La question de diligence raisonnable que personne ne se pose encore

Depuis que les banques ouvrent des comptes, la conformité repose sur une hypothèse unique: qu’une personne réelle et identifiable se trouve derrière chaque compte. Vérifiez que la personne lors de l’intégration et tout ce qui suit hérite de cette confiance. Cette hypothèse s’érode simultanément dans deux directions. Les agents d’IA effectuent désormais des transactions au nom des personnes, et les identités synthétiques se font passer pour des personnes qui n’ont jamais existé. Confirmer qu’un être humain authentique se trouve derrière un compte, et qu’il a l’intention de ce que le compte fait, n’a jamais été aussi difficile.

Les régulateurs ont remarqué cela, bien qu’ils progressent de manière inégale et n’aient pas encore désigné les agents comme une catégorie à part. Deux juridictions illustrent la diversité.

Deux régulateurs, deux directions

Le signal le plus clair provient d’Europe. Le texte de l’AI Act de l’Union européenne entre dans sa phase d’application la plus déterminante le 2 août 2026, lorsque l’ensemble complet des obligations relatives aux systèmes à haut risque et les règles de transparence de l’article 50 deviennent applicables, parallèlement aux pouvoirs d’exécution de la Commission, qui peuvent infliger des amendes aux fournisseurs des modèles d’IA généralistes les plus avancés jusqu’à 3 % du chiffre d’affaires mondial ou 15 millions d’euros, le montant le plus élevé étant retenu. La loi ne définit pas un agent d’IA comme une catégorie juridique distincte. Elle n’en a pas besoin. Tout système qui reçoit une entrée, la traite et agit est déjà considéré comme un système d’IA selon le texte en vigueur, et un agent exécutant une fonction à haut risque dans le prêt, l’assurance ou la vérification d’identité hérite des mêmes obligations qu’un système exploité par un humain.
Singapour a adopté l’approche opposée. Le 22 janvier 2026, lors du Forum économique mondial, le ministère du Développement numérique et de l’Information a présenté le Modèle de cadre de gouvernance de l’IA pour l’IA agentique, le premier modèle de gouvernance construit spécifiquement autour des systèmes autonomes plutôt qu’adapté des règles générales de l’IA. Il est volontaire, mais il définit à quoi ressemble un cadre formel: le niveau d’autonomie d’un agent est évalué, une structure de responsabilité humaine lui est assignée, et son risque est limité par la conception plutôt que détecté a posteriori — deux régulateurs convergeant vers le même problème depuis les extrémités opposées du livre de règles. L’un étend les lois existantes pour couvrir les agents. L’autre rédige de nouvelles règles pour une catégorie qui n’existait pas lorsque les anciennes ont été élaborées.

Qui répond pour l’agent

Sous les deux approches se cache une question à laquelle les équipes de conformité n’ont pas encore dû répondre clairement: lorsqu’un agent agit, qui est responsable ? L’analyse juridique de Baker McKenzie, publiée le 1 juillet 2026, conclut que les tribunaux et les régulateurs convergent vers une réponse, du moins pour l’instant. La responsabilité incombe aux humains et aux entités derrière l’agent, et non à l’agent lui‑même, et un ordre exécutif américain de juin 2026 demandant au ministère de la Justice de prioriser les poursuites contre le piratage assisté par l’IA renforce ce principe. Cette réponse fonctionne comme défaut juridique. Elle n’est pas, en soi, une solution opérationnelle.
Savoir qu’un humain est finalement responsable ne dit pas à quel humain, au moment où une transaction est validée. Cela ne précise pas non plus si l’entité derrière un agent a été vérifiée une fois lors de l’intégration ou de façon continue à mesure que les autorisations de l’agent évoluaient. Les règles de bénéficiaire effectif ont été conçues pour répondre à la question « qui possède cela », principalement comme une interrogation ponctuelle. L’activité agentique pose une question continue: qui dirige actuellement cela, et cette réponse peut‑elle changer sans que personne ne soit informé ?

Le véritable travail de la fonction conformité

La plupart des fonctions de conformité ne peuvent pas encore tracer cette chaîne de bout en bout, et les outils pour le faire sont encore en cours de construction plutôt que d’être achetés clés en main. Un cadre pour la conception adaptative d’un programme LBC soutient que des règles de filtrage rigides et uniformes appliquées de façon identique à chaque client et chaque juridiction ne peuvent suivre le rythme d’un risque qui change de forme aussi rapidement, et que des profils de filtrage configurables, adaptés au risque réel plutôt qu’à un livret de règles figé, sont la seule structure suffisamment flexible. La même logique s’applique naturellement à l’activité agentique. Un programme de filtrage qui ne peut pas s’ajuster à une nouvelle catégorie de principal n’est pas équipé pour en gouverner un.
La gouvernance des agents eux‑mêmes suit la même logique. Des directives récentes sur l’accès des outils d’IA aux données de signal de risque préconisent des connexions autorisées et consignées qui héritent des contrôles d’accès basés sur les rôles existants. Ainsi, les actions d’un agent laissent la même trace d’audit que celles d’un analyste humain, plutôt qu’un raccourci non suivi. C’est une version à plus petite échelle du problème exact que les régulateurs entourent maintenant au niveau du système financier entier: les actions d’un agent doivent être attribuables, en temps réel, à la partie responsable qui les dirige, et non reconstruites a posteriori.

Formaliser ce qui existe déjà

Quel que soit le terme que l’industrie adoptera, « Know Your Agent » constitue une discipline distincte, et non un sous‑ensemble des équipes de diligence raisonnable client et entreprise déjà en place. La direction à suivre est à peine douteuse: la phase d’application de l’AI Act, le cadre de gouvernance de Singapour et le consensus juridique émergent sur la responsabilité pointent tous vers la même destination, à savoir des règles formelles sur qui ou quoi est autorisé à agir, et sous quelle autorité.

La seule vraie question porte sur le timing, si les institutions financières construisent cette discipline avant le mandat ou se précipitent à la mettre en place après. Les régulateurs récompensent rarement la seconde option. Et le problème le plus difficile se situe sous les règles, quel que soit le cas: le client devant l’institution n’est plus de façon fiable une personne, et aucune rationalisation de la paperasserie ne rend plus le humain derrière un compte plus facile à faire confiance.