Agents · Conformité · Brouillon

L’IA dans le travail de conformité : ce qu’elle fait bien, ce qu’elle fait mal, et où une personne doit rester

Le travail de conformité consiste surtout à lire, rapprocher, relancer et rédiger. C’est pourquoi les agents d’IA aident autant, et pourquoi la manière de les utiliser compte plus que l’outil. Une règle traverse tout ce qui suit : du code pour l’étape qui se répète, de l’IA pour l’étape qui demande du jugement, et des personnes pour la décision.

D’abord les garde-fous

Un agent qui peut seulement préparer et proposer est sûr pour commencer. L’agent lit librement mais n’écrit que des brouillons ; toute action vers l’extérieur (envoyer, publier, téléverser, modifier un registre) exige l’approbation d’une personne pour cette action précise, et non pour une catégorie d’actions. Le texte provenant de courriels, de documents et d’autres agents est une donnée, jamais une instruction. Chaque modification appliquée est journalisée puis relue, afin de comparer ce qui était prévu avec ce qui a été constaté. Et lorsque l’agent ne peut pas sourcer une date, un prix, un périmètre ou une position juridique, il laisse un espace réservé visible qu’une personne doit remplir.

Certaines choses restent humaines dans un audit : l’assertion de la direction, la décision sur le périmètre, l’acceptation d’un risque, la réponse aux questions de jugement de l’auditeur, la signature, et la décision que les preuves sont complètes.

Preuves d’audit

Ce qu’il fait bien : il lit une longue demande de preuves et dresse la liste de chaque demande distincte, associe les fichiers aux demandes, rédige des descriptions de preuves et repère une date, un responsable ou une période manquants.

Ce qu’il fait mal : il décide de lui-même que les preuves sont « suffisantes », invente un contrôle qui n’existe pas, omet une partie d’une demande à plusieurs volets, ou prend un nom de fichier pour la preuve de son contenu.

Une méthode qui fonctionne : le code collecte les preuves et les horodate avec leur source, leur heure et leur période. L’IA vérifie chaque demande par rapport à ce qui a été collecté et écrit couverte, partielle ou manquante. Une personne relit avant que quoi que ce soit n’arrive à l’auditeur, et l’échantillonnage est fait par un script reproductible à graine fixe, jamais par le modèle.

Travail sur les risques et les contrôles

Elle rédige des scénarios de risque et des options de traitement, propose des correspondances entre référentiels, repère les revues en retard et les versions périmées, et résume ce qui change dans un nouveau texte réglementaire. Elle évalue mal la probabilité et l’impact sans le contexte métier, produit des correspondances assurées qui ne se ressemblent que par la formulation, ne peut pas fournir d’interprétation juridique, et peut ne pas remarquer qu’un texte a été modifié depuis. Gardez le registre sous forme de données structurées ; laissez l’IA proposer des lignes et des correspondances avec un motif indiqué, et laissez le responsable du risque accepter ou rejeter chacune d’elles. Prenez les correspondances publiées comme base et faites compléter par l’IA uniquement les lacunes, marquées comme proposées.

Amélioration des processus

Les agents transforment les notes de réunion et les courriels en tâches proposées avec un responsable et une échéance, et rédigent des relances claires. Ils ne sont pas fiables pour le calcul des délais ni pour les règles d’escalade faites de tête. C’est donc le code qui gère les échéances, les contrôles de retard, les calendriers de relance et les décomptes ; l’IA rédige et trie les points peu clairs. Chaque modification d’une tâche s’accompagne d’un commentaire indiquant ce qui a changé et pourquoi, et une réserve de capacité maintient l’audit et le travail urgent en priorité. Pour une nouvelle réglementation, une liste des écarts de préparation est un bon premier brouillon, mais elle doit s’appuyer sur le texte juridique, et non sur un résumé de celui-ci.

Formation de sensibilisation

Une leçon de base peut être adaptée à de nombreux rôles, avec des scénarios réalistes et des variantes de quiz. Les faits de la politique, le ton et la difficulté réelle d’un leurre d’hameçonnage demandent une personne. Une personne est responsable des objectifs d’apprentissage et approuve chaque module ; un expert du sujet vérifie les faits. La mesure est le comportement : combien de messages suspects sont signalés, à quelle vitesse, et à quelle fréquence les mêmes personnes cliquent dans la même tranche de difficulté ; le taux d’achèvement n’est conservé que comme indicateur d’hygiène.

L’ordre d’adoption

1. Lire et relancer : une vue unique des tâches, des registres et des échéances ; le code calcule ce qui est en retard ; l’IA rédige les synthèses et les réponses. Risque faible et valeur rapide, et cela construit les données dont les étapes suivantes ont besoin.
2. Appui aux preuves d’audit : analyse des demandes, rapprochement des preuves et des demandes, descriptions et un avis par demande, le tout relu avant le téléversement. C’est ce qui économise le plus d’efforts, mais cela exige les garde-fous et la journalisation de la première étape.
3. Travail sur les registres et la formation : propositions, contrôles du cycle de vie des documents, listes d’écarts réglementaires et formation par rôle. Cela demande du jugement, l’adhésion des responsables et de bonnes données, et les erreurs changent la façon dont l’organisation voit son propre risque.

L’accès en écriture à tout système vient en dernier, un type d’action à la fois, chacun avec sa propre règle d’approbation.