Ricardo Amper, PDG et fondateur d’Incode – Série d’interviews

Ricardo Amper, PDG et fondateur d’Incode, est un entrepreneur en série et dirigeant technologique avec plus de deux décennies d’expérience dans la création et le développement d’entreprises dans les secteurs de la technologie, des produits de consommation et de l’industrie. Il a fondé Incode en 2015 avec la vision de transformer la façon dont les personnes vérifient et authentifient leurs identités dans le monde numérique. Auparavant, Amper a été PDG du Grupo Amco, le principal acteur latino‑américain des produits chimiques aromatiques et des huiles essentielles, où il a développé OneView, une plateforme de données prédictive basée sur l’apprentissage automatique, avant que l’entreprise ne soit acquise par le groupe Brenntag. Il a également cofondé et dirigé Amco Foods, qui a été rachetée par Grupo Bimbo, et auparavant fondé La Burbuja Networks. Sa carrière combine entrepreneuriat, intelligence artificielle, systèmes pilotés par les données et expérience réussie dans la construction d’entreprises via des acquisitions.

Incode est une plateforme d’identité alimentée par l’IA conçue pour aider les organisations à instaurer la confiance dans les interactions avec les personnes, les entreprises et, de plus en plus, les agents d’IA. Sa technologie combine la vérification de documents, l’authentification biométrique, la reconnaissance faciale, la détection de vivacité, la détection de deepfake et les contrôles directs contre les systèmes gouvernementaux d’enregistrement, tout en prenant en charge des domaines tels que Know Your Customer (KYC), la conformité Anti‑Money Laundering (AML), Know Your Business (KYB), la garantie d’âge, la vérification de la main‑d’œuvre et la prévention de la prise de contrôle de comptes. Incode développe sa technologie d’IA en interne et a étendu sa plateforme pour répondre aux menaces émergentes telles que les identités synthétiques et la fraude facilitée par l’IA générative, ainsi que les outils d’Identité Agentique pour vérifier les propriétaires d’agents d’IA et tracer leurs actions.

Vous avez fondé Incode en 2015 après avoir créé des entreprises dans des secteurs très différents, et vous avez soutenu que l’approche des problèmes avec un état d’esprit frais, fondé sur les premiers principes, peut être plus précieuse que de s’appuyer sur des hypothèses industrielles héritées. Qu’avez‑vous vu dans la vérification d’identité que les fournisseurs établis négligeaient, et comment cette première idée a‑t‑elle façonné le développement d’Incode ?

Avant 2015, l’industrie considérait l’identité comme un problème de conformité et une réflexion secondaire : scanner un document, faire le vérifier par quelqu’un au back‑office, cocher la case. Je suis arrivé sans cette inférence et j’ai perçu un problème d’IA dans l’approche de l’industrie vis‑à‑vis de l’identité.

Ainsi, j’ai pris trois décisions le premier jour que personne d’autre n’a prises :

L’IA effectue la vérification au lieu que des humains examinent vos données, nous développons chaque couche de la technologie en interne plutôt que d’assembler des composants d’autrui, et la confidentialité est une architecture, pas une politique. Dix ans plus tard, l’IA générative a fait de ces décisions les seules qui tiennent toujours.

Ce choix a façonné l’entreprise que nous sommes devenus.

1. Nous sommes d’abord des bâtisseurs : même aujourd’hui, une plus grande proportion de nos équipes travaille dans l’ingénierie et le produit qu’au sein d’une société de logiciels B2B typique, et c’est ce qui nous maintient suffisamment agiles pour nous adapter aussi rapidement que la menace évolue.
2. Nous avons également choisi délibérément de commencer dans l’un des environnements de fraude les plus difficiles au monde, l’Amérique latine, et nous l’avons largement résolu pour certaines des plus grandes banques et entreprises de la région. Lorsque votre technologie survit là‑bas, les marchés où la fraude est réelle mais moins implacable deviennent un test beaucoup plus facile.

Nous n’avons jamais été intéressés par le simple colmatage de problèmes ou par la mise en conformité des entreprises pour aujourd’hui. Nous apprécions la version difficile de ce problème : vérifier une vraie personne avec le moins de friction possible et la confidentialité la plus solide possible, et le faire pour un avenir en mutation.

Incode a maintenant été nommé Leader dans le Gartner® Magic Quadrant™ pour la vérification d’identité pendant trois années consécutives. Que pensez‑vous que cette constance révèle sur l’évolution de l’entreprise, et quelles capacités ont été les plus importantes pour maintenir cette position alors que le paysage des menaces évoluait ?

Tout le monde peut connaître une bonne année. Trois années consécutives reflètent la constance, et c’est cette constance que les entreprises recherchent. Ces trois années couvrent toute la vague de fraude générée par l’IA, et ce qui nous a permis de conserver notre statut de leader du secteur pendant cette période, c’est le fait que nous possédons l’ensemble de notre pile technologique. Lorsqu’une nouvelle classe ou vecteur d’attaque apparaît, nous ré‑entraînons nos propres modèles en quelques jours au lieu d’attendre la feuille de route ou les mises à jour d’un produit tiers. Les autres constantes sont nos connexions directes aux sources d’identité autoritaires et la discipline de traiter la conversion avec autant de sérieux que la fraude, car les entreprises ont besoin des deux.

Incode décrit une nouvelle génération d’attaques frauduleuses autonomes dans laquelle des agents d’IA peuvent générer des documents synthétiques, produire des deepfakes ciblés, les tester contre les systèmes de vérification, et s’adapter après chaque rejet. À quel point sommes‑nous proches de voir ces flux d’attaque entièrement automatisés fonctionner à grande échelle ?

La fraude à grande échelle a toujours nécessité des personnes à grande échelle. Le goulet d’étranglement était humain, et l’IA vient de l’éliminer. Nous avons cherché les preuves et publié ce que nous avons trouvé : des incidents de fraude activés par l’IA, signalés publiquement et provenant de sources indépendantes aux États‑Unis, dont une grande partie a été confirmée dans des dossiers judiciaires ou des actions réglementaires. Lorsque nous avons évalué dans quelle mesure chaque schéma pouvait être exécuté de façon autonome par un agent, presque tous pouvaient être menés de bout en bout, et aucun n’était à l’abri. L’ancien modèle était limité par le nombre de spécialistes que vous pouviez recruter. Le nouveau ne l’est limité que par la capacité de calcul.

Incode affirme qu’elle exécute en continu un attaquant agentique contre ses propres défenses. Comment ce processus de test d’adversaire fonctionne-t-il, et qu’est‑ce qu’un attaquant IA peut découvrir que les tests de pénétration conventionnels ou les références de fraude statiques pourraient manquer ? 

Le principe est simple : la seule façon de construire des défenses contre ces attaques est de les lancer d’abord contre nous-mêmes. Ainsi, nous faisons fonctionner un attaquant qui agit exactement comme les criminels. Il génère des deepfakes, des documents synthétiques et des tentatives d’injection, les soumet à nos propres défenses en temps réel, apprend de chaque rejet et revient avec une variante améliorée. Un test de pénétration conventionnel vérifie une liste connue d’attaques une fois, puis s’arrête. Un attaquant adaptatif n’arrête jamais d’inventer de nouvelles attaques, il trouve donc le point faible et l’attaque qui n’existe pas encore, avant même qu’un criminel ne le fasse.

Alors que les modèles génératifs rendent les documents synthétiques et les médias biométriques de plus en plus convaincants, quels signaux restent les plus difficiles à falsifier de manière fiable pour les attaquants ?

Les pixels constituent un jeu perdu si c’est tout ce que l’on regarde, car les modèles génératifs s’améliorent chaque mois. Ce que les attaquants ne peuvent toujours pas falsifier de façon fiable, c’est tout ce qui se trouve en dehors de l’image : l’intégrité de l’appareil et du chemin de capture que le média a emprunté, le comportement qui reste cohérent d’une session à l’autre, et l’enregistrement détenu par la source qui a émis l’identité. C’est le principe derrière Deepsight, notre technologie de détection des deepfakes. Elle ne juge jamais l’image seule : elle analyse le média, le matériel, le chemin logiciel et le comportement de l’utilisateur en une décision en temps réel, et elle peut identifier quel modèle génératif a produit la falsification. Purdue University l’a testé de manière indépendante contre 24 autres systèmes gouvernementaux, universitaires et commerciaux et l’a validé comme le plus précis.

Incode insiste sur la vérification des identités à l’aide de dossiers gouvernementaux officiels plutôt que de se fier uniquement au document présenté par l’utilisateur. Comment ce changement affecte-t-il la précision de la vérification d’identité, et quels défis techniques ou réglementaires apparaissent lors du déploiement de cette approche dans différents pays ?

Un document indique ce qui a été présenté. Le dossier officiel indique ce qui est vrai. Chaque contrôle qui juge si un artefact semble authentique perd du terrain à mesure que l’IA générative progresse, mais un dossier gouvernemental ne le fait pas, car il représente la vérité de terrain que le fraudeur ne peut pas contrôler. Les défis sont réels : chaque pays possède des sources officielles différentes, des règles d’accès différentes et des législations sur la confidentialité différentes, nous construisons donc des connexions directes marché par marché et traitons tout selon le principe de la confidentialité dès la conception.

Les systèmes de vérification d’identité doivent stopper la fraude sophistiquée sans créer de friction inutile pour les utilisateurs légitimes. Comment évaluez‑vous le compromis entre sécurité, faux rejets, vitesse d’onboarding et taux de conversion ?

Chaque fournisseur d’identité tire des leviers entre ces quatre aspects. La vraie question est de savoir quels leviers vous possédez. Une grande partie de l’industrie utilise une technologie sous licence d’un tiers, de sorte que lorsqu’une vague de fraude survient, ils ne peuvent pas examiner le modèle ni le réentraîner, et le seul levier restant est la friction : plus d’étapes, plus de revues manuelles, plus de bons utilisateurs rejetés. Nous avons fait le choix inverse et développons nous‑mêmes chaque modèle d’IA – vivacité, détection de deepfake, vérification de documents, tout cela – de sorte que notre levier est la précision. Nous réentraînons en quelques jours, intégrons la fraude directement dans le modèle, et laissons l’expérience utilisateur intacte. C’est pourquoi laisser passer chaque bon utilisateur tout en bloquant chaque attaque est une tâche, pas un compromis, pour nous.

Le réseau de confiance d’Incode est conçu pour identifier les fraudes récurrentes et reconnaître les historiques fiables entre organisations sans regrouper les données personnelles brutes. Quelles technologies rendent possible ce partage d’intelligence préservant la confidentialité ?

La cryptographie est le moteur, mais le concept est le point essentiel : collaborer sans exposition. Les organisations du réseau peuvent savoir si un signal d’identité a été associé à une fraude ailleurs sans que aucune partie ne voie les données d’une autre, il n’y a donc aucune base de données centralisée, rien à pirater et aucune courtage de données. C’est pourquoi nous avons acquis Identiq, dont l’équipe a passé des années à construire exactement cette technologie cryptographique améliorant la confidentialité, et pourquoi nous engageons plus de 100 millions de dollars cette année dans une infrastructure d’identité préservant la confidentialité. Le réseau devient plus intelligent à chaque vérification, tandis que les données de chaque individu restent scellées, à l’échelle de plus de 7 milliards de contrôles de confiance et de 400 millions de profils. Nous avons toujours cru que la confidentialité et la prévention de la fraude ne sont pas en opposition. Elles constituent le même problème, résolu conjointement ou pas du tout.

Alors que les agents IA commencent à effectuer des achats, accéder à des comptes, signer des accords et communiquer au nom des personnes, comment les organisations devraient‑elles vérifier non seulement l’agent lui‑même, mais aussi son propriétaire, ses autorisations et son droit d’accomplir une action spécifique ?

Commencez par le propriétaire, car l’autorité d’un agent ne vaut rien si elle ne remonte pas à un humain vérifié. C’est exactement ce pour quoi nous avons créé Agentic Identity : nous vérifions le propriétaire avec une preuve d’identité à haute assurance et une vivacité résistante aux deepfakes, nous délivrons à l’agent un jeton sécurisé qui relie chaque action à cette personne responsable, et nous vérifions son périmètre d’autorisations afin qu’un agent autorisé pour une tâche ne puisse pas discrètement s’aventurer dans d’autres. Ensuite, nous surveillons en continu, car les agents changent de comportement plus rapidement que n’importe quelle révision d’accès trimestrielle. C’est les mêmes données biométriques, la même intelligence de fraude, le même réseau que nous utilisons pour les humains, étendu aux systèmes agissant en leur nom.

En regardant vers l’avenir, la vérification d’identité restera-t-elle un point de contrôle distinct lors de l’onboarding, ou deviendra-t-elle une couche de confiance continue fonctionnant tout au long de chaque interaction numérique entre personnes, entreprises et agents IA autonomes ?

Les deux, pendant un certain temps, puis le continu l’emportera. L’onboarding reste l’ancre où l’identité est établie avec la plus haute assurance, mais la confiance ne peut pas rester un instant figé lorsque les attaques s’adaptent d’une session à l’autre et que les agents transigent 24 h/24. La destination est une couche de confiance persistante : une re‑vérification aux moments de réel risque, des signaux comportementaux et réseau corrélés en continu, et la même responsabilité étendue aux agents IA agissant au nom des personnes. L’identité cesse d’être un point de contrôle et devient une infrastructure, et nous construisons pour ce monde.

Merci pour cette excellente interview, les lecteurs qui souhaitent en savoir plus devraient visiter Incode.