« IA agentique » est devenue l'expression la plus galvaudée de la technologie de compliance, et l'une des moins bien définies. Les éditeurs l'appliquent à des moteurs de règles rebaptisés, à de l'automatisation robotisée dotée d'une interface conversationnelle et à de véritables systèmes de raisonnement multi-étapes — le tout sous la même étiquette. Pour un Chief Compliance Officer à qui l'on demande d'évaluer ces outils, le bruit marketing est franchement nuisible : il masque la seule distinction qui détermine si un système peut être déployé sans danger dans un environnement réglementé.
Cet article fait trois choses. D'abord, il trace des lignes claires entre les technologies que les fonctions de compliance utilisent depuis une décennie — moteurs de règles, RPA, scoring par machine learning — et ce que l'« agentique » apporte réellement. Ensuite, il cartographie ce que fait concrètement un copilote AML tout au long du cycle KYC, tâche par tâche. Enfin, il expose le modèle de gouvernance qui rend l'IA agentique défendable face à un régulateur : le human-in-the-loop dès la conception, et non en dernier recours. Wecan appelle cette catégorie l'AI Compliance Copilot, et l'objet de ce texte est de la définir avec précision plutôt que de la vendre.
1. Les définitions qui comptent
L'essentiel de la confusion sur ce marché vient du fait que l'on regroupe quatre technologies distinctes sous un seul mot. Elles ne sont pas interchangeables, et chacune comporte des risques différents.
Les moteurs de règles
Un moteur de règles exécute une logique déterministe écrite par des humains : si le pays figure sur la liste à haut risque et que le produit est du correspondent banking, alors escalader. Il est transparent, auditable et parfaitement prévisible. Il est aussi rigide. Il ne détecte que ce que quelqu'un a anticipé et encodé, il ne lit pas de documents non structurés, et il produit l'avalanche de faux positifs que les équipes de compliance connaissent bien — les taux de faux positifs de 90 à 99 % du screening des sanctions et des PEP sont presque entièrement un artefact des moteurs de règles. Les moteurs de règles sont nécessaires. Ils ne sont pas intelligents.
L'automatisation robotisée (RPA)
La RPA automatise des clics et des frappes répétitifs et structurés : se connecter à un portail, copier un champ, le coller dans un autre système. Elle est rapide et peu coûteuse pour des tâches stables et à fort volume, mais elle est notoirement fragile — modifiez la disposition d'un écran et le robot casse. La RPA déplace les données. Elle ne les comprend pas, et elle ne sait pas gérer l'ambiguïté qui caractérise les vrais dossiers KYC.
Le scoring par machine learning
Les modèles de machine learning apprennent des schémas à partir de données historiques pour produire un score de risque ou une probabilité de correspondance. C'est le ML contextuel qui fait chuter les faux positifs des sanctions de ~95 % à 20-25 %, parce qu'il pondère les variantes orthographiques, les translittérations, les alias et les métadonnées au lieu de comparer des chaînes de caractères à l'aveugle. Le ML est puissant pour la classification et le tri. Mais un score n'est pas un plan : un modèle vous dit à quel point c'est probable, pas quoi faire ensuite, et il ne peut pas assembler un dossier, interroger un registre ni rédiger une justification.
L'IA agentique
Un système agentique se définit par trois propriétés qui fonctionnent ensemble. Il planifie une tâche multi-étapes au lieu d'exécuter une instruction unique. Il appelle des outils — registres, fournisseurs de screening, systèmes internes, lecteurs de documents — pour rassembler ce dont il a besoin. Et il produit un livrable : un dossier structuré, un organigramme d'UBO, une justification rédigée. Point crucial, agentique ne signifie pas autonome. Un copilote de compliance bien conçu planifie, rassemble, raisonne et rédige — puis s'arrête, et remet la décision à un humain. L'intelligence réside dans l'orchestration ; l'autorité reste chez le responsable.
2. Ce que fait un copilote de compliance tout au long du cycle KYC/AML
Un copilote AML n'est pas une fonctionnalité unique. Il opère sur l'ensemble du cycle de vie client, prenant en charge le travail d'assemblage et d'analyse tout en laissant le jugement au responsable de la compliance. Le tableau ci-dessous cartographie les tâches essentielles.
| Étape du cycle | Ce que fait le copilote | Ce qui reste au responsable |
|---|---|---|
| Prise en charge de l'onboarding | Guide la collecte, vérifie la complétude, extrait et recoupe les données | Approuve la relation client |
| Traitement documentaire | Classe, lit, valide les signaux d'authenticité, signale les manques | Tranche les litiges documentaires réels |
| Identification des UBO | Interroge les registres, construit les chaînes de propriété, signale l'opacité | Confirme la détermination de l'ayant droit |
| Triage du screening | Note les correspondances sanctions/PEP/médias par probabilité, écarte le bruit | Statue sur les correspondances plausibles |
| Évaluation du risque | Rédige un profil structuré avec preuves citées | Fixe et valide la notation finale du risque |
| Revue périodique / perpétuelle | Surveille les événements, relance les contrôles, fait remonter les changements matériels | Décide si le changement modifie le risque |
| Suivi des évolutions réglementaires | Suit les amendements, les rattache aux dossiers et politiques concernés | Interprète l'impact et met à jour la procédure |
| Rédaction des justifications | Assemble le raisonnement et les preuves en un récit prêt pour la revue | Édite, conteste et assume la conclusion |
De l'onboarding à la revue perpétuelle
À l'onboarding, le copilote exécute le travail d'assemblage décrit ci-dessus — collecte, extraction, construction des UBO, triage du screening — ramenant un processus manuel de 15 à 21 jours à 2-3 heures et réduisant d'environ 95 % l'effort d'identification des UBO. Mais le changement le plus transformateur se situe en aval. Le KYC traditionnel traite la revue comme un événement planifié : un dossier ressurgit tous les un, trois ou cinq ans et un analyste refait une grande partie du travail initial. Le KYC perpétuel (pKYC) remplace ce calendrier par une surveillance continue, déclenchée par les événements. Le copilote guette les déclencheurs — une nouvelle inscription sur une liste de sanctions, un changement de propriété dans un registre, une alerte de médias défavorables, un changement d'adresse — et ne fait remonter un dossier que lorsqu'un changement réellement matériel s'est produit. Les premiers adoptants suppriment ainsi 70 à 90 % de l'effort de revue périodique manuelle, car les analystes cessent de re-réviser des dossiers où rien ne s'est passé.
Le suivi des évolutions réglementaires
Le calendrier réglementaire 2026 rend cela concret. La révision de l'OBA-FINMA (consultation ouverte le 12 mai 2026) renforce les attentes sur la compréhension de la structure du client ainsi que sur les comptes de passage et les sous-comptes — directement pertinent pour les gérants de fortune indépendants (GFI). En parallèle, la loi sur la transparence des personnes morales (LTPM) et la LBA révisée — toutes deux entrant en vigueur dès le 1er octobre 2026 — introduisent un registre fédéral des ayants droit économiques et obligent les intermédiaires à identifier la personne physique qui exerce en dernier lieu le contrôle, indépendamment des structures offshore superposées. Un copilote surveille ces changements, rattache chaque amendement aux dossiers clients et politiques internes qu'il touche, et rédige la mise à jour procédurale que l'équipe de compliance devra réviser — transformant l'évolution réglementaire d'un exercice de pompier en un workflow maîtrisé.
3. Le human-in-the-loop dès la conception
C'est la section qui compte le plus pour un régulateur, et c'est là que se séparent les fournisseurs crédibles et les marchands de hype.
Un copilote de compliance prépare et propose ; le responsable de la compliance décide. Ce n'est pas une limite ajoutée pour rassurer — c'est la seule architecture défendable. Tant sous le droit suisse anti-blanchiment que sous le paquet AML de l'UE, la responsabilité d'une décision de vigilance incombe à une personne nommée et qualifiée au sein de l'institution. Cette responsabilité ne peut être déléguée à un modèle. Un système qui écarte une alerte de sanctions ou approuve un client à haut risque sans décision humaine ne comporte pas seulement un risque opérationnel ; il rompt la chaîne de responsabilité sur laquelle s'appuie le régulateur.
Le human-in-the-loop dès la conception signifie trois choses en pratique. Le copilote ne clôt jamais seul un point de décision — il présente une recommandation accompagnée de ses preuves, et s'arrête. Le responsable voit toujours pourquoi la recommandation a été formulée, sous une forme révisable, avant d'agir. Et l'interface rend le désaccord peu coûteux : contredire le copilote doit être aussi rapide que l'accepter, faute de quoi le système entraîne discrètement ses utilisateurs au biais d'automatisation. Faites cela correctement et le temps du responsable passe de l'assemblage des dossiers à l'exercice du jugement — ce qui est précisément le but.
4. Gouvernance, explicabilité et le standard d'efficacité 2026
Le changement réglementaire le plus important de 2026 est le passage de la présence de contrôles à l'efficacité démontrable. Il ne suffit plus de montrer qu'un contrôle existe sur le papier ; les autorités de surveillance attendent la preuve que les décisions ont été prises de manière traçable, opportune et bien raisonnée. Ce standard est, chose inhabituelle, plus facile à satisfaire avec un copilote bien construit qu'avec un processus manuel — à condition que la gouvernance soit conçue en amont.
Audit trails et raisonnement traçable
Chaque action du copilote — chaque registre interrogé, chaque alerte notée, chaque recommandation présentée, chaque contournement humain — est journalisée avec un horodatage et les preuves sur lesquelles elle reposait. Là où un processus manuel laisse une piste documentaire ténue reconstituée de mémoire, le copilote produit par défaut un enregistrement complet et immuable. Le raisonnement traçable est l'essentiel : un superviseur peut suivre non seulement ce qui a été décidé mais les preuves et la logique précises qui le sous-tendent.
Risque de modèle et protection des données
L'explicabilité n'élimine pas le risque de modèle — elle le rend gérable. Tout composant de ML (scores de screening, classification du risque) nécessite une validation documentée, une surveillance des performances pour détecter la dérive, et un énoncé clair de ses limites. Sous le droit suisse de la protection des données et le RGPD, le copilote doit aussi traiter les données personnelles sur une base licite, minimiser ce qu'il conserve et maintenir les données clients à l'intérieur des limites juridictionnelles et de confidentialité convenues. Un copilote incapable de montrer où résident les données et comment elles sont utilisées n'est pas déployable dans un contexte bancaire suisse, quelle que soit sa performance.
Éviter le biais d'automatisation
Le risque de gouvernance le plus subtil est humain, non technique. Lorsqu'un système a habituellement raison, les réviseurs cessent de réviser et se mettent à tamponner. La conception doit activement contrer cela : afficher honnêtement les niveaux de confiance, faire remonter les preuves discordantes plutôt que le seul argument favorable, et échantillonner périodiquement les éléments écartés automatiquement pour un audit humain. L'efficacité est tout aussi gravement compromise par un humain qui approuve tout que par un modèle qui décide de tout.
5. Risques et contrôles
L'IA agentique introduit des modes de défaillance que les moteurs de règles n'ont pas. Les nommer clairement — et associer à chacun un contrôle concret — est ce qui distingue un déploiement responsable d'un déploiement imprudent.
| Risque | À quoi cela ressemble | Contrôle |
|---|---|---|
| Hallucination | Le modèle affirme un fait ou une citation absents de la source | Ancrer chaque sortie dans des preuves récupérées ; montrer les sources ; bloquer les affirmations non sourcées |
| Sur-confiance / biais d'automatisation | Les responsables approuvent sans revue réelle | Affichage de la confiance, revue obligatoire sur le haut risque, échantillonnage d'audit des éléments écartés |
| Faux négatifs | Un risque réel est noté faible et ne remonte jamais | Seuils prudents, revue humaine des cas limites, monitoring du modèle, tests en red team |
| Dérive du modèle | Le screening ou le scoring se dégrade quand données et typologies évoluent | Monitoring continu, revalidation périodique, modèles versionnés |
| Fuite de données | Données clients exposées à des tiers ou à la mauvaise juridiction | Contrôles de résidence des données, minimisation, chiffrement, pas d'entraînement sur les données clients sans consentement |
Le principe directeur est l'asymétrie des conséquences. En AML, un faux négatif — manquer un risque réel — est bien plus dommageable qu'un faux positif. Le copilote est donc réglé pour escalader plutôt qu'écarter en cas d'incertitude, et chaque cas véritablement ambigu est acheminé vers un humain. Le copilote élimine le bruit ; il n'augmente pas l'appétit pour le risque.
6. À quoi ressemble le « bon »
L'écart de capacités entre l'automatisation héritée et un copilote agentique se voit le mieux directement.
| Capacité | Moteur de règles / RPA | Copilote d'IA agentique |
|---|---|---|
| Gère les documents non structurés | Non | Oui |
| Planifie des tâches multi-étapes | Non — scripts figés | Oui — s'adapte au dossier |
| Appelle outils et registres externes | Limité, fragile | Oui, orchestré |
| Réduit les faux positifs de screening | Non | Oui — scoring contextuel |
| Rédige justifications et récits | Non | Oui — étayé par des preuves |
| Soutient la revue perpétuelle, déclenchée par événement | Non | Oui |
| Explique son raisonnement | Règles visibles, pas de raisonnement | Raisonnement entièrement traçable |
| Prend la décision finale | Non | Non — par conception |
Un chemin d'adoption pratique
Une bonne adoption est incrémentale, non un remplacement d'un seul coup. Une séquence sensée : commencer par le triage du screening, où le copilote écarte les faux positifs évidents sous supervision humaine et où le gain de précision est immédiat et mesurable. Ajouter ensuite l'assemblage de l'onboarding, exécuté en parallèle du processus existant jusqu'à ce que la qualité des dossiers soit prouvée. Passer enfin à la revue perpétuelle, où réside l'efficacité cumulative. Tout du long, mesurer les bonnes choses — pas seulement la vitesse, mais les taux de contournement, les résultats des tests de faux négatifs et l'exhaustivité de l'audit. Un copilote qui devient plus rapide tandis que les taux de contournement tombent à zéro est un signal d'alarme, pas un succès.
7. Comment Wecan aborde le copilote de compliance
Wecan Comply est construit comme un AI Compliance Copilot sur les principes ci-dessus plutôt que comme une boîte noire greffée sur les workflows existants. Il planifie et exécute le travail d'assemblage et d'analyse sur l'ensemble du cycle KYC/AML — onboarding, traitement documentaire, identification des UBO, triage du screening, revue perpétuelle, suivi des évolutions réglementaires et rédaction des justifications — puis remet chaque décision au responsable de la compliance, preuves et raisonnement exposés pour revue.
Les engagements de conception sont délibérés. Le human-in-the-loop est architectural, non optionnel. Chaque action est journalisée dans un audit trail complet et immuable, pensé pour le standard d'efficacité 2026. Les sorties sont ancrées dans des preuves récupérées, sources affichées, de sorte que le raisonnement est traçable plutôt qu'affirmé. Et les données clients restent, par conception, dans les limites suisses de confidentialité et de protection des données. Pour les banques, les GFI et les fintechs confrontés d'un coup à l'OBA-FINMA révisée, à la LTPM et au paquet AML de l'UE, la valeur n'est pas une case cochée plus vite — c'est une fonction de compliance capable de démontrer, dossier par dossier, que ses décisions ont été bien prises.