L'IA pour les opérations régulées

Dans une entreprise régulée, l'obligation vit dans de la prose et le produit vit dans du code. L'écart entre les deux est comblé par des personnes, des tableurs et de la mémoire.

C'est dans cet écart que se produisent les défaillances de contrôle : non parce que personne ne connaissait la règle, mais parce que rien dans le système n'en était responsable.

Le travail consiste à combler l'écart dans un seul sens. La réglementation devient exécutable ; le système ne devient jamais l'interprète de la loi.

La réglementation devrait devenir exécutable.

Une obligation est décomposée en ses parties testables : ce qui doit être vrai, de quel objet, à quel moment, et quelle preuve le démontre. Ces parties sont des données avec un responsable et une version, pas des paragraphes dans un document.

Une règle référence les données dont elle a besoin, énonce la condition, et nomme la conséquence. Parce qu'elle est une donnée, elle peut être listée, comparée, testée et datée, ce qui est la condition pour qu'un dispositif de contrôle interne soit seulement relisible.

• Versionnée
• Attribuée
• Testable
• Datée
• Traçable jusqu’à sa source

Un contrôle est une règle qui s'exécute. Elle tourne sur un rythme ou sur un événement, produit un résultat, et le résultat est stocké avec les entrées qui l'ont produit.

Les contrôles produisent des preuves.

Une preuve assemblée en fin de trimestre n'est pas une preuve, c'est une reconstitution. Quand un contrôle produit son propre enregistrement, un audit devient une requête plutôt qu'un projet.

Où un modèle a le droit de décider, et où il n'a le droit que de rédiger.

Les LLM et les agents sont employés là où la sortie est vérifiable : extraire de la structure depuis des documents, rédiger une procédure, rattacher un texte aux règles existantes, préparer un état, résumer un dossier pour une décision humaine.

Ils ne sont pas employés comme autorité sur un résultat régulé. Tout ce qui a une conséquence garde une décision humaine et un motif enregistré.

L'AI Act européen est lu comme une spécification système : périmètre, classification, documentation, supervision humaine, journalisation et traçabilité.

Lu ainsi, l'essentiel relève de l'architecture plutôt que de la paperasse, ce qui est tout l'objet du second principe Blackgrade.

• Périmètre
• Classification
• Documentation
• Supervision humaine
• Journalisation
• Traçabilité

Dès lors que les règles, les contrôles et les preuves partagent une structure de données, le reporting en est une projection. La même structure répond à un superviseur, à un auditeur et à une revue interne sans produire trois versions de la vérité.

Énoncées franchement, parce qu’elles comptent plus que les capacités.

• Un modèle n'est pas une interprétation juridique
• L'automatisation ne répare pas une obligation ambiguë
• Une preuve sans schéma n’est que du stockage
• Un contrôle sans responsable pourrit en silence

Les systèmes qui tiennent sont ceux où une règle, son contrôle et sa preuve sont le même objet vu sous trois angles.