L'intelligence artificielle dans les services financiers évolue rapidement. 52 % des entreprises de services financiers interrogées pour le Rapport mondial sur l'IA dans les services financiers 2026 de l'Université de Cambridge adoptent déjà l'IA agentique. Parmi elles, 29 % mènent des projets pilotes et 23 % ont atteint une phase de mise à l'échelle ou de transformation. L'adoption de l'IA sous une forme ou une autre atteint 81 %.
Cet écart de 29 points est là où se situent actuellement la plupart des fonctions de conformité. Un modèle qui résume une politique est utile. Un agent qui lit cette même politique, inspecte le flux de vérification auquel elle s'applique et rédige une configuration de remplacement est une proposition différente, car il agit sur les systèmes au lieu de simplement produire du texte à leur sujet.
Ce changement soulève une question de gouvernance fondamentale : chaque action entreprise par un agent peut-elle être autorisée à l'avance et reconstruite après coup ?
Qu'est-ce qu'un agent IA en matière de conformité ?
Un #agentIA est un système logiciel autonome qui utilise un modèle pour poursuivre un objectif défini. La documentation officielle d'OpenAI décrit les agents comme des « applications qui planifient, appellent des outils, collaborent entre spécialistes et conservent suffisamment d'état pour accomplir des travaux en plusieurs étapes ».
Dans un flux de travail d'agent IA de conformité, un grand modèle de langage (LLM) sous-jacent interprète les instructions de tâche et raisonne, tandis que le cadre de l'agent et la plateforme de conformité connectée fournissent les données, les permissions et les outils permettant à l'agent d'agir. L'agent peut lire une politique de lutte contre le blanchiment d'argent (AML), identifier ses exigences, inspecter un flux existant de connaissance du client (KYC), utiliser une API pour créer une configuration préliminaire et présenter le résultat pour approbation.
L'autonomie existe sur un spectre. Un agent peut accomplir indépendamment des étapes à faible risque, mais s'arrêter avant de modifier un flux de travail actif, de rejeter un demandeur ou de soumettre un rapport réglementaire.
Fonctionnement de l'IA agentique : explication des compétences d'agent et du MCP
Les agents ont besoin de plus qu'un modèle de langage pour accomplir des tâches opérationnelles de manière fiable. Ils nécessitent un objectif, des instructions, un accès aux systèmes pertinents et des règles régissant ce qu'ils peuvent faire.
Le Model Context Protocol (MCP) est une norme ouverte pour connecter les applications d'IA à des systèmes externes. Un serveur MCP expose des outils avec des entrées définies, permettant à un agent de découvrir les actions autorisées, de fournir les arguments requis et de recevoir les résultats.
Alors que le MCP connecte un agent à des systèmes externes, les compétences fournissent les connaissances procédurales nécessaires pour accomplir une tâche. La spécification ouverte Agent Skills décrit une compétence comme un dossier contenant des instructions et, éventuellement, des scripts, des références et d'autres ressources. Une compétence d'agent IA peut apprendre à un agent comment analyser une réglementation ou configurer un flux de travail KYC. Les compétences et les agents IA MCP peuvent convertir une demande large en un flux de travail répétable.
Le tableau ci-dessous explique la fonction de chaque composant :
Des chatbots aux agents de conformité autonomes
Un chatbot traditionnel répond principalement aux invites qui lui sont soumises. Il peut expliquer une règle ou résumer une politique, mais ne traduit généralement pas l'analyse en action. Les outils de conformité basés sur l'IA générative ont étendu ces capacités en rédigeant des rapports, en résumant des dossiers de cas et en extrayant des informations de documents.
Les agents coordonnent plutôt les actions. Une demande est décomposée en étapes : les outils sont sélectionnés, les résultats inspectés, et l'étape suivante s'ajuste selon ce qui a été renvoyé. Interrogé sur les documents d'intégration, un chatbot les liste. Un agent peut ouvrir le flux de vérification actuel de l'entreprise, trouver les contrôles manquants par rapport à une norme donnée, construire une proposition de remplacement et la soumettre à quelqu'un pour validation.
Pourquoi les équipes de conformité adoptent les agents IA
Le travail de conformité implique beaucoup de traduction. Une exigence rédigée en langage juridique devient une règle opérationnelle, puis un paramètre de plateforme, qui doit être documenté et prouvé. Un changement de politique peut signifier des mises à jour distinctes sur plusieurs produits et juridictions, chacune effectuée manuellement, chacune étant une occasion pour les implémentations de diverger.
Les agents peuvent extraire les exigences et suivre une procédure définie sans qu'un spécialiste ait à retaper chaque étape. La cohérence est le véritable gain ici : la cinquième juridiction reçoit le même traitement que la première.
Le coût des erreurs augmente de la même manière. Les règles d'accès, les seuils d'approbation et les journaux d'activité sont ce qui permet d'attribuer les actions d'un agent à la personne qui les a autorisées. Sans eux, l'automatisation n'augmente que la vitesse et l'échelle des erreurs.
Agents IA dans la conformité AML et les flux de travail KYC
En AML, un agent peut transformer le texte d'une politique en une configuration proposée prête à être lancée dans un tableau de bord, résumer l'historique de revue d'un demandeur ou assembler les données du demandeur et des transactions dont un enquêteur a besoin avant d'ouvrir un dossier. Il peut également comparer une politique mise à jour avec la configuration actuelle et signaler les contrôles qui ne correspondent plus.
Le travail KYC consiste principalement en la configuration et la récupération de données : flux d'intégration par pays ou tranche de risque, questionnaires, liens de vérification, recherches de statut des demandeurs. Un agent peut séquencer un flux de travail combinant des vérifications de documents, d'adresse, biométriques et de bases de données. La plateforme de vérification effectue toujours les contrôles.
Rejeter un client et déposer un rapport d'activité suspecte sont deux choses différentes. Les deux nécessitent une approbation humaine, peu importe la fluidité du reste du flux de travail.
Construire une configuration de conformité opérée par des agents
Deux éléments doivent être en place avant que tout cela ne fonctionne : l'accès aux politiques pertinentes et la permission d'inspecter ou de modifier les paramètres de la plateforme. La séquence ressemble alors à ceci :
- Fournir le matériel source, qu'il s'agisse d'une réglementation, d'une évaluation des risques ou d'une politique interne
- Extraire les obligations, les facteurs de risque, les règles de notation et les exigences conditionnelles, en signalant les ambiguïtés à une personne plutôt que de les résoudre par l'agent
- Associer chaque exigence à quelque chose que la plateforme possède réellement : un niveau de vérification, un questionnaire, une règle de risque, un contrôle de surveillance ou un flux de travail
- Produire un plan de configuration pour examen par l'équipe de conformité avant toute construction
- Construire la configuration proposée dans un bac à sable ou un environnement de test
- Comparer la configuration construite avec la politique source, puis la tester avec des cas représentatifs et des exceptions connues
- Faire approuver le déploiement par un utilisateur autorisé, puis enregistrer les modifications et surveiller les résultats
Associer les compétences d'agent aux tâches de conformité
Chaque compétence d'agent IA devrait correspondre à une tâche de conformité définie et guider la façon dont l'agent doit l'aborder. Une compétence d'analyse de politique pourrait instruire l'agent de lire un document et de produire un plan de configuration. Une compétence de configuration pourrait guider l'agent dans la création de niveaux de vérification dans un bac à sable, tandis qu'une compétence de revue de cas pourrait esquisser comment récupérer et analyser les données des demandeurs.
Cette distinction est importante pour les agents IA dans les services financiers, où l'accès aux données clients, la préparation de paramètres préliminaires et la modification de contrôles actifs peuvent créer une exposition significative aux risques. Les compétences elles-mêmes ne doivent pas être traitées comme des limites de sécurité ou de permission. Au lieu de cela, la plateforme connectée doit appliquer ce que l'agent peut lire ou modifier, les changements apportés aux paramètres de vérification et de surveillance actifs devant être restreints par des contrôles d'accès appropriés et des mécanismes d'autorisation.
Agents IA dans la banque et les services financiers
Les utilisations plausibles dans la banque incluent la collecte de matériel pour les revues KYC périodiques, la récupération des transactions ayant déclenché une règle de surveillance et la rédaction de rapports réglementaires pour vérification humaine.
La fragmentation est l'obstacle pratique. Les dossiers d'identité se trouvent dans une plateforme KYC, les transactions dans un système de paiement ou bancaire principal, les alertes dans un outil de surveillance et les notes d'enquête dans un logiciel de gestion de cas. Le rapport Cambridge 2026 a constaté que 46 % des fournisseurs d'IA interrogés ont rencontré des systèmes hérités ou isolés chez leurs clients, et 41 % ont signalé des restrictions de partage de données.
Chaque connexion nécessite sa propre réponse à deux questions : ce que l'agent peut lire, et ce qu'il peut modifier. Une revue périodique est axée sur la lecture. Un agent peut collecter le statut de vérification, les transactions récentes, les alertes antérieures et les décisions de revue passées, puis remettre le dossier assemblé à un analyste.
Risques liés à l'IA, gouvernance et supervision humaine
Un agent peut mal lire une politique, inventer une exigence ou sélectionner le mauvais outil. Des instructions malveillantes cachées dans un document ou une source de données connectée pourraient manipuler son comportement, et des permissions excessives pourraient permettre à une petite erreur d'altérer des configurations actives ou des dossiers clients.
Les réviseurs peuvent aussi accorder trop de confiance à la sortie d'un agent, tandis que des registres incomplets peuvent rendre les erreurs difficiles à enquêter. Les mises à jour des modèles peuvent changer le comportement de l'agent, et la dépendance vis-à-vis de fournisseurs externes peut créer des risques opérationnels.
Pour atténuer les risques, une gouvernance efficace de l'IA et des contrôles de conformité devraient inclure :
- un accès limité aux informations et aux actions requises pour chaque tâche, avec des permissions séparées pour lire les informations, créer des brouillons et modifier les paramètres actifs
- des outils et sources de données approuvés
- des tests dans un bac à sable ou un environnement de test avant que les changements ne soient appliqués aux systèmes actifs
- une approbation humaine pour les actions affectant les clients, les seuils de risque ou les dépôts réglementaires, ainsi que pour les cas où les exigences sont floues
- des registres des instructions données, des sources consultées, des outils utilisés et des modifications apportées
- un processus de contingence si l'agent ou un fournisseur externe devient indisponible
