La facture d'IA que personne ne regarde : comment gouverner les dépenses OpenAI, Anthropic, Copilot et Cursor

Il y a deux ans, la dépense d'IA d'une entreprise tenait sur une carte bancaire avec un abonnement ChatGPT. Aujourd'hui, ce sont plusieurs clés d'API en production, un projet OpenAI par équipe, des sièges GitHub Copilot et Cursor, et des développeurs qui paient leur propre forfait Claude ou ChatGPT et le passent en note de frais. Chaque élément facture de son côté, dans sa console et selon son cycle. Dans cet article, nous montrons comment tout réunir dans AAA Sentinel, étape par étape et avec un exemple complet.

Pourquoi l'IA est devenue la nouvelle facture incontrôlée

La facture d'IA a les mêmes défauts que la facture cloud il y a dix ans, et quelques autres :

• On paie à l'usage, sans plafond par défaut : une boucle mal écrite ou un agent qui réessaie sans fin peut dépenser en un jour ce que l'on dépensait en un mois.
• Elle est éclatée entre des fournisseurs qui ne se parlent pas : OpenAI, Anthropic, GitHub et Cursor ont chacun leur console, leur façon de regrouper et leur propre notion de budget.
• Une partie ne passe par aucune console de l'entreprise : les abonnements individuels n'apparaissent que dans les notes de frais.
• Les leviers d'économie sont techniques et peu connus : le cache de prompt, l'API de traitement par lots ou un modèle plus petit font économiser beaucoup, mais seulement si quelqu'un regarde les données de consommation.

Ce que vous y gagnez

Une fois la dépense d'IA connectée et surveillée, plusieurs choses changent :

• Vous voyez la dépense de tous les fournisseurs au même endroit, en séparant ce que le fournisseur a déjà facturé de ce qui n'est encore qu'une estimation.
• Vous savez quel projet ou quel workspace dépense, et pas seulement combien dépense l'organisation.
• Vous recevez des recommandations d'efficacité concrètes, avec l'économie maximale qu'elles peuvent apporter au prix catalogue.
• Vous êtes prévenu avant d'épuiser une limite de dépense, et non quand le fournisseur commence à rejeter des requêtes en production.
• Vous avez un inventaire des comptes individuels de votre équipe et de leur prix catalogue.

Comment AAA Sentinel s'y prend

Tout se trouve dans Connexions → « Connexions IA » et repose sur ces éléments :

• Connexions d'organisation : un identifiant d'administration par fournisseur, avec lequel la plateforme lit chaque jour la consommation et le coût facturé.
• Connexions individuelles : le compte d'une personne (son e-mail, son forfait et son jour de renouvellement), sans stocker aucune clé.
• Règles d'IA : chaque connexion est évaluée selon des règles d'efficacité, de gouvernance et d'anomalie qui produisent des résultats avec leur économie maximale.
• Alertes : les pics de dépense et les limites près d'être épuisées passent par les mêmes canaux que les alertes de vos clouds.
• Agent : en Business, avec une clé d'écriture distincte, l'agent peut proposer des limites, des alertes ou des révocations, toujours avec approbation humaine.
• Agent d'usage : une CLI pour le poste de travail qui remonte l'usage des comptes individuels Cursor, Claude Code, Copilot et Codex.

Cas pratique : ACME et sa dépense d'IA

ACME est une entreprise fictive au forfait Business. Elle a deux projets OpenAI, un workspace Anthropic et six développeurs avec leur propre abonnement. Voici sa dépense de septembre, qui nous servira dans tout l'article :

Étape 1 : connecter OpenAI et Anthropic avec une Admin API Key

Allez dans « Connexions IA » et cliquez sur « Connecter un fournisseur d'IA ». L'assistant compte quatre écrans :

• Choisissez le fournisseur : OpenAI ou Anthropic.
• Dans « Organisation ou individuel ? », choisissez « Organisation ».
• « Étape 1 — Créez une clé en lecture seule » : le lien mène à la page des clés d'administration du fournisseur. Chez OpenAI, c'est une Admin API Key de l'organisation ; chez Anthropic, une Admin Key de la console. Une clé d'API ordinaire, celle qui sert à appeler le modèle, ne convient pas. Une fois la clé créée, cliquez sur « J'ai la clé ».
• « Étape 2 — Connectez la clé » : renseignez « Nom de la connexion » (par exemple, OpenAI Production), collez la clé dans « Clé API (lecture seule) » et, si vous le souhaitez, l'« ID d'organisation », facultatif pour ces deux fournisseurs. Cliquez sur « Connecter ».

Étape 2 : Copilot, Cursor et OpenRouter (Business)

Les connexions d'organisation de ces trois fournisseurs exigent le forfait Business, car les règles qui s'y appliquent sont des règles de gouvernance. Chacun demande un identifiant différent :

• GitHub Copilot : un jeton d'accès personnel classique avec la permission manage_billing:copilot ou read:org, créé par un propriétaire de l'organisation. L'« ID d'organisation » est obligatoire : c'est le login de l'organisation sur GitHub.
• Cursor : une clé d'API d'administrateur du tableau de bord Cursor, avec le scope admin:*, créée par un administrateur de l'équipe.
• OpenRouter : une Management API Key, différente des clés d'inférence. Au lieu de l'ID d'organisation, il demande l'« ID du workspace », obligatoire : c'est le workspace dont le budget sera lu et, si vous activez l'écriture, ajusté.

Étape 3 : les comptes individuels

Pour les forfaits personnels de votre équipe, choisissez « Individuel » à la deuxième étape de l'assistant. Aucune clé n'est demandée : seulement « E-mail du titulaire », « Forfait du fournisseur », « Jour de renouvellement » (de 1 à 28) et, si vous gérez des clients, à qui il appartient. La plateforme enregistre le « Prix catalogue » du forfait selon son catalogue et l'ajoute à l'inventaire.

• Sur la fiche d'un compte individuel, « Usage déclaré » permet de noter le pourcentage du quota consommé à chaque période de renouvellement. C'est le moyen le plus simple de savoir si un forfait coûteux est utilisé.
• Dans la liste « Connexions IA », le bloc « Personnes » regroupe les connexions individuelles d'un même e-mail.
• La plateforme signale quand une même personne a deux connexions individuelles chez le même fournisseur, ou apparaît aussi dans la connexion d'organisation : le signe typique d'un double paiement.

Étape 4 : lire la fiche d'une connexion

En ouvrant une connexion d'organisation, vous trouverez :

• « Coût facturé » et « Coût estimé », toujours séparés : le premier est le montant déjà confirmé par le fournisseur ; le second, notre propre estimation de ce qu'il n'a pas encore facturé. Ils ne sont jamais additionnés en un seul chiffre.
• « Évolution quotidienne » : la dépense jour par jour sur la « Période » choisie. C'est là qu'on voit un pic avant qu'il n'arrive sur la facture.
• « Répartition » : la dépense par affectation, c'est-à-dire le projet chez OpenAI et le workspace chez Anthropic. C'est ce qui vous dit qui dépense.
• « Écriture de l'agent » : l'endroit où activer, ou révoquer, la clé d'écriture de l'étape 7.

Étape 5 : ce que détectent les règles d'efficacité (Pro)

Les règles d'efficacité lisent les tokens par modèle dans chaque projet ou workspace. Les voici, avec leurs seuils réels :

• AI-001, cache sous-utilisé (OpenAI et Anthropic) : il y a des écritures en cache, mais moins de 20 % de l'entrée est servie depuis le cache, avec au moins 100 000 tokens d'entrée.
• AI-002, candidat à l'API par lots (OpenAI et Anthropic) : au moins 2 millions de tokens sur 7 jours ou plus au niveau de service standard. L'API par lots facture environ moitié moins.
• AI-003, fenêtre de contexte surdimensionnée (Anthropic seulement) : consommation dans la fenêtre de 200 000 à 1 million de tokens avec des sorties inférieures à 2 % de l'entrée.
• AI-004, modèle coûteux pour une tâche simple (OpenAI, Anthropic, Cursor et OpenRouter) : un modèle haut de gamme dont la sortie n'atteint pas 10 % de l'entrée.
• AI-005, écriture en cache non amortie (OpenAI et Anthropic) : au moins 50 000 tokens écrits en cache et moins d'une lecture par token écrit.

Les règles de gouvernance et d'anomalie (Business)

Business ajoute des règles qui ne cherchent pas l'efficacité, mais l'absence d'un garde-fou ou une dépense qui s'emballe :

• AI-010 et AI-011 : il y a une dépense réelle, environ 10 USD/mois ou plus extrapolés sur au moins 7 jours, sans aucune limite stricte (AI-010) ou sans aucune alerte de dépense (AI-011).
• AI-012 : une clé d'API OpenAI, Anthropic ou OpenRouter sans activité depuis 30 jours ou plus.
• AI-013, AI-014 et AI-015 (Cursor) : dépense de personnes retirées de l'équipe ; utilisateurs sans limite mensuelle, avec au moins 10 USD de consommation à l'usage sur le cycle et au-dessus de la moyenne de l'équipe ; et dépense dans le groupe « Unassigned », sans groupe de facturation.
• AI-016 et AI-017 (Copilot) : un budget Copilot n'arrête pas la facturation des licences de siège ; et des sièges sans activité depuis 30 jours ou plus (la date dépend de la télémétrie de l'IDE, c'est donc un indice, pas une certitude).
• AI-020 : un jour dont la dépense triple la moyenne des jours précédents, avec au moins 7 jours de référence ; à partir de six fois la moyenne, en sévérité élevée.
• AI-021 (Cursor) : les agents automatiques représentent 15 % ou plus de la dépense de l'équipe et au moins 50 USD/mois.
• AI-022 : la dépense de la période de la limite (le mois, ou chez OpenRouter aussi la semaine ou le dernier jour complet) atteint déjà 80 % ou l'a épuisée, ou la projection en fin de mois la dépasse.

Étape 6 : être prévenu avant d'épuiser la limite

AAA Sentinel n'invente pas de budget d'IA propre : il lit la limite déjà configurée chez le fournisseur (la limite d'un projet ou de l'organisation chez OpenAI, le budget Copilot ou celui du workspace chez OpenRouter) et la compare chaque jour à la dépense du mois. Chez OpenRouter, qui accepte à la fois un budget quotidien, hebdomadaire et mensuel, il compare chacun à la dépense de sa propre période (le dernier jour complet, depuis le lundi ou depuis le 1er, en UTC) ; le budget à vie n'est pas mesuré. La règle AI-022 se déclenche dans trois cas : la dépense atteint déjà 80 % de la limite ; après au moins 5 jours de données, la projection en fin de mois la dépasse ; ou la limite est épuisée, ce qui passe en sévérité élevée car le fournisseur peut être en train de rejeter des requêtes (sauf le budget quotidien d'OpenRouter, mesuré sur la journée déjà close).

• L'avertissement arrive comme alerte de budget d'IA par les canaux configurés dans Alertes → « Canaux d'alerte » (e-mail, Slack, Microsoft Teams ou webhook), avec l'interrupteur « Pics de dépenses » activé, le même qui gouverne les pics d'AI-020.
• Chez ACME, etl-resumes a une limite de 1 300 USD chez OpenAI. Le 10 octobre, il en est à 520 USD : à ce rythme, il terminera le mois à 520 ÷ 10 × 31 = 1 612 USD, au-dessus de la limite. L'alerte arrive ce jour-là, avec trois semaines de marge.

Étape 7 : laisser l'agent agir pour vous (Business)

La clé de lecture ne peut jamais rien modifier. Si vous voulez que l'agent puisse corriger, dans « Écriture de l'agent » sur la fiche de la connexion, collez une seconde clé avec des droits d'écriture et cliquez sur « Activer l'écriture ». Elle est révocable à tout moment sans affecter la collecte. Voici les actions disponibles aujourd'hui par fournisseur :

• Toutes les actions d'IA exigent une approbation humaine : aucune ne s'exécute en pilote automatique. Après approbation, un délai de grâce précède l'exécution, par exemple 24 heures pour la limite d'un projet OpenAI, 48 pour celle de toute l'organisation ou pour révoquer un siège Copilot, et 72 pour révoquer une clé.
• Révoquer une clé chez OpenAI ou OpenRouter est irréversible, et l'agent ne révoque pas de clé de moins de 30 jours.
• Chez ACME, AI-010 sur support-bot amène l'agent à proposer une limite pour ce projet ; un approbateur indique le montant, approuve et, 24 heures plus tard, la limite est en place chez OpenAI.

Étape 8 : l'agent d'usage sur le poste de travail

Les comptes individuels n'ont pas d'API de consommation. Pour savoir combien ils sont utilisés, AAA Sentinel propose une CLI qui lit l'activité locale de Cursor, Claude Code, Copilot et Codex. Le guide complet se trouve dans Développeur → « Agent d'usage ». Sur la fiche d'une connexion individuelle Cursor, Anthropic, Copilot ou OpenAI, cliquez sur « Enrôler » : le jeton ne s'affiche qu'une fois. Ensuite, sur le poste de la personne :

npm install -g @aaa-sentinel/ai-usage

sentinel-usage login < token.txt

Get-Content -Raw -Encoding utf8 token.txt | sentinel-usage login

sentinel-usage status
sentinel-usage logout

• Le jeton passe par l'entrée standard, jamais en argument, pour ne pas rester dans l'historique du shell. login programme le rapport à l'ouverture de session et toutes les heures.
• Seuls le jour, le modèle et les compteurs (tours, tokens ou requêtes) sont envoyés. Le prompt, le code, la conversation et le chemin du transcript ne quittent pas le poste.
• Copilot est lu via gh et donne les requêtes premium par modèle, sans tokens. Codex n'est lu que si la connexion se fait avec l'abonnement ChatGPT : s'il utilise une clé d'API, cette dépense relève de la connexion d'organisation.
• Ces chiffres ne sont pas convertis en dollars ni ajoutés au facturé ou à l'estimé : ils indiquent si un forfait est utilisé.

Ce qu'il ne fait pas encore

Pour que vous sachiez à quoi vous attendre :

• Il n'y a pas de budget d'IA défini dans AAA Sentinel : les alertes de budget comparent à la limite configurée chez le fournisseur.
• Chez Anthropic, l'agent ne peut créer ni alertes ni limites de dépense, car son Admin API ne le permet pas en dehors de Claude Enterprise. AI-010 et AI-011 restent des conseils manuels.
• La connexion individuelle OpenRouter ne peut pas encore être ajoutée.
• L'économie des règles d'efficacité est un plafond au prix catalogue : l'économie réelle peut être inférieure, et sans plafond garanti la règle alerte sans chiffre.
• L'usage remonté par la CLI n'a pas de montant : Copilot ne donne pas de tokens et Cursor ne donne des compteurs que si son hook les fournit.

Checklist pour démarrer

Avec tout cela en place, la facture d'IA cesse d'être une surprise de fin de mois :

• Forfait Pro pour OpenAI ou Anthropic ; Business pour Copilot, Cursor ou OpenRouter, pour les règles de gouvernance et pour l'agent.
• Une Admin API Key par fournisseur, connectée depuis « Connexions IA ».
• Les comptes individuels de votre équipe ajoutés, avec leur forfait et leur jour de renouvellement.
• Une limite de dépense configurée chez chaque fournisseur qui le permet, et l'interrupteur « Pics de dépenses » activé dans « Canaux d'alerte ».
• L'« Écriture de l'agent » activée uniquement sur les connexions où vous voulez que l'agent propose des changements.
• L'agent d'usage installé sur les postes qui ont des forfaits coûteux.