IA conformité : le guide pratique pour compliance officers

Ce que l'IA change concrètement

L'IA générative traite le langage. Elle résume une note réglementaire de quarante pages, compare deux versions d'une procédure, ou extrait les points de vigilance d'un dossier. Elle ne remplace ni le jugement ni la responsabilité du compliance officer. Son intérêt : dégager du temps sur la préparation pour le concentrer sur l'analyse et l'arbitrage. Attention à ses limites : un modèle peut produire une référence d'article inexistante avec assurance, un phénomène appelé hallucination. Il ne sait pas si un dossier est conforme, il propose une lecture que vous devez vérifier ligne à ligne. En clair, l'IA déplace l'effort du traitement vers le contrôle. Vous passez moins de temps à lire et à mettre en forme, plus de temps à décider et à justifier. C'est un assistant de préparation, jamais un organe de décision.

Le cadre à connaître avant de déployer

Deux régimes se superposent. L'AI Act européen classe les systèmes d'IA selon 4 niveaux de risque (inacceptable, élevé, limité, minimal) et impose des obligations croissantes selon la catégorie. Le RGPD s'applique dès que vous traitez des données personnelles : base légale, minimisation, information des personnes, et notification d'une violation à l'autorité de contrôle sous 72 heures. Les sanctions peuvent atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros, le montant le plus élevé étant retenu. Ces cadres évoluent : vérifiez l'état en vigueur avant tout déploiement et ne considérez aucun usage comme définitivement acquis. Concrètement, avant de connecter un outil d'IA à vos données, posez trois questions : quelle base légale, quelles données strictement nécessaires, et qui valide le résultat. Ces réponses conditionnent la légalité de l'usage.

Trois usages à fort retour

Le premier est la veille et la synthèse réglementaire : faire résumer un texte officiel puis en extraire les obligations opérationnelles, article par article. Le deuxième est la pré-analyse de dossiers : préparer une revue KYC ou alimenter une cartographie des risques que vous corrigez ensuite. Le troisième est la rédaction : produire un premier jet de procédure, de compte rendu de contrôle ou de réponse à un régulateur, que vous retravaillez. Dans les trois cas, l'IA produit un brouillon vérifiable, jamais un livrable final. Commencez par un usage à faible sensibilité, observez comment l'outil structure la matière, puis élargissez. Le point commun de ces trois usages : l'IA produit une matière première structurée que vous contrôlez. Elle ne signe rien, ne conclut rien, ne notifie rien. Elle prépare les dossiers, vous prenez les décisions.

Comment s'y prendre, étape par étape

Synthétiser un texte réglementaire

1. Ouvrez Claude (Anthropic) ou ChatGPT (OpenAI) et collez le texte officiel, sans données personnelles ni éléments de dossier client.
2. Demandez une synthèse structurée en obligations concrètes, avec l'article associé.
3. Demandez la liste des points ouverts à faire vérifier par un juriste.
4. Recoupez chaque obligation citée avec le texte source avant tout usage.

Voici un texte réglementaire. Résume-le en obligations opérationnelles pour un responsable conformité, sous forme de liste. Pour chaque obligation, indique l'article concerné et signale les points nécessitant une vérification juridique. N'invente aucune référence.

Préparer une revue KYC

1. Dans Microsoft Copilot (intégré à Microsoft 365, données du tenant), rassemblez les pièces d'un dossier interne déjà autorisé.
2. Fournissez votre checklist et demandez la liste des incohérences et des pièces manquantes.
3. Faites générer une note de synthèse neutre des écarts.
4. Vérifiez chaque point vous-même : la conclusion d'acceptation vous appartient.

Rédiger un premier jet de procédure

1. Décrivez à l'outil le processus réel et l'objectif de contrôle.
2. Demandez une procédure numérotée avec rôles, points de contrôle et traces à conserver.
3. Demandez une version courte pour les opérationnels.
4. Faites relire et valider en interne avant toute diffusion.

Choisir son outil selon les données

Le critère premier n'est pas la performance mais le traitement des données et la traçabilité. Un modèle brillant qui expose vos données client est un mauvais choix. Dès que vous traitez des données personnelles, le RGPD s'applique : vous devez disposer d'une base légale, minimiser les informations transmises et, en cas de violation, notifier la CNIL sous 72 heures.

Dans tous les cas, documentez le choix : pourquoi cet outil, pour quelles données, avec quelles limites. Un arbitrage écrit vaut mieux qu'une habitude tacite.

Tracer, sécuriser, garder la main

Ne collez jamais de données personnelles ou de secrets d'affaires dans un outil grand public sans cadre contractuel. Ne prenez jamais une sortie d'IA pour argent comptant : l'outil peut se tromper, vérifiez chaque référence citée. Consignez systématiquement le prompt, la version du modèle, la date et la validation humaine, car un contrôleur ou un régulateur peut demander à reconstituer votre raisonnement. Formez enfin les équipes : un outil mal utilisé crée plus de risque qu'il n'en réduit, et la responsabilité finale reste celle du professionnel. Une bonne pratique : tenir un registre interne des usages d'IA, avec la finalité, les données concernées et le niveau de validation. Ce registre facilite la réponse à un audit et clarifie les responsabilités en interne.