Quels usages de l'IA créent de la valeur en GRC

En bref.
Tous les usages de l'IA en gouvernance, risques et conformité ne se valent pas, et le critère qui les sépare n'est pas la difficulté technique : c'est le coût de vérification de ce qui sort. Un résultat qui se contrôle en trente secondes fait gagner du temps. Un résultat qu'il faut relire entièrement déplace le travail sans le réduire. Voici les usages que nous voyons payer, ceux qui déçoivent, et ce qu'il faut attacher à une réponse pour qu'elle tienne devant un tiers.

Le critère de tri : combien coûte la vérification

La question posée à l'achat est presque toujours « l'outil sait-il faire ». La bonne question est « combien de temps me faut-il pour savoir si c'est juste ». Ces deux questions donnent des classements opposés, et c'est la seconde qui décide du gain réel.

Un exemple parle mieux qu'un principe. Une réponse qui cite le document source, la page et la version se contrôle en ouvrant le document : quelques dizaines de secondes. La même réponse, juste mais sans source, demande de retrouver soi-même le passage dans un corpus de documents internes, soit plusieurs minutes, parfois davantage si le corpus est mal rangé. Le texte produit est identique ; le gain ne l'est pas.

D'où une règle de tri simple : un usage crée de la valeur en GRC quand l'outil produit, en même temps que le résultat, ce qui permet de le vérifier. Les usages où cette condition n'est pas remplie ne sont pas inutiles, mais ils déplacent la charge du travail de production vers le travail de relecture, et le bilan se discute cas par cas.

Cette règle explique un paradoxe fréquent : les équipes GRC obtiennent souvent plus d'un usage modeste et bien tracé que d'un usage ambitieux et opaque.

Les usages qui paient

Premier usage, la réponse à un questionnaire reçu. Le travail est répétitif, les questions se recoupent d'un dossier à l'autre, et la preuve existe déjà dans vos documents : c'est le cas le plus favorable, parce que la vérification consiste à ouvrir la source citée. C'est aussi celui où le volume rend le gain visible immédiatement.

Deuxième usage, l'extraction dirigée dans un corpus documentaire. Retrouver, dans deux cents pages de contrats ou de rapports, les clauses ou les constats qui répondent à une question précise. La vérification est bornée par construction : l'outil indique où il a trouvé, vous regardez l'endroit indiqué.

Troisième usage, la veille ciblée sur les référentiels que vous suivez. Le gain ne vient pas du résumé mais du filtrage : savoir qu'il s'est passé quelque chose sur un référentiel donné, avec le texte d'origine en lien. Optivalue Watch surveille 193 juridictions, et l'intérêt tient à ce qu'il remonte la source, pas à ce qu'il la commente.

Les trois partagent la même propriété : la preuve préexiste et l'outil la retrouve. Nous mettons en œuvre 85 agents — 72 agents métier, 12 agents sectoriels et un bibliothécaire — en 109 langues avec le vocabulaire réglementaire local, ce qui élargit le périmètre couvert sans changer la nature du travail.

Les usages qui déçoivent, et pourquoi

La rédaction libre d'une politique interne déçoit presque toujours. Le texte produit est plausible, bien construit, et sans attache : il n'y a pas de source à citer puisqu'il s'agit d'écrire ce qui n'existe pas encore. La relecture porte alors sur la totalité du texte, par quelqu'un qui aurait pu l'écrire. Le gain existe, mais il est de l'ordre du brouillon, pas de l'automatisation.

La qualification de risque sans référentiel explicite déçoit pour une raison voisine. Demander un niveau de risque sur un fournisseur ou un traitement produit une note dont personne ne peut reconstituer le raisonnement. En revanche, appliquer un référentiel que vous avez écrit, en citant pour chaque critère la pièce qui le satisfait ou non, est un usage traçable — c'est le même travail avec une contrainte de plus, et c'est la contrainte qui le rend utilisable.

Enfin l'assistant conversationnel branché sur la documentation interne. Il répond vite, il est agréable à utiliser, et il ne laisse aucune trace exploitable : ni horodatage, ni version du document consulté, ni validateur. Comme outil d'orientation personnelle, il rend service. Comme pièce d'un dossier, il ne vaut rien, et c'est pour cela qu'il figure rarement dans les dispositifs qui passent un audit.

Ce qui rend une automatisation défendable

« Défendable » a un sens précis : vous pouvez, plusieurs mois après, reconstituer devant un tiers comment une réponse a été produite. Cela demande quatre éléments attachés à la réponse elle-même, et non rangés ailleurs : la source avec sa page et sa version, un score de fiabilité, le nom de la personne qui a validé, et l'horodatage.

Nous attachons ces éléments à chaque réponse, avec un score de confiance de 0 à 100. L'usage du score n'est pas de rassurer : il sert à décider ce qui part sans relecture et ce qui remonte à un expert. Un score qui ne déclenche aucune règle de traitement est un indicateur décoratif.

Le point que les grilles d'achat oublient est la restitution. Quand un auditeur demande la justification de trente réponses, la question est de savoir si la piste se remet telle quelle ou s'il faut la reconstituer à la main. La différence se compte en jours-personnes et ne se voit pas pendant une démonstration courte, à moins de la demander explicitement.

Où placer la validation humaine

La validation humaine systématique sur chaque réponse annule le gain ; son absence crée un risque que personne n'assume. Entre les deux, le réglage se fait par seuil, et le seuil se fixe sur la conséquence d'une erreur plutôt que sur un pourcentage de confort. Une réponse qui alimente un dossier contractuel n'a pas le même régime qu'une réponse interne.

Deuxième mécanisme, plus important que le premier : l'abstention. Un outil qui, faute de preuve dans vos documents, le dit et s'arrête, vaut mieux qu'un outil qui produit une réponse vraisemblable. L'abstention est une fonctionnalité, pas une limite, et c'est la première chose à mettre à l'épreuve en démonstration — posez une question dont la preuve n'existe pas chez vous, et regardez ce qui sort.

Troisième mécanisme, la traçabilité de la validation elle-même : qui a validé quoi, quand, et sur quelle version. Sans cela, le dispositif repose sur la mémoire des personnes, qui changent de poste.

Pour le reste, la mise en service est annoncée en 7 minutes, sans projet informatique — c'est le délai pour disposer d'un environnement de travail. Le vrai calibrage des seuils, lui, se fait sur vos dossiers, après quelques semaines d'usage, et il n'y a pas de valeur par défaut qui conviendrait à toutes les organisations.

Par quel cas d'usage commencer en GRC ?
Par celui où la preuve existe déjà et où le volume est répétitif : la réponse aux questionnaires reçus. La vérification y est bornée — ouvrir la source citée — et le gain est mesurable dès les premiers dossiers, ce qui permet d'arbitrer la suite sur des chiffres plutôt que sur une intuition.

Un score de confiance élevé dispense-t-il de relire ?
Seulement si vous avez fixé le seuil au-dessus duquel une réponse part sans relecture, et la conséquence que vous acceptez en cas d'erreur. Un score qui ne déclenche aucune règle ne sert à rien. Le seuil se règle sur l'usage de la réponse, pas sur une valeur générale.

Comment tester l'abstention d'un outil ?
Posez-lui une question dont la preuve n'existe pas dans vos documents, en démonstration, sur votre propre corpus. Un outil qui répond quand même produira un texte plausible et non sourcé : c'est exactement ce qui se retourne contre vous dans un dossier. Celui qui s'arrête et le dit vous laisse la main.