- Garde-fous d’action : limiter ce qu’un agent peut déclencher, avec des permissions minimales et une validation humaine pour toute action irréversible, comme un paiement
En finance, les garde-fous IA les plus solides sont des règles déterministes appliquées après le modèle, parce qu’une règle ne se laisse pas convaincre. Le modèle lit la facture ; une règle vérifie ensuite que l’IBAN correspond au référentiel fournisseur et que le montant correspond au bon de commande. Le modèle propose, la règle vérifie. Une instruction du type « ne valide jamais un IBAN inconnu » écrite dans le prompt reste une consigne, pas un contrôle.
Les agents Phacet fonctionnent à l’intérieur de garde-fous définis par l’équipe finance. Chaque valeur extraite est confrontée aux données de référence, chaque agent n’agit que dans son périmètre, et les paiements comme les changements de coordonnées bancaires passent toujours par une validation humain dans la boucle. Les garde-fous rendent un modèle utilisable en production, et un jeu de données de référence permet de mesurer leur effet avant chaque changement. Ils relèvent de la gouvernance IA.
