Rory Blundell, PDG de Gravitee – Série d’entretiens

Rory Blundell, PDG de Gravitee, apporte une combinaison rare de profondeur technique, de leadership commercial et d’expérience de fondateur dans le domaine de la gestion des API. Avant de prendre les rênes de l’entreprise en tant que PDG en septembre 2020, il a rejoint Gravitee en tant que directeur des revenus et a aidé à élaborer la stratégie de croissance de l’entreprise après avoir occupé des postes de direction dans les opérations techniques de terrain EMEA chez SnapLogic, où il a travaillé sur les pré-ventes, les services professionnels, la formation et la réussite client. Son parcours comprend également la fondation de Velinko, une entreprise de logiciels et de conseil au Royaume-Uni qui sert les secteurs juridique et comptable, où il a travaillé sur des projets d’API, d’ETL, d’AWS, de Java, de PHP, de WordPress, de bases de données, de rapports et de transformation de données. Cette combinaison de compétences techniques, d’expérience commerciale et d’exécution de startup l’a positionné pour diriger Gravitee à mesure que les API, les flux d’événements et les agents IA deviennent de plus en plus centraux dans les infrastructures d’entreprise.

Gravitee est une entreprise de gestion d’API qui aide les entreprises à gérer, sécuriser, gouverner et mettre à l’échelle les connexions numériques entre les applications, les services, les flux d’événements et les agents IA. Sa plate-forme combine la gestion des API, une passerelle de gateway événementielle, des capacités de portail de développeur, un support pour les flux d’événements et des fonctionnalités émergentes de gestion d’agents IA, offrant ainsi aux organisations un plan de contrôle unifié pour les API synchrones, les événements asynchrones, les interactions d’agents MCP/A2A et la gouvernance dans les environnements distribués. L’entreprise décrit sa plate-forme comme open-source et évolutives, et elle a été reconnue comme un leader dans le quadrant magique de Gartner 2025 pour la gestion des API, reflétant sa position à l’intersection de l’infrastructure des API, des systèmes à événements en temps réel et de la nouvelle pile d’IA agente.

Vous avez fondé Velinko, construit des solutions logicielles vous-même à travers des technologies allant d’AWS et d’API à des plateformes de transformation de données, puis vous êtes passé à la direction d’équipes techniques chez SnapLogic avant de devenir PDG de Gravitee. Comment ce parcours de bâtisseur à PDG a-t-il façonné votre vision de l’avenir des agents IA et des infrastructures d’entreprise ?

Mon parcours m’a permis de voir l’infrastructure d’entreprise sous plusieurs angles, en tant que bâtisseur, opérateur et maintenant PDG. Chez Velinko, nous résolvions un problème de données pratique, en extrayant des informations de différents endroits, en les transformant, en les agrégeant et en les rendant utilisables. Cette expérience a ancré ma vision de ce que la technologie d’entreprise doit faire : connecter les systèmes, protéger les données et transformer la complexité en quelque chose que les gens peuvent exploiter.

Pendant mon séjour chez SnapLogic, j’ai vu à quel point la gestion des API devenait centrale dans la pile d’entreprise. Les API n’étaient plus seulement des interfaces techniques ; elles sont devenues la façon dont les entreprises exposent, contrôlent et mettent à l’échelle l’accès à des systèmes et des données critiques. C’est ce qui m’a d’abord amené à Gravitee, et cela reste la base de ma réflexion sur ce marché.

Les entreprises doivent savoir qui peut accéder à quoi, comment ces points d’accès sont trouvés et utilisés, et ce qui se passe réellement à travers l’environnement. Ces principes étaient essentiels pour les API, et ils le sont maintenant tout autant pour les agents. Les entreprises entrent dans un monde où les agents peuvent agir sur les API, les applications, les données et les flux de travail. Les entreprises qui réussiront ne seront pas celles qui construiront le plus d’agents, mais celles qui mettront en place l’infrastructure appropriée autour d’eux : autorisations claires, gouvernance solide et contrôle sur les systèmes qu’ils touchent.

Gravitee a construit sa réputation dans la gestion des API et a depuis élargi son focus à la gestion des agents IA. Qu’est-ce qui vous a convaincu que les agents IA représentaient le prochain grand changement technologique, et pourquoi était-ce le bon moment pour faire évoluer l’entreprise dans cette direction ?

Je vois la gestion des agents IA comme la prochaine étape de la même problématique que nous avons toujours aidé les entreprises à résoudre.

La gestion des API était et est fondamentalement axée sur trois choses : la sécurité, la découverte et l’observabilité. Les agents sont l’endroit suivant où ces principes doivent être appliqués.

Aujourd’hui, les entreprises commencent à affronter les mêmes questions avec les agents qu’elles ont rencontrées avec les API. Comment assurer la sécurité ? Comment savoir quels agents sont en cours d’exécution, où ils s’exécutent et à quoi ils peuvent accéder ? Comment comprendre ce qu’ils font, pourquoi ils agissent et si leur action est dans les limites acceptables ?

Le timing est important car les entreprises passent de l’expérimentation avec l’IA à la question de savoir comment mettre les agents au travail réel. La question difficile n’est plus de savoir si un agent peut être construit, mais si une entreprise peut gouverner les agents à travers les modèles, les outils, les API et les systèmes qu’ils touchent.

C’est là que l’héritage de Gravitee dans la gestion des API devient très pertinent. Les agents ne seront mis à l’échelle dans l’entreprise que si les organisations peuvent apporter la même discipline à leur égard qu’elles attendent du reste de leur infrastructure : autorisations claires, actions visibles, traçabilité, gouvernance et contrôle.

De nombreuses organisations expérimentent avec les agents IA, mais relativement peu les ont déployés à grande échelle. Qu’est-ce qui distingue les adoptants réussis des entreprises qui restent bloquées au stade pilote ?

La différence réside dans le fait que l’organisation traite les agents comme des expériences isolées ou comme partie d’un nouveau modèle opérationnel. À petite échelle, un ou deux agents peuvent sembler gérables. Le défi surgit lorsque l’entreprise commence à se diriger vers de multiples agents à travers les équipes, les systèmes et les flux de travail. À ce stade, la question n’est plus de savoir si un agent peut accomplir une tâche, mais si l’organisation peut contrôler la façon dont les agents travaillent, ce qu’ils touchent et comment ils s’intègrent dans la façon dont l’entreprise opère.

Les organisations qui établissent une discipline de gestion autour des agents dès le début comprennent où les agents s’intègrent dans le flux de travail, quelles décisions doivent rester entre les mains des humains et quels contrôles doivent être en place avant que les agents soient confiés à des tâches réelles.

Ceci n’est pas seulement un changement technologique ; c’est également un changement dans la façon dont les organisations travaillent. Les adoptants réussis comprendront ce changement et mettront en place la structure appropriée dès le début.

Les agents IA interagissent de plus en plus avec les API, les bases de données, les applications d’entreprise et même d’autres agents. Comment voyez-vous l’orchestration des agents évoluer, et quels défis les organisations doivent-elles résoudre avant que ces systèmes puissent fonctionner de manière fiable à grande échelle ?

Le défi n’est pas seulement la complexité technique ; c’est la complexité de la responsabilité. Lorsque les agents appellent des API, interrogent des bases de données et invoquent d’autres agents, la chaîne d’autorité se multiplie et la plupart des entreprises n’ont aucun moyen de la voir.

L’orchestration évolue de l’exécution de tâches par un seul agent vers des flux de travail multi-agents où la sortie d’un agent devient l’entrée d’un autre agent, souvent à travers des modèles, des fournisseurs et des limites d’entreprise, et c’est précisément à ce moment-là que la gouvernance se brise.

Avant que ces systèmes puissent fonctionner de manière fiable à grande échelle, les organisations doivent résoudre quatre choses : donner à chaque agent une identité connue et authentifiée ; définir ce que chaque agent est autorisé à toucher (outils, données, API en aval) ; faire respecter ces autorisations lors de l’exécution ; et maintenir un registre de lignée complet depuis la commande humaine jusqu’au système que l’agent a finalement touché.

Les entreprises qui traitent l’orchestration comme un problème d’ingénierie pure et qui sautent la couche de gouvernance se retrouveront à gérer des incidents plutôt que de mettre à l’échelle les opérations.

L’industrie a passé des années à faire face à la prolifération des API à mesure que les organisations adoptaient les technologies cloud. Entrons-nous maintenant dans une ère de “prolifération d’agents” et quels enseignements les entreprises peuvent-elles tirer des transformations technologiques précédentes ?

Oui, je vois un risque réel de recréer le même modèle que nous avons vu avec les API : adoption large dans l’entreprise avant que le bon modèle de gestion soit en place. La leçon de l’ère des API est que les organisations ne devraient pas attendre que l’environnement soit déjà fragmenté avant de mettre en place la visibilité et le contrôle.

Les agents créent un défi similaire, mais avec une couche de risque plus active parce qu’ils peuvent opérer à travers les systèmes et les flux de travail. Les questions que les entreprises doivent se poser sont simples : quels agents existent, qui les possède et qu’est-ce qu’ils sont autorisés à toucher ?

Si les entreprises appliquent cette discipline dès le départ, elles peuvent éviter de se retrouver avec des agents qu’elles ne peuvent pas voir, sécuriser ou contrôler.

Quels sont les plus grands malentendus que les dirigeants d’entreprise ont sur les agents IA aujourd’hui, et où pensez-vous que les attentes sont en avance sur la réalité ?

Le malentendu dominant est que la capacité de l’agent est le goulet d’étranglement. Ce n’est pas le cas. Le goulet d’étranglement est de savoir si l’organisation peut tenir les agents responsables de la même manière qu’elle tient les humains responsables, avec un rôle défini, un accès limité et un registre auditable.

De nombreux dirigeants pensent que le déploiement de plus d’agents conduit à une accélération automatique. En pratique, les agents non gouvernés créent des dépenses d’ombre en IA, un accès non contrôlé aux données et des défaillances opérationnelles que personne ne peut diagnostiquer parce qu’il n’y a pas de traçage.

Des exemples récents d’agents IA retirés de la production après des erreurs opérationnelles sont instructifs. Nous avons vu un agent avec des autorisations de calendrier étendues et sans limite définie effacer tout un calendrier d’entreprise en une seule action. Le modèle n’était pas le problème ; personne n’avait défini ce qu’il était autorisé à toucher. Ce n’est pas un problème d’hype de l’IA ; c’est un problème de gouvernance. Dans de nombreux cas, l’agent peut avoir été capable d’effectuer la tâche mais manquait d’un rôle défini et d’une limite sur ce qu’il pouvait accéder et d’un plan d’escalade clair lorsque quelque chose se déroulait mal.

Les attentes sont les plus en avance sur la réalité en ce qui concerne la prise de décision autonome. Les dirigeants veulent des agents qui agissent, mais ce dont ils ont besoin en premier lieu, ce sont des agents dont les actions sont visibles, réversibles et attribuables.

La sécurité et la gouvernance sont devenues des préoccupations majeures à mesure que les agents IA accèdent à des systèmes et des données sensibles. Quels sont les plus grands risques que vous voyez, et comment les organisations devraient-elles aborder la gestion de ces risques ?

Le plus grand risque est que les agents entrent en production plus vite que les entreprises ne peuvent les gouverner. Le rapport de Gravitee sur l’état de la sécurité des agents IA a constaté que les parcs d’agents IA des entreprises ont doublé environ depuis décembre 2025, tandis que la couverture de surveillance, les structures de responsabilité et les contrôles préalables au déploiement ont à peine bougé. La recherche a également montré que près de la moitié (48%) des agents IA de production fonctionnent sans sécurité ni gouvernance, et 54% des organisations ont connu ou soupçonné un incident de sécurité ou de confidentialité des données lié à un agent IA au cours des 12 derniers mois.

Ces données soulignent pourquoi la gouvernance doit mûrir en parallèle avec l’adoption. Lorsque les agents accèdent à des données, des applications et des flux de travail sensibles, la propriété et la responsabilité doivent être tout aussi claires que l’accès lui-même : qui est responsable de cet agent, quels actions a-t-il prises et comment est-ce activement surveillé ?

La réponse n’est pas de ralentir les agents. Il s’agit d’établir une visibilité claire dès le départ sur chaque agent, les modèles auxquels il se connecte, les outils qu’il utilise et les autres agents avec lesquels il interagit.

À partir de là, les organisations peuvent déployer le bon modèle opérationnel autour des agents : propriété claire, autorisations limitées, contrôles préalables au déploiement, surveillance continue, traçabilité et plan d’escalade clair en cas de problème. C’est ce qui donne aux entreprises la confiance pour utiliser les agents en toute sécurité à grande échelle.

À mesure que les gouvernements et les régulateurs commencent à prêter une attention plus grande aux systèmes d’IA, comment les entreprises devraient-elles équilibrer l’innovation avec la conformité, la transparence et la gestion des risques ?

L’attention réglementaire devrait être un catalyseur, et non une raison d’attendre.

La conformité commence avec la lignée : le registre complet et auditable depuis la commande humaine jusqu’à l’appel d’API que l’agent a effectué en aval. Sans cela, les entreprises ne peuvent pas répondre à la question réglementaire de base de savoir ce que leur agent a fait et pourquoi. Ce n’est pas un problème futur. La date limite de conformité de l’Acte IA de l’UE en août 2026 est déjà dans le calendrier, et les organisations qui ont une lignée et une application de politique en place aujourd’hui la rencontreront sans se précipiter.

Les politiques en tant que code et l’application de politique centralisée sont la mise en œuvre pratique de ce modèle. Les entreprises ont besoin d’un seul moteur de politique, d’une seule traçabilité, d’une application cohérente à travers chaque agent, quel que soit le modèle ou le fournisseur.

L’attitude de gestion des risques qui gagne est non pas un déploiement lent, mais un déploiement audacieux avec la responsabilité intégrée dès le premier jour. Ceux qui traitent la responsabilité de l’agent comme un avantage plutôt que comme un obstacle de conformité ne seront pas ralentis par la réglementation. Ils seront prêts.

Les normes ouvertes telles que le protocole de contexte de modèle (MCP) et la communication d’agent à agent (A2A) gagnent en momentum. Quelle sera l’importance de l’interopérabilité pour l’avenir de l’IA d’entreprise, et pensez-vous que l’industrie se dirige suffisamment vite vers des normes communes ?

L’interopérabilité n’est pas optionnelle. Les entreprises ne fonctionnent pas avec un seul modèle ou un seul fournisseur ; elles fonctionnent avec des écosystèmes. Des normes comme MCP et A2A sont ce qui permet aux agents d’appeler des outils, d’accéder au contexte et de communiquer à travers cet écosystème sans intégrations sur mesure pour chaque paire de systèmes.

Le momentum est réel, mais la question de la vitesse manque la question plus importante : les normes qui permettent aux agents d’agir doivent être accompagnées de normes qui régissent la façon dont ils agissent. La connectivité sans responsabilité au niveau du protocole ne déplace simplement le problème de gouvernance.

Les entreprises qui bénéficieront le plus de MCP et A2A sont celles qui associent l’interopérabilité au niveau du protocole à un plan de contrôle centralisé, de sorte que les interactions entre agents et entre systèmes soient observables, appliquées par des politiques et auditable à partir d’un seul endroit.

C’est là que l’approche de Gravitee devient importante. La gestion des API, la gestion des agents et l’identité sur une seule plate-forme signifient qu’un seul moteur de politique gouverne chaque interaction d’agent, quel que soit le protocole qu’il utilise.

En regardant les cinq prochaines années, à quoi ressemblera le succès pour les agents IA dans l’entreprise, et quels conseils donneriez-vous aux organisations qui veulent construire une stratégie d’IA évolutives et prêtes pour l’avenir aujourd’hui ?

Le succès au cours des cinq prochaines années sera mesuré par la capacité des agents à effectuer un travail significatif en toute sécurité, de manière fiable et à grande échelle. Les agents IA peuvent aider les entreprises à devenir plus agiles et à donner aux gens une grande puissance. Mais cela ne se produit que si les organisations sont intentionnelles quant à la façon dont elles les déployeront.

Les organisations qui vont simplement “tout agent” et qui se soucieront de la gouvernance plus tard verront des gains précoces, mais ces gains ne survivront pas à la complexité qui suivra. Un meilleur cours d’action est de traiter les agents comme une infrastructure de production dès le début.

Mon conseil est de construire le modèle de gestion tôt. Définissez la propriété, les autorisations, la surveillance, la traçabilité et les chemins d’escalade avant que les agents ne fonctionnent à travers les flux de travail critiques. Le futur n’est pas seulement les humains qui construisent chaque tâche eux-mêmes. C’est les humains qui deviennent les architectes du processus, avec les agents qui les aident à aller plus vite, à amplifier l’impact et à faire plus qu’ils ne pouvaient le faire auparavant.

Je vous remercie pour cette grande interview. Les lecteurs qui souhaitent en savoir plus peuvent visiter Gravitee.