Le KYC a été conçu pour les humains — il nous faut maintenant le Know Your Agent

Le régime de connaissance du client (KYC) des États‑Unis a acquis ses premières vraies exigences en partie grâce à la Bank Secrecy Act de 1970. L’article 326 du USA Patriot Act de 2001 lui a ensuite donné sa forme moderne, obligeant une banque à avoir la conviction raisonnable de connaître la véritable identité de chaque client avant d’ouvrir un compte.

Toute règle qui a été appliquée, dans presque toutes les juridictions, repose sur cette même prémisse de départ. Un client est une personne, physique ou morale, dotée d’un nom, d’une adresse et d’un dossier que la banque peut vérifier. Cette prémisse a tenu pendant plus de 50 ans parce qu’elle était suffisamment solide pour soutenir une industrie mondiale de conformité. Aujourd’hui, elle n’est plus universellement vraie.

L’erreur de catégorie

Un agent IA agissant au nom de quelqu’un n’est ni une personne physique ni, dans la plupart des juridictions aujourd’hui, une personne morale. Il n’a aucun nom reconnu par un registre, aucune adresse à laquelle une banque peut envoyer du courrier, et dans certains cas, aucun dossier antérieur à la transaction qui se déroule devant vous depuis plus de quelques minutes. Faire passer cet agent par un processus KYC conçu pour les humains et les entreprises ne produit pas une réponse incorrecte. Cela génère une question pour laquelle le processus n’a aucun champ.

C’est l’erreur que les équipes de conformité commettent en décrivant le risque agentique comme du KYC, mais plus difficile. Ce n’est pas un KYC plus difficile. C’est une toute autre question. Le KYC demande si une personne est bien celle qu’elle prétend être. La question soulevée par un agent est de savoir si l’entité derrière cette action a l’autorité de l’accomplir maintenant, et si cette autorité peut être confirmée au moment où elle compte, plutôt que reconstruite après coup. Ce ne sont pas les mêmes questions posées à des niveaux de difficulté différents. Ce sont deux questions distinctes qui partagent un même département de conformité, et la seconde mérite son propre nom : Know Your Agent, ou KYA.

Pourquoi greffer le KYA au KYC échoue

L’instinct de traiter cela comme une extension du KYC existant est compréhensible mais erroné. Le KYC est fondamentalement un exercice ponctuel. Il vérifie l’identité une fois et surveille les changements matériels par la suite, une architecture qui suppose que l’identité et le comportement du client sont des faits stables établis lors de l’onboarding et peu susceptibles de changer au jour le jour.

L’autorité d’un agent à agir n’est pas un fait stable. C’est une permission qui peut être accordée, limitée ou révoquée en l’intervalle d’un appel d’API, et l’entité qui dirige réellement l’agent à 15 h peut ne pas être celle qui l’a provisionné à 9 h. Un cadre de conformité basé sur des re‑vérifications périodiques ne peut pas gouverner quelque chose qui change d’état en continu. Ce n’est pas une critique du KYC. C’est une description d’un outil utilisé en dehors du problème pour lequel il a été créé.

Ce que le Know Your Agent doit réellement vérifier

Une explication de la façon dont le KYC et l’AML fonctionnent comme des disciplines liées mais distinctes constitue un modèle utile ici, car il montre à quoi ressemble en pratique la séparation de deux fonctions de conformité adjacentes. Chacune répond à une question différente, utilise des outils différents, à une cadence différente, même si les deux alimentent le même tableau de risques.

Le Know Your Agent a besoin de la même séparation vis‑à‑vis du KYC, pas d’une fusion avec celui‑ci. Alors que le KYC vérifie l’identité, le KYA doit vérifier la provenance et l’autorité en cours, en retraçant qui a créé l’agent et quelles permissions il détient actuellement, afin que la chaîne de responsabilité entre le principal humain et l’action autonome reste vérifiable en temps réel. L’orchestration dynamique du KYC, conçue pour l’onboarding VIP, est l’analogue le plus proche : des contrôles à risque qui s’ajustent à la transaction spécifique plutôt qu’une porte statique unique que tout le monde franchit de la même manière. L’activité agentique nécessite cette même flexibilité en temps réel, appliquée à une question différente.

Le problème de la paperasserie, automatisé

Ce n’est pas théorique. Un agent IA ne peut pas être le propriétaire légal d’un compte bancaire. Le système suppose qu’un humain se trouve derrière chaque compte, avec des contrôles KYC, une identité légale et une responsabilité rattachées à une personne nommée. Les fintechs testent déjà cette frontière. Meow Technologies a lancé en avril un service qui permet à un agent de compléter le KYC, d’ouvrir un compte professionnel, d’émettre des cartes d’entreprise et de déplacer des fonds sans qu’un humain n’ait jamais à ouvrir un tableau de bord. Automatiser la paperasserie n’est pas équivalent à devenir le titulaire du compte. Le compte et la responsabilité restent attachés à une personne, et aucun produit n’a comblé cet écart.

Construire cette catégorie n’est pas optionnel, et ce n’est pas un problème que les départements de conformité puissent résoudre discrètement par eux‑mêmes. Cela nécessite la même remise en question publique que le KYC a connue il y a 50 ans, une reconnaissance que le client devant l’institution a changé et que les règles doivent évoluer en conséquence. Le Know Your Agent n’est pas une fonctionnalité du Know Your Customer. C’est la prochaine discipline que la conformité doit bâtir à partir de zéro.