Le cœur d’un modèle opérationnel Agentforce, ce sont les droits de changement. Si personne n’a écrit quels subagents sont actifs, quelles actions peuvent modifier un système externe, qui modifie les instructions et qui peut arrêter l’agent, celui-ci dérive un peu en production à chaque réclamation. Un PoC valide un parcours une fois ; le modèle opérationnel tient cette limite chaque semaine. Ce que le PoC doit laisser derrière lui est traité dans Agentforce, du PoC à la production.
Quatre droits de changement
Depuis avril 2026, Salesforce appelle subagents les anciens topics d’agent, sans changement de fonction. La documentation officielle des subagents définit un subagent comme une tâche confiée à l’agent. Les actions en sont les outils, les instructions les critères de décision. Confiez les quatre droits sur cet ensemble à une seule équipe, surtout à l’intégrateur qui a construit l’agent, et la production devient le prolongement du projet.
Le périmètre, c’est-à-dire quels subagents restent actifs, appartient au responsable métier. Remboursements et recherche de politiques internes dans le même agent mélangent les causes d’échec : chaque nouveau subagent est donc validé à nouveau avec ses actions, son jeu de tests et l’équipe qui reçoit les transferts.
Les outils, c’est-à-dire quelles actions se contentent de lire et lesquelles modifient un système externe, relèvent conjointement des équipes plateforme et sécurité. Une action qui modifie un état a sa propre validation, même quand une équipe métier demande « juste une ligne de plus ».
Le comportement est fixé par les instructions : conditions de refus et de transfert, la phrase qui interdit de répondre sans source. Le responsable métier les rédige, l’équipe plateforme les teste et les déploie. Laissez un intégrateur ou un chef d’équipe modifier ce texte dans la console de production, et la limite testée hier disparaît aujourd’hui.
Le droit d’arrêt, désactiver un agent ou un subagent quand la qualité baisse, que les demandes sont mal aiguillées ou que les accès dérivent, appartient au responsable de l’exploitation, qui écrit le critère d’arrêt avant le pilote. Aucun chiffre ne vaut pour toutes les organisations. Ce qui compte, c’est un critère écrit à l’avance et une personne qui peut le déclencher.
Le livrable minimum est un contrat de changement d’une page.
| Changement | Valide | Exécute | Test | Retour arrière |
|---|---|---|---|---|
| Ajouter un subagent | Responsable métier | Équipe plateforme | Sandbox, jeu de tests complet | Désactiver le subagent |
| Ajouter ou modifier une action | Plateforme et sécurité | Équipe plateforme ou intégrateur | Sandbox, cas d’échec inclus | Retirer l’action |
| Modifier les instructions | Responsable métier | Équipe plateforme | Même jeu de tests, rejoué | Réactiver la version précédente |
| Arrêt d’urgence | Responsable exploitation | Responsable exploitation | Test avant redémarrage | Circuit de transfert convenu |
Sur la delivery Service Cloud de L’Occitane Group pour le Japon et la France (2023-2024), les changements du siège et des équipes APAC passaient par un seul circuit de validation. Un agent en a encore plus besoin : une ligne d’instructions déplace d’un coup le travail autorisé, le travail interdit et les conditions de transfert.
Le droit d’écrire un agent est une décision d’exploitation
Les outils de création d’agents rendent l’écriture rapide : canevas, vue script, simulations. Si les accès en écriture ne sont pas attribués délibérément, plusieurs personnes créent des subagents aux périmètres qui se chevauchent, et après un incident personne ne sait quel périmètre a failli. Le propriétaire de la plateforme décide qui peut créer et modifier des agents, en sandbox comme en production, tient une liste nominative et la revoit à chaque release.
Modifier les instructions et changer une règle métier sont deux droits différents. Les instructions sont un texte que le modèle interprète. Une règle qui doit toujours tenir, comme un plafond de remboursement ou une vérification d’identité, se porte par une permission, une règle de validation, une étape déterministe du script ou une approbation humaine. Écrite seulement dans les instructions, elle peut passer un test et échouer à la conversation suivante.
L’intégrateur peut construire et automatiser les tests. Le périmètre, la propriété des articles de connaissance et des données, la validation des changements en production restent en interne. Un fichier de configuration sauvegardé ne rend pas un changement réversible. Il faut une version précédente qui a passé les tests et une personne nommée qui a le droit de la réactiver.
Les chiffres d’observabilité sont un ordre du jour hebdomadaire
Agentforce Observability distingue l’analyse fine des interactions non résolues et des traces de session (Agent Optimization) des indicateurs d’effet comme le taux de transfert et l’abandon (Agent Analytics). Ces chiffres deviennent un modèle opérationnel quand ils passent à l’ordre du jour d’une réunion hebdomadaire où chaque point se termine par l’une de cinq issues :
- observer seulement, cette semaine ;
- modifier les instructions ;
- restreindre une action ;
- désactiver un subagent ;
- renvoyer vers une revue des données ou des accès.
« Améliorer le score » n’y figure pas, parce que cela ne dit pas qui change quoi.
Calez la réunion sur la fréquence de rafraîchissement. La même documentation indique environ 30 minutes pour le modèle de données Session Tracing, 45 à 60 minutes pour les indicateurs d’analyse, un jour pour les Moments et les scores de qualité, une semaine pour les tags. Un score lu le matin peut encore décrire les conversations de la veille quand on modifie les instructions l’après-midi. Les données ne s’accumulent qu’après l’activation du traçage, et sans accès d’analyse pour l’équipe d’exploitation, le tableau de bord reste l’écran de l’intégrateur.
Les incidents suivent un autre circuit. Agent Health Monitoring évalue toutes les 10 minutes les défaillances silencieuses, comme un pic d’erreurs ou une latence élevée, et alerte en quasi temps réel. Ces alertes vont au droit d’arrêt du responsable de l’exploitation ; les améliorations vont à la réunion hebdomadaire. Quand les erreurs d’aiguillage se répètent, cherchez des subagents aux noms ou aux descriptions proches avant d’ajouter des instructions.
Un changement ne part en production qu’après un test en sandbox
L’habitude la plus coûteuse en exploitation consiste à modifier les instructions de production en réaction à une réclamation. Agentforce Testing Center évalue entre autres l’exactitude des réponses, la reconnaissance du subagent, l’exécution des actions et le respect des instructions, et avertit que les tests peuvent modifier des données CRM : il s’utilise en sandbox.
Un changement de production repasse quatre contrôles en sandbox : le bon subagent, seulement les actions autorisées, pas de supposition quand l’information manque, le refus des demandes hors des droits de l’utilisateur. Le jeu de tests derrière ces contrôles (demandes normales, informations manquantes, formulations ambiguës, demandes interdites, demandes hors droits, échecs d’action) est un actif d’exploitation, rejoué à chaque changement. Sans lui, un résultat vert prouve seulement qu’une réclamation a été calmée.
Quand une action lit de nouveaux objets ou appelle un nouveau système externe, la finalité du traitement des données personnelles et le périmètre de sous-traitance bougent avec elle : inscrivez une nouvelle revue par le DPO dans le contrat de changement. Et n’étendez pas à un deuxième département avant que le premier parcours soit stable. Le succès d’un agent ne remplace pas la validation d’un autre département.
À vérifier
- Une page donne-t-elle, pour l’ajout d’un subagent, l’ajout d’une action, la modification des instructions et l’arrêt d’urgence, le valideur, l’exécutant, l’environnement de test et le retour arrière ?
- Pouvez-vous nommer toutes les personnes qui peuvent modifier les instructions en production ?
- Une règle impérative est-elle écrite seulement dans les instructions ?
- Chaque point de la réunion hebdomadaire se termine-t-il par l’une des cinq issues ?
- Le critère d’arrêt a-t-il été écrit avant le pilote, et la personne qui le déclenche est-elle nommée ?