L’IA en conformité se rapproche de la prise de décision

L’IA s’approche du moment de la décision en matière de conformité, et la plupart des programmes sont incapables de prouver qui l’a prise.

S-RM, cabinet de conseil en intelligence économique et cybersécurité, a interrogé 225 professionnels des domaines conformité, achats, gestion des fournisseurs et gestion des risques liés aux tiers. Les résultats sont publiés dans son rapport 2026, From Screening to Decision-Making: The Next Phase of AI in Compliance. Le point clé n’est pas tant la hausse de l’adoption que le changement d’usage de l’IA.

Aujourd’hui, l’IA sert surtout au screening. Les projets à venir visent la diligence. Le screening détecte un signal, la diligence décide de sa signification : c’est un autre métier, avec un autre niveau de responsabilité.

Pour un RSSI ou un chief compliance officer, ce changement déplace la question. La rapidité n’est plus le critère. Il s’agit désormais de pouvoir reconstituer, pour un auditeur ou un régulateur, ce que l’outil a vu, ce qu’une personne a conclu, et quelles données ont circulé entre les deux. Kiteworks, avec son échange sécurisé de données, intervient sur le dernier maillon de cette chaîne : la circulation gouvernée des documents et l’accès gouverné des assistants IA à ces documents. Cet article explique d’où doit venir la preuve. Petite mise en garde avant d’aborder les chiffres : S-RM commercialise sa propre solution de diligence basée sur l’IA, et toutes les données ici sont auto-déclarées par 225 répondants, à lire donc comme des tendances.

Résumé des points clés

1. Une adoption large masque une faible généralisation.

L’enquête S-RM 2026 révèle que 68 % des répondants ont déployé l’IA dans la conformité, mais seuls 20 % déclarent un déploiement étendu sur plusieurs processus.

2. La prochaine vague touche à la prise de décision.

L’usage prévu de l’IA passe du screening des médias défavorables et des sanctions à la due diligence des tiers, la due diligence client et la due diligence renforcée, où une personne doit interpréter un résultat.

3. Les humains restent responsables, leur travail doit donc être tracé.

Seuls 12 % des répondants pensent que l’IA assurera la majorité de la due diligence avec une supervision humaine limitée, ce qui fait de la validation et du contrôle humain la preuve à conserver.

4. La confiance dépasse la maturité.

Une enquête distincte de Schellman montre que 74 % pensent pouvoir réussir un audit de conformité IA, alors que seulement 27 % estiment leur gouvernance pleinement mature. C’est dans cet écart que naissent les constats d’audit.

5. La défendabilité est un problème de données.

Un dossier de décision n’a de valeur que si la traçabilité des documents, des accès IA et des actions du relecteur est complète, et cette traçabilité doit être centralisée dans un espace auditable, pas dispersée dans des boîtes mail, des disques partagés ou des tableaux de bord fournisseurs.

Le déploiement est large, la généralisation reste rare

S-RM constate que 68 % des répondants ont déployé l’IA de façon sélective ou étendue dans leurs processus de conformité, tandis que les 32 % restants en sont encore aux pilotes ou POC. Seuls 20 % déclarent un déploiement étendu sur plusieurs processus. Cela laisse 48 % dans une situation intermédiaire, avec l’IA utilisée sur certains processus seulement.

Le mot « sélectif » porte ici tout le poids.

C’est ce qu’on peut appeler le mirage du déploiement. De loin, deux tiers des équipes conformité semblent fonctionner à l’IA. De près, une sur cinq l’utilise sur plus d’un processus, les autres se limitant à l’intégrer aux activités de screening qui dominent l’usage actuel.

Cette distinction compte plus pour la preuve que pour la technologie. Un processus manuel produit un dossier rédigé par une personne. Un processus automatisé, s’il existe un jour, produit un journal généré par la machine. Un hybride génère les deux, sur des systèmes différents, avec une transition non documentée. Les programmes qui utilisent l’IA sur certains processus sont hybrides, et c’est lors de la transition que la trace se perd.

Imaginez une enquête réglementaire sur une décision de diligence. L’analyste se souvient de ce qui s’est passé. Le résultat de l’outil est dans un tableau de bord. L’e-mail qui relie les deux dort dans la boîte de réception de quelqu’un qui a changé de poste. Rien n’a été caché, mais rien n’a été rassemblé non plus.

Le budget progresse plus vite que les contrôles

Près de quatre organisations sur cinq prévoient d’augmenter leurs investissements dans les technologies de conformité et de due diligence dopées à l’IA au cours des deux prochaines années, selon S-RM. Sa Figure 2 distingue 22 % qui prévoient une forte hausse, 56 % une hausse modérée, contre 18 % sans changement et 4 % une baisse modérée. La dépense annuelle moyenne devrait croître d’environ 24 %.

L’argent arrive. Mais qu’achète-t-il ?

Les outils bénéficient d’un budget car ils ont un fournisseur et une démo. Le dossier de décision, lui, n’a ni l’un ni l’autre, et rien dans les chiffres de S-RM n’indique que ce 24 % lui soit dédié. Une équipe peut doubler son budget IA pour la diligence et rester incapable de répondre à la première question d’un auditeur : comment une conclusion a-t-elle été prise, et par qui ?

On retrouve ce schéma dans les programmes de gouvernance des données IA en général. Les dépenses suivent les fonctions, la gouvernance accuse un cycle ou deux de retard. Ce retard a une faiblesse : l’audit, lui, n’attend pas.

Où l’IA est utilisée aujourd’hui et où elle va

Le tableau 1 de S-RM est l’élément le plus instructif du rapport, car il montre la tendance. L’usage actuel se concentre sur le screening. Les projets à venir vont ailleurs.

Lisez la colonne de droite. Due diligence tiers, due diligence client, due diligence renforcée, enquêtes et gestion de cas. À chaque étape, une personne doit évaluer la preuve et décider.

S-RM l’explique clairement. Le screening sert à détecter des signaux de risque, tandis que la due diligence et les enquêtes exigent d’évaluer la pertinence et la crédibilité de ces signaux, d’établir le contexte, d’en déterminer l’importance et de décider de la suite. Puis vient la phrase à retenir : « L’IA se rapproche donc du moment où la décision de conformité est prise, même si elle ne la prend pas elle-même. »

Lisez bien : plus proche de la décision, mais sans la prendre.

L’écart entre ces deux notions, c’est là que se situe la responsabilité, et il se réduit à mesure que les outils progressent. Imaginez un résumé IA qui classe la structure d’un tiers comme « faible préoccupation ». L’IA ne décide rien. Un relecteur qui valide ce classement en quelques secondes, parmi d’autres, décide. Si le dossier ne montre que le classement et la validation, un auditeur ne peut pas distinguer les deux événements, et vous non plus.

La réglementation pousse la diligence au-delà du simple match

S-RM relie ce changement à l’évolution du contexte réglementaire. Il cite le règlement européen sur le travail forcé et la directive sur la due diligence en matière de durabilité des entreprises, qui devraient entrer en vigueur dans les trois prochaines années. Je relaie ici la lecture de S-RM, sans analyse juridique ni vérification des dates d’application. Votre équipe juridique reste responsable de l’interprétation et des exigences pour votre organisation.

Ce que S-RM en tire est concret. Identifier un match sur les sanctions, une personne politiquement exposée ou un résultat médiatique défavorable ne suffit plus forcément. Une diligence efficace peut exiger une analyse plus large de la propriété, des activités, de l’empreinte géographique et des relations commerciales d’une entité, ainsi que du contexte et de la crédibilité des informations collectées.

Mettez ce constat en regard d’un chiffre : les organisations étudiées par S-RM surveillent en moyenne 2 837 tiers.

Peu d’équipes peuvent réaliser une due diligence renforcée sur 2 837 relations à la main, et S-RM le souligne : l’IA permet de combler l’écart avec ce qui était traditionnellement un travail manuel et humain. L’examen par tiers augmente, le nombre de tiers ne baisse pas, et l’automatisation s’impose comme la solution évidente.

C’est pourquoi la gestion des risques tiers est le premier domaine où les responsables conformité doivent s’attendre à ce que l’IA touche à la décision, pas seulement au screening. C’est aussi pourquoi les programmes de gestion des risques supply chain devront démontrer leur démarche, pas seulement leurs conclusions, alors que les exigences de conformité réglementaire sur les relations amont se renforcent.

58 % estiment que les outils peinent à gérer le contexte

L’ambition a ses limites, et les répondants en sont conscients. Plus de la moitié, 58 %, ont déclaré à S-RM que les solutions de due diligence dopées à l’IA peinent à évaluer le contexte, la crédibilité ou la pertinence des informations.

Les obstacles à l’adoption méritent d’être examinés de près, car aucun ne concerne le modèle lui-même. L’information fragmentée sur les sources en ligne est citée par 54 %. La mauvaise qualité ou l’incohérence des données sous-jacentes par 46 %. L’accès limité à des sources fermées ou privées par 40 %. Tous ces points concernent la qualité des informations sur lesquelles l’IA doit raisonner.

C’est donc autant un problème de gouvernance des données que de technologie. Une conclusion de diligence fondée sur des données fragmentées, incohérentes ou incomplètes ne sera défendable que si vous pouvez préciser quelles sources ont été utilisées. Quelles sources l’outil a-t-il consultées ? Lesquelles étaient indisponibles ? Lesquelles l’analyste a-t-il ajoutées manuellement après un échec de l’outil ?

S-RM trace une frontière nette entre trouver l’information et interpréter sa signification. L’IA peut réaliser une grande partie de la recherche initiale à fort volume. L’expertise humaine devient essentielle lorsque la preuve est incomplète, contradictoire ou difficile à vérifier : les analystes interrogent les résultats ambigus, évaluent la fiabilité des sources, cherchent des corroborations et décident si l’information modifie l’évaluation du risque.

Chacune de ces actions doit laisser une trace. Un analyste qui cherche une corroboration et la trouve produit une preuve. Celui qui la cherche, ne la trouve pas et dégrade un résultat produit quelque chose de plus précieux : une justification documentée. Si ce raisonnement reste dans un fil de discussion ou dans la tête de quelqu’un, il n’existe pas pour un auditeur.

La vision à cinq ans reste humaine, avec une nuance

S-RM a demandé comment la due diligence dopée à l’IA évoluerait dans les cinq prochaines années, et les réponses ne tranchent pas. Seuls 12 % pensent que l’IA réalisera la majorité des tâches de due diligence avec une supervision humaine limitée, à mesure que la qualité et la couverture des données s’améliorent. 48 % s’attendent à ce que l’IA réalise de nombreuses tâches, mais que l’expertise humaine reste essentielle pour les décisions complexes, le jugement et les cas à risque élevé. 33 % estiment que l’IA servira surtout à accélérer la recherche et la collecte d’informations, tandis que les humains continueront à piloter la majorité du travail. 7 % pensent que l’IA restera cantonnée au screening et à l’appui à la recherche, faute de données de qualité ou disponibles.

En additionnant les deux réponses centrales, 81 % voient l’humain rester essentiel ou en tête. Ce calcul est le mien, pas celui de S-RM.

Bloquer l’IA, c’est consacrer le temps des analystes à la collecte, ce que S-RM estime être le point fort de l’IA, alors que l’univers des tiers ne cesse de croître. Lui confier les clés, c’est hériter d’un processus de décision impossible à expliquer, dans un domaine où les répondants de S-RM eux-mêmes estiment que les outils peinent à gérer le contexte. Aucun extrême ne résiste à un audit. S-RM conclut que les organisations doivent adapter le niveau d’assurance humaine au risque de la décision et produire des résultats compréhensibles, fiables et défendables.

Notez ce que cette phrase exige. L’assurance humaine proportionnée au risque relève de la politique interne. Des résultats défendables relèvent de la preuve. La plupart des programmes ont répondu au premier point, mais pas au second.

L’échec à nommer, c’est le théâtre de la supervision. Il donne l’impression d’un contrôle humain, mais se limite à une validation d’un résumé IA sans trace de ce qui a été examiné, remis en question ou modifié. Le contrôle existe sur l’organigramme, mais pas dans le dossier. Si la décision est contestée, le « contrôle humain » s’avère n’être qu’une case à cocher, et l’organisation a payé l’outil et le relecteur sans pouvoir prouver le travail de l’un ou de l’autre.

La confiance en la gouvernance dépasse la maturité réelle

S-RM n’est pas le seul à constater que les organisations se croient plus avancées que leurs programmes ne le montrent. Le rapport 2026 sur la gouvernance IA de Schellman a interrogé 525 professionnels américains dans des entreprises de plus de 500 salariés et au moins 100 millions de dollars de chiffre d’affaires. 74 % estiment que leur organisation pourrait réussir un audit de conformité IA aujourd’hui, alors que seulement 27 % décrivent leur gouvernance IA comme pleinement mature, c’est-à-dire opérationnelle et suivie en continu. Schellman vend des évaluations et certifications de gouvernance IA, et l’échantillon est américain, non pondéré et auto-déclaré.

Ces deux chiffres ne peuvent être vrais que si l’audit est imaginaire, pas programmé.

La confiance ne coûte rien tant qu’on ne demande pas le dossier. L’écart entre 74 % et 27 % est celui qui sépare la croyance que votre programme GRC couvre l’IA et la capacité à produire les preuves qui le démontrent. Les équipes qui vivent dans cet écart le découvrent souvent lors d’un audit, le pire moment pour s’en rendre compte.

Côté tiers, la même enquête Schellman révèle que seuls 36 % déclarent que leur conseil d’administration ou leur direction a formellement discuté des risques IA liés aux tiers ou aux fournisseurs. Cela compte ici car les répondants de S-RM gèrent ces relations. Si le conseil ne s’en préoccupe pas, l’équipe diligence porte seule le risque, avec des outils que le conseil n’a pas examinés.

Un troisième éclairage vient de la sécurité. Le rapport ISACA State of Cybersecurity 2026 repose sur 1 888 membres et certifiés ISACA interrogés au deuxième trimestre 2026. Seuls 9 % disposent d’un programme mature pour le risque IA lié aux tiers, avec politiques, évaluations et suivi spécifiques à l’IA, tandis que 17 % s’appuient sur des processus généraux de gestion des risques tiers. Cet échantillon est orienté sécurité et ne représente pas l’ensemble des entreprises, à prendre donc comme une tendance.

Les 17 % qui réutilisent l’ancien processus sont le chiffre discret. Un questionnaire conçu pour évaluer le pare-feu d’un fournisseur ne demande pas comment son IA note vos contreparties, et un cycle de revue basé sur les rapports SOC annuels ne capture pas un modèle qui évolue tous les trimestres.

Les services financiers montrent à quoi ressemble l’IA opérationnelle

S-RM isole les répondants du secteur financier pour donner un aperçu de la direction que pourraient prendre d’autres secteurs. Le rapport ne précise pas la taille de l’échantillon, à lire donc comme une tendance.

Près d’un tiers des répondants du secteur financier, 32 %, déclarent un déploiement étendu de l’IA sur plusieurs processus de conformité, contre 20 % pour l’ensemble de l’échantillon. 49 % supplémentaires l’utilisent sur certains processus, soit 81 % d’utilisation opérationnelle dans ce secteur.

L’usage actuel est similaire, mais un peu plus poussé : screening médias défavorables à 51 %, due diligence client et KYC à 48 %, screening sanctions et PEP à 48 %, monitoring des transactions à 41 %. Le prochain cap rejoint l’échantillon global : la due diligence tiers, où 59 % des répondants financiers prévoient d’introduire l’IA sous 12 mois, contre 48 % pour l’ensemble.

Pour un responsable conformité d’un autre secteur, la leçon est claire : le groupe le plus avancé ne recule pas sur l’IA pour les tâches proches de la décision, il avance. Quel que soit votre secteur, la question de la preuve de la diligence assistée par IA arrivera au rythme des leaders, pas des retardataires.

Une bonne pratique de conformité des données commence ici par la constitution du dossier de diligence comme si un examinateur allait le demander, dès le premier document reçu, et non au moment où la lettre d’enquête arrive.

L’écart de défendabilité est le vrai risque

En résumé, un seul écart se dégage : l’écart de défendabilité. C’est la distance entre les décisions prises avec l’aide de l’IA et votre capacité à démontrer, à la demande, comment chacune a été prise.

S-RM n’utilise jamais ce terme, mais sa conclusion y mène directement. Les organisations qui en tireront le plus profit ne seront pas forcément celles qui visent l’automatisation totale, mais celles qui intègrent l’IA dans leurs workflows, appliquent le bon niveau d’assurance humaine et produisent des résultats compréhensibles, fiables et défendables.

Compréhensible, fiable, défendable. Un fournisseur peut vous vendre le premier comme une fonction. Les deux autres dépendent de vos dossiers.

Un dossier de diligence défendable doit répondre à cinq questions sans dépendre de la mémoire de quiconque : quelles entrées le processus a-t-il utilisées ? Quel était le résultat IA ? Qui l’a relu, et qu’a-t-il examiné ? Qu’a-t-il modifié, validé ou transmis ? Et que sont devenus les documents sous-jacents pendant tout ce processus ?

Les deux premières réponses résident souvent dans la plateforme de diligence. Les troisième et quatrième peuvent se trouver dans des tickets, des tableurs ou des e-mails. La cinquième est celle que personne ne possède. Les documents de propriété, questionnaires et certifications circulent entre tiers et analystes externes via n’importe quel canal, et la traçabilité de ces échanges est dispersée dans des outils qui n’ont jamais été conçus pour cela.

Voilà tout l’enjeu. Si vos preuves sont éparpillées dans plusieurs systèmes, leur assemblage prend des semaines, alors que le régulateur compte en jours. Une traçabilité qui existe mais ne peut être produite rapidement, de façon cohérente, n’est pas une preuve, mais une matière première.

L’écart de preuve n’est pas un manque de technologie. C’est une décision d’architecture jamais prise, car ces processus existaient avant qu’on demande à l’IA de s’asseoir à côté de la décision.

La place de Kiteworks dans un workflow de diligence défendable

Il faut être précis sur ce qu’une plateforme peut ou non faire ici. Kiteworks ne rend pas de décision de diligence, et ne peut pas vous dire si un résumé IA sur un tiers est correct. Elle gouverne les données qui circulent autour de ces décisions et trace qui y accède.

La diligence repose sur des documents qui voyagent. Titres de propriété, questionnaires, certifications et rapports d’analystes circulent entre votre équipe, les tiers évalués et des spécialistes externes. L’échange sécurisé de données Kiteworks gouverne ces flux via la messagerie électronique, le partage sécurisé de fichiers, SFTP, le transfert sécurisé de fichiers et les formulaires de données sécurisés, sous un même moteur de règles et un journal d’audit consolidé. Pour le CCO, ce journal unique transforme la cinquième question ci-dessus — que sont devenus les documents — en un reporting, et non en une enquête à reconstituer.

Les assistants IA ouvrent un second accès au même contenu. Le Kiteworks Secure MCP Server permet à des assistants IA comme Claude ou Copilot de travailler sur des contenus stockés dans Kiteworks. Chaque opération est évaluée selon les règles d’accès basées sur le rôle et les attributs de la personne qui utilise l’assistant, puis inscrite dans le même journal d’audit que les autres activités de cette personne. Humains et assistants IA relèvent d’une même politique et d’une même traçabilité, ce qui est le bon modèle tant que la personne reste responsable de la conclusion. Kiteworks Compliant AI décrit le fonctionnement de cet accès gouverné à la frontière entre vos données et vos outils IA.

L’approche s’appuie sur le principe du zéro trust pour l’échange de données. Une demande émise par un assistant via le Secure MCP Server est authentifiée, autorisée selon la politique et tracée, sans confiance implicite envers l’outil IA. Pour une équipe diligence, la traçabilité des accès à chaque fichier tiers, avec la date et le canal, provient du système, et non d’une reconstitution manuelle par l’analyste.

Les limites doivent être précisées. Une couche de données gouvernée ne capture pas le raisonnement de l’analyste, et ne remplace pas le dossier de décision. Il reste indispensable de documenter la justification du relecteur. Ce que la solution élimine, c’est le débat sur la conformité des accès et du traitement des documents selon la politique.

Que faire dès lundi matin ?

Cessez de vous demander si votre outil IA de diligence est assez précis. Voici la vraie question : si un auditeur vous demandait demain de reconstituer une décision sur un tiers prise le trimestre dernier, le pourriez-vous ?

Testez-le sur un dossier cette semaine, puis corrigez ce qui coince. Quatre actions vous mèneront loin.

Cartographiez les points de décision. Listez chaque étape de votre processus de diligence tiers où l’IA intervient, puis indiquez celles qui produisent un résultat et celles qui produisent une décision. Les données de S-RM montrent que la prochaine vague d’usage de l’IA se concentre sur le second type. Classez chaque étape selon l’impact d’une erreur.

Définissez les seuils de revue avant que l’outil ne le fasse pour vous. L’assurance humaine doit s’adapter au risque de la décision. Précisez quels résultats un relecteur peut valider, lesquels exigent une corroboration externe et lesquels doivent être remontés à une personne nommée. Puis indiquez ce que le relecteur doit consigner à chaque fois.

Créez un dossier de décision qui survive aux départs. Pour chaque décision de diligence, consignez les entrées utilisées, le résultat IA, le relecteur, ce qu’il a modifié ou remis en question, et la justification finale. Si remplir ce dossier prend plus de quelques minutes, simplifiez le modèle jusqu’à ce qu’il soit adopté.

Centralisez la traçabilité des données. Décidez où s’échangent les documents de diligence et où les assistants IA peuvent y accéder, puis vérifiez que vos journaux d’audit couvrent les deux. Si ce n’est pas le cas, vous venez d’identifier l’écart avant l’auditeur.

Prenez ensuite le même test chez vos fournisseurs. Demandez à tout éditeur d’outil IA de diligence, y compris ceux que les répondants de S-RM achètent, de vous montrer comment un résultat passé peut être reproduit et quelle trace ils conservent des sources utilisées.

Pour en savoir plus sur la construction d’une traçabilité défendable pour la diligence tiers assistée par IA, réservez votre démo sans attendre !

Ressources complémentaires

• Article de blog
  Stratégies Zero Trust pour une protection abordable de la vie privée avec l’IA
• Article de blog
  Comment 77 % des organisations échouent à sécuriser les données IA
• eBook
  AI Governance Gap : pourquoi 91 % des petites entreprises jouent à la roulette russe avec la sécurité des données en 2025
• Article de blog
  Il n’existe pas de « –dangerously-skip-permissions » pour vos données
• Article de blog
  Les régulateurs ne se contentent plus de demander si vous avez une politique IA. Ils veulent la preuve qu’elle fonctionne.