IA agentique et GRC : l'IA propose, vos experts décident

Sur une analyse de risque, l'IA part des documents que vous lui fournissez et préremplit les champs de la pré-analyse et des ateliers, en citant les extraits sur lesquels elle s'appuie. Chaque proposition arrive à sa place dans l'analyse, révisable, et non comme un texte à recopier ailleurs. La différence avec un assistant tient moins au modèle qu'au périmètre d'action : ce que l'IA a le droit de lire, ce qu'elle a le droit d'écrire, et ce qui reste soumis à validation humaine. Dans Vailor, rien n'est validé sans un expert.

Non, et ce n'est pas une limite technique. Un régulateur, un auditeur ou un comité s'adresse à une organisation et à des responsables identifiés, jamais à un outil : accepter un risque résiduel, choisir une mesure ou valider un périmètre restent des décisions humaines, nominatives et datées. L'agent fait le travail préparatoire, propose, expose son raisonnement et signale ce qui lui paraît douteux. La plateforme enregistre qui a tranché, quand et sur quelle base.

En remontant à la source. Quand l'IA s'appuie sur un document, elle cite le passage, et Vailor vérifie mot à mot qu'il y figure ; une citation introuvable est signalée, jamais effacée. Une réponse invérifiable est une réponse à écarter, et c'est le critère à appliquer à tout outil de ce type. En pratique, la revue humaine porte sur le raisonnement et le contexte métier plutôt que sur la mise en forme : c'est là que le temps se déplace, de la saisie vers l'analyse.

Aucun référentiel de sécurité n'interdit d'utiliser un logiciel pour conduire une appréciation du risque : ce qui est examiné porte sur la démarche, pas sur l'outil. La méthode est-elle explicite, les scénarios sont-ils justifiés, chaque décision est-elle portée par une personne identifiée, la documentation reflète-t-elle le périmètre réel. Le point sensible n'est donc pas l'IA mais la traçabilité : une analyse dont on peut rejouer les étapes et retrouver les arbitrages se défend mieux qu'un fichier sans historique.

Il ajoute une exigence de maîtrise sur les systèmes d'IA que vous utilisez. Entré en vigueur en 2024, le règlement européen sur l'IA classe les systèmes par niveau de risque et fait entrer ses obligations en application par étapes. Quelle que soit la qualification retenue pour un outil donné, le point de départ est le même : savoir quels systèmes d'IA sont employés, à quelles fins, sur quelles données et sous quelle supervision humaine. Cet inventaire est un objet de GRC comme un autre, avec un périmètre, des risques, des mesures et des preuves.

En SaaS, vos documents et vos registres sont stockés en France (AWS, région Paris), les traitements d'IA passent par AWS Bedrock dans des régions de l'Union européenne, et rien ne sert à entraîner un modèle. Vous choisissez le modèle utilisé, y compris un modèle auto-hébergé. Au-delà de l'hébergement, les questions à poser à tout éditeur portent sur l'usage : les contenus soumis alimentent-ils l'entraînement ou l'amélioration d'un modèle, sont-ils transmis à un tiers, combien de temps sont-ils conservés, qui peut y accéder côté fournisseur. Exigez que les réponses figurent au contrat et dans la documentation de sécurité, pas seulement sur une page web. C'est aussi ce que vos propres clients vous demanderont sur votre chaîne de sous-traitance.

Un assistant généraliste ne connaît ni votre registre de risques, ni vos mesures, ni l'état de vos preuves : il rend un texte que quelqu'un doit ensuite recopier dans un tableur, en perdant au passage la source et la date. Le travail GRC est fait de liens entre un risque, une mesure, une exigence et une preuve, et ce sont précisément ces liens qui se défont à chaque copier-coller. Une plateforme tient l'état, conserve l'historique et rend le résultat défendable. Dans Vailor, l'IA préremplit directement l'analyse de risque, là où vos experts la valident.