En juin 2023, un avocat new-yorkais a cité devant un juge fédéral six décisions de justice censées étayer le dossier de son client. Un seul problème : aucune n’existait. Il avait demandé à ChatGPT de trouver des précédents, et le modèle lui avait fourni six références présentées avec assurance, correctement mises en forme et entièrement inventées, jusqu’aux citations et aux numéros de dossier. Le juge lui a infligé une amende de 5 000 $. L’histoire a fait le tour du monde, servant de mise en garde.
Trois ans plus tard, ce n’est plus une simple mise en garde. C’est un phénomène récurrent. Damien Charlotin, chercheur à HEC Paris, tient une base de données publique de décisions de justice dans lesquelles une personne a présenté des éléments hallucinés par une IA et s’est fait prendre. La liste compte désormais plus de 1 700 décisions dans des dizaines de pays, et plusieurs autres s’y ajoutent chaque semaine. Depuis cette première amende de 5 000 $, les sanctions ont atteint des montants à six chiffres, et plusieurs avocats ont été suspendus.
Voici ce qui devrait préoccuper toute personne travaillant dans la conformité. Les avocats se font prendre parce qu’une fausse référence peut être vérifiée. Il suffit de consulter le recueil de jurisprudence ou de rechercher le dossier pour que l’invention soit démasquée en quelques minutes. Les processus de conformité intègrent rarement ce filet de sécurité. Lorsqu’un outil d’IA déclare qu’une contrepartie ne présente aucun problème ou attribue à un fondateur un score de risque de 22 sur 100, presque personne ne cherche à aller plus loin. La réponse est simplement versée au dossier, puis l’équipe passe à la suite. Si elle était erronée, vous ne l’apprenez généralement que plus tard, lorsqu’un régulateur, un journaliste ou une perte financière vous le révèle.
Ainsi, derrière la question « puis-je faire confiance à l’IA en conformité ? », il ne s’agit pas de savoir si le modèle est performant. Les modèles actuels le sont extrêmement. La question est de savoir si vous pouvez vérifier son travail, car dans une fonction réglementée, une réponse invérifiable n’est pas un atout. C’est un risque formulé sans faute de grammaire.
Le problème n’est pas que l’IA se trompe. C’est qu’elle le fait avec assurance.
Les grands modèles de langage ne recherchent jamais réellement d’informations. Ils prédisent du texte. Vous soumettez une instruction au modèle, qui génère la suite statistiquement la plus probable. Le résultat est juste la plupart du temps et, de temps à autre, faux, tout en étant formulé avec une fluidité parfaite. Le secteur a adopté le terme d’hallucinations pour désigner ces erreurs, mais ce mot en minimise le danger. Une hallucination ne s’annonce pas. Aucun avertissement ne l’accompagne, aucun score de confiance réduit ne vous met la puce à l’oreille. Elle ressemble en tout point à une réponse exacte et emploie le même ton calme et autoritaire que toutes les autres productions du modèle.
Dans la plupart des contextes, c’est un désagrément mineur. Dans un cadre réglementé, c’est un risque. Pour comprendre pourquoi, il suffit d’examiner les deux façons dont un outil de filtrage peut se tromper. Un outil qui invente une correspondance avec une liste de sanctions vous coûtera un après-midi : un analyste examine cette fausse alerte, établit qu’elle est sans fondement et la clôture. C’est frustrant, mais l’erreur est visible et finit par être corrigée. Un outil qui invente un résultat ne signalant aucun problème produit l’effet inverse. Son erreur reste silencieuse. Personne n’enquête sur un feu vert. L’omission reste dans votre dossier, avec toutes les apparences d’une vérification sérieuse, jusqu’au jour où ces apparences ne tiennent plus.
Ces types d’erreurs se retrouvent directement dans le travail de conformité. Pensez à une recherche de médias défavorables qui attribue une affaire de fraude à la mauvaise personne, simplement parce qu’elle porte le même nom. Ou à une synthèse sur les bénéficiaires effectifs qui présente une structure avec une assurance absolue, mais se trompe sur un détail décisif. Ou encore à une justification du risque parfaitement rédigée, qui ne renvoie à aucun élément réellement consultable. Tout cela ressemble à des informations pertinentes. Rien ne l’est réellement.
Et le problème ne se limite pas aux agents conversationnels grand public, quoi qu’en disent les fournisseurs pour vous rassurer. Une étude de Stanford largement citée a testé des outils conçus pour la recherche juridique, ceux-là mêmes qui sont vendus aux professionnels sur la promesse de leur fiabilité. Elle a pourtant relevé des réponses incorrectes ou trompeuses pour une part non négligeable des requêtes. Affecter un modèle à un secteur exigeant ne fait pas disparaître les hallucinations. Cela ne fait qu’augmenter le coût de prétendre que le problème est réglé.
Deux types d’IA, un seul dont vous pouvez défendre les résultats
L’IA qui entre aujourd’hui dans les métiers de la conformité se présente généralement sous deux formes. Savoir les distinguer compte davantage que n’importe quelle statistique de précision affichée dans une présentation commerciale soignée.
Il y a d’abord la boîte noire. Vous lui soumettez une entité, elle rend un verdict, généralement sous la forme d’un simple nombre. Risque : 82. Ce nombre provient d’une logique de notation enfermée dans un modèle auquel vous n’avez pas accès, alimentée par des données qui vous sont cachées et pondérée selon des facteurs que le fournisseur lui-même peine souvent à décrire. Tant que le score est exact, le résultat semble presque magique. Dès qu’il est faux, vous n’avez plus rien : vous ne pouvez ni reconnaître l’erreur ni la contester, faute de pouvoir reconstituer le raisonnement de l’outil. Une conclusion que vous ne pouvez pas reconstituer est une conclusion que vous ne pouvez pas défendre, devant votre propre comité comme devant quiconque.
Il y a ensuite l’IA dont les résultats sont reliés aux sources. Au lieu d’un verdict, elle fournit un constat accompagné des éléments qui le fondent. Cette personne figure sur cette liste de sanctions. Cette entreprise est citée dans ce document déposé. Cette affirmation provient de cet article de presse, avec sa date et un lien vers la source elle-même. L’IA continue d’accomplir l’essentiel du travail. Elle parcourt des centaines de milliers de documents, élimine le bruit, détermine quelles mentions correspondent à quelles entités et synthétise les informations utiles. Le point essentiel est que chaque signal qu’elle fait ressortir renvoie à un document qu’une personne peut ouvrir et examiner directement.
Cette distinction n’a rien de superficiel. Elle apparaît précisément au moment décisif : lorsque l’IA se trompe, car les deux types se tromperont parfois. Avec une boîte noire, l’erreur est invisible, intégrée à un nombre qui semble aussi fiable que les autres. Avec des résultats reliés aux sources, l’erreur se résume à un lien dont le contenu ne confirme pas ce que l’outil affirmait, et la personne chargée de la vérification la repère en moins d’une minute. Un système échoue en silence. L’autre permet de maîtriser les conséquences de ses erreurs. Pour une fonction dont le rôle consiste précisément à repérer ce qui échappe aux autres, cet écart n’est pas un détail. Il détermine toute la conception du système.
« Montrez votre raisonnement » devient une obligation légale
Pendant longtemps, l’opacité faisait simplement partie du fonctionnement. On utilisait un modèle, on s’appuyait sur ses résultats, et peu de personnes demandaient comment la conclusion avait été obtenue. Cette époque touche rapidement à sa fin.
L’EU AI Act en donne un bon aperçu. Entré en application générale en août 2026, il pose la transparence comme une exigence non négociable, puis renforce les obligations à mesure que les enjeux augmentent. Sa catégorie à haut risque couvre notamment l’évaluation de la solvabilité. Pour ces usages, il exige un système suffisamment transparent pour que les personnes qui s’y fient puissent interpréter correctement ses résultats et les utiliser comme il convient. Tout manquement expose à des amendes de plusieurs dizaines de millions d’euros. On peut débattre de la date à laquelle chaque disposition s’applique, mais guère de la direction prise. Les régulateurs veulent connaître le raisonnement.
Et l’Europe n’est qu’un exemple d’une exigence qui précède la vague actuelle de l’IA. Le GDPR permet déjà aux personnes de s’opposer à des décisions prises exclusivement par une machine lorsque leurs conséquences sont importantes, et de demander des informations utiles sur la logique sous-jacente. Aux États-Unis, les règles d’équité en matière de crédit imposent depuis des décennies aux prêteurs de fournir un motif précis pour chaque refus, et « l’algorithme en a décidé ainsi » n’a jamais fait partie des réponses acceptables. La même logique traverse la lutte contre le blanchiment : les normes du FATF, qui sous-tendent les dispositifs de LCB-FT presque partout dans le monde, reposent sur la conservation des dossiers et la capacité à justifier ses décisions. Un régulateur comme le FinCEN, aux États-Unis, attend des entreprises qu’elles identifient un risque, prennent les mesures nécessaires et conservent une documentation qui résiste à l’examen.
Des régulateurs aux approches différentes convergent donc vers la même exigence. Si l’IA a contribué à votre décision, vous devez pouvoir l’expliquer et présenter les éléments qui la justifient. Une boîte noire ne peut pas satisfaire à cette exigence. Un système dont les résultats sont reliés aux sources y répond sans travail supplémentaire, puisque les éléments justificatifs sont présents dès le départ.
L’audit met la boîte noire en échec
Laissons la théorie de côté et imaginons un mardi ordinaire. Un régulateur, un auditeur interne ou un investisseur commanditaire inquiet pose une question simple : pourquoi avez-vous validé cette entreprise il y a quatorze mois ? Depuis, elle est apparue dans une enquête peu flatteuse, et quelqu’un veut savoir ce que vous saviez, et à quel moment.
Si votre outil était une boîte noire, vous disposez d’un nombre vieux de plus d’un an et de très peu d’éléments pour l’expliquer. Vous ne pouvez pas présenter les sources qu’il a prises en compte, puisqu’il ne vous les a jamais montrées. Vous ne pouvez pas démontrer que vous avez mené une due diligence raisonnable, puisque le raisonnement ne vous a jamais été accessible. Vous voilà contraint d’expliquer une décision que vous ne pouvez pas reconstituer. C’est l’une des pires positions dans lesquelles se trouver lors d’un contrôle. Et vous l’avez choisie le jour où vous avez acheté l’outil, que vous en ayez eu conscience ou non.
Si votre outil reliait ses résultats aux sources, il vous suffit de rouvrir le dossier. Voici les signaux tels qu’ils se présentaient à l’époque. Voici les sources sur lesquelles chacun reposait. Ces informations étaient alors publiques ; celles-ci ne sont apparues que plus tard et ne pouvaient raisonnablement pas avoir été portées à votre connaissance. La décision reste défendable, car vous pouvez exposer les éléments qui l’ont fondée. C’est ce qui distingue un contrôle que vous pouvez réellement justifier d’une supposition à laquelle vous avez accordé votre confiance un mardi, plus d’un an auparavant.
L’auditabilité n’est pas une fonctionnalité que l’on apprécie au quotidien. Elle reste discrètement en arrière-plan et n’apporte rien à la démonstration commerciale. C’est pourtant ce que vous regretterez de ne pas avoir le jour où tout se passe mal. À ce stade, il sera bien trop tard pour l’ajouter.
À quoi ressemble une IA fiable pour la conformité
Vous n’avez pas à croire un fournisseur sur parole, nous compris. Avant de signer quoi que ce soit, vous pouvez soumettre tout outil d’IA intervenant dans une décision réglementée à un test court et pratique.
- Chaque constat renvoie à une source primaire que vous pouvez ouvrir et lire vous-même. Sans lien, pas de confiance. C’est le critère le plus important ; tous les autres en découlent.
- L’IA synthétise et classe, mais n’affirme jamais un fait sans pouvoir en indiquer la source. Si elle ne peut pas le sourcer, elle ne doit pas l’affirmer.
- Le rapprochement des entités peut être examiné. Vous pouvez voir pourquoi l’outil a décidé que ce « John Smith » correspond à cette personne précise, au lieu de devoir accepter la correspondance sur parole.
- Chaque décision laisse une trace horodatée que vous pouvez retrouver des mois plus tard, sans lancer un projet de récupération de données.
- Une personne reste impliquée dans le processus. Le rôle de l’outil est de faire ressortir le risque et de l’étayer, pas de rendre seul un jugement définitif.
Aucun de ces critères ne vise à rendre l’IA plus puissante. Ils visent à lui faire rendre des comptes. Le secteur a passé quelques années à rechercher des modèles qui paraissent toujours plus sûrs d’eux. Ce dont une équipe de conformité a réellement besoin va dans l’autre sens : une IA assez modeste pour montrer d’où vient chaque information, afin que vous puissiez la vérifier et assumer vous-même la décision.
Parlons franchement
Il serait commode de conclure qu’une IA reliant ses résultats aux sources ne se trompe jamais. Bien sûr, elle se trompe aussi. Une source peut devenir obsolète. Un registre peut contenir une entrée erronée. Une personne chargée de la vérification peut mal interpréter les éléments qui lui sont présentés. Relier chaque signal à sa source ne crée pas un système parfait. Tout fournisseur qui vous promet la perfection vous propose exactement l’excès de confiance qui a mis ces avocats en difficulté au départ.
L’affirmation est en réalité plus modeste, et elle résiste à l’épreuve des faits. Une IA vérifiable commet des erreurs que vous pouvez repérer. Une IA en boîte noire commet des erreurs que vous ne pouvez pas repérer. Lorsqu’une erreur silencieuse peut vous valoir un contrôle réglementaire, un article de presse ou une perte à sept chiffres, la possibilité de la détecter cesse d’être une fonctionnalité appréciable. Elle devient la raison même de toute cette démarche.
Questions fréquentes
Alors, peut-on faire confiance à l’IA en conformité ?
Au fond, la confiance n’est pas le bon angle pour aborder la question. Vous n’avez pas besoin de faire confiance à un outil qui expose son travail, pas plus qu’à une calculatrice dont vous pouvez vérifier le résultat à la main. Vous vérifiez, cela prend quelques secondes, puis vous passez à la suite. C’est précisément ce que permet le lien avec les sources, et précisément ce que la notation en boîte noire vous retire sans un mot.
Beady est conçue selon ce principe. Elle effectue le filtrage des entités à partir de plus de 100 000 sources publiques, élimine environ 95 % du bruit et relie chaque signal à sa source d’origine. Ainsi, votre équipe comme un régulateur peuvent vérifier indépendamment chaque constat relatif aux sanctions et aux médias défavorables. Elle synthétise et classe. Elle n’invente pas.
Pour découvrir à quoi ressemble une analyse des risques vérifiable appliquée à votre propre portefeuille, réservez une démo. Nous vous la présenterons, sources à l’appui.
