IA agentique : le risque de la conformité oubliée

Une compagnie financière décide de transformer son back-office grâce à l'intelligence artificielle agentique. Les cas d'usage s'empilent sur les slides : extraction automatique de données depuis les documents, instruction automatisée des processus, contrôles métiers intelligents, détection d'anomalies sur les flux, priorisation algorithmique...

L'objectif affiché est ambitieux, et il serait tentant de considérer la conformité comme un boulet qu'on pourra trainer demain (mais pas tout de suite s'il vous plaît).

C'est une erreur stratégique, car les objectifs de performance peuvent se retrouver durablement entravés si l'automatisation ne s'accompagne pas d'un cadre éthique et règlementaire. A quoi sert de gagner 60% de productivité sur les processus si c'est pour débourser des millions en pénalités récurrentes demain ?

Le cadre réglementaire n'attend pas

L'AI Act européen est entré en vigueur en août 2024. Depuis février 2025, les systèmes IA à risque inacceptable sont interdits. Depuis août 2025, les obligations sur les modèles d'IA à usage général s'appliquent. Et en août 2026, l'ensemble des exigences pour les systèmes à haut risque deviendront pleinement opposables — avec des sanctions allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. La bonne foi ne suffit pas.

Or, dans un contexte bancaire ou assurantiel par exemple, un agent peut prendre ou influencer des décisions qui affectent directement des personnes physiques sur la base de données personnelles sensibles. Dans la taxonomie de risque de l'AI Act, nous sommes en plein territoire « haut risque ». La plupart des organisations que nous rencontrons comprennent cela intellectuellement. Il reste à le traduire en actes concrets de gouvernance.

L'AI Act pose le cadre. L'ISO 42001 fournit la méthode.

C'est de cette articulation que la majorité des programmes de transformation manquent. Les deux cadres sont complémentaires, pas interchangeables.

L'AI Act est un règlement juridique contraignant. Il définit quatre niveaux de risque, prescrit des obligations spécifiques — transparence, supervision humaine, documentation technique, conservation des logs pendant au moins six mois — et fixe des mécanismes d'application. Il dit aux organisations ce qui est exigé et ce qui est interdit.

L'ISO/IEC 42001, publiée en décembre 2023, est la première norme internationale dédiée aux systèmes de management de l'intelligence artificielle. Elle fournit un cadre structuré et auditable pour gouverner l'IA de manière responsable : engagement de la direction, politique IA formalisée, gestion des risques sur l'ensemble du cycle de vie, évaluation de performance et amélioration continue. Elle dit aux organisations comment construire la machinerie de gouvernance.

Le recouvrement entre les deux est substantiel : environ 80 % des exigences de l'AI Act pour les systèmes à haut risque trouvent leur correspondance dans les clauses de l'ISO 42001. La gestion des risques (clause 8.2), la gouvernance des données, la documentation, la transparence et la supervision humaine sont traitées par les deux référentiels. Les 15 à 20 % restants relèvent d'obligations administratives propres à l'Union européenne : marquage CE, déclaration de conformité UE, enregistrement dans la base de données européenne, coopération avec les autorités nationales.

Mais attention : la certification ISO 42001 ne garantit pas automatiquement la conformité à l'AI Act. Elle fournit le socle organisationnel. Les spécificités réglementaires doivent être ajoutées par-dessus. Inversement, chercher à se conformer à l'AI Act sans système de management structuré transforme chaque obligation en exercice bureaucratique ponctuel, déconnecté de la réalité opérationnelle et impossible à maintenir dans la durée.

La dimension éthique : ce que ni la loi ni la norme ne couvrent entièrement

Au-delà du juridique et du normatif, une troisième dimension s'impose : l'éthique opérationnelle.

La question n'est pas seulement « est-ce conforme ? ». C'est : ce système introduit-il des biais dans le traitement des dossiers ? Quand un agent IA priorise, est-il équitable ? Quand il signale une anomalie et que cela impacte une personne physique (par exemple la suspension d'une couverture d'assurance), sait-on expliquer pourquoi ? Quand l'agent pré-remplit une réponse, l'opérateur humain conserve-t-il une véritable autonomie de décision ou devient-il un simple validateur de suggestions algorithmiques ?

Ce ne sont pas des questions philosophiques. Ce sont des choix de conception qui doivent être tranchés avant la mise en production du premier agent.

Notre approche repose sur un principe que nous appelons « Suggérer, Faciliter, Accompagner ». L'IA suggère des actions en croisant les données pertinentes (profil de risque, historique, événements de vie) mais ne décide jamais à la place du métier. Elle facilite le travail en pré-remplissant les dossiers et en préparant des arguments personnalisés, libérant du temps pour le jugement humain. Elle accompagne en fournissant des éléments d'analyse avancée et en assurant la traçabilité réglementaire, tout en maintenant l'humain dans la boucle à chaque étape où une décision impacte une personne réelle.

Cette philosophie n'est pas un luxe éthique. C'est un dispositif de gestion des risques. Un système conçu selon ces principes est intrinsèquement plus explicable, plus auditable, et plus aligné avec les exigences de l'AI Act comme avec les attentes de l'ISO 42001.

Ce que coûte l'inaction

Les organisations qui attendront pour structurer leur conformité feront face à trois risques convergents :

• Le risque réglementaire, avec des amendes significatives et des autorités nationales qui montent en capacité. 

  
  

• Le risque opérationnel : rétrofiter la conformité dans un système déjà déployé coûte exponentiellement plus cher que de l'intégrer dès la conception. Dossiers non traçables, décisions non documentées et pipelines de données non gouvernés deviennent une dette technique qui s'accumule chaque jour.

  
  

• Le risque réputationnel : une confiance inébranlable et un relationnel parfait sont les implications directes d'une automatisation accrue. Un scandale de biais algorithmique ou une fuite de données de santé peut détruire des années de capital-marque en un instant.

Le mot de la fin

L'IA agentique n'est pas un domaine technologique. C'est un problème de gouvernance. L'innovation n'est rien sans cadre de confiance. Il faut être compétent dans les deux domaines.

Les organisations qui réussiront ne sont pas celles qui déploieront le plus d'agents le plus vite, mais celles qui le feront dans un cadre où chaque décision automatisée est explicable, chaque flux de données est gouverné, et chaque opérateur humain conserve une autorité décisionnelle réelle.

L'AI Act fournit les garde-fous juridiques. L'ISO 42001 fournit le système de management. Les principes de conception éthique fournissent la philosophie opérationnelle. Les trois sont nécessaires. Aucun seul ne suffit.

Si vous planifiez une transformation par l'IA agentique, le moment de construire cette architecture de gouvernance est maintenant, pas après la mise en production du premier agent.

Gabriel Greenfield est un cabinet de conseil spécialisé en transformation opérationnelle et gouvernance de l'IA dans les secteurs régulés.