MetaComp a présenté un cadre privé pour gouverner les agents IA dans les services financiers. Nous analysons ce qu'il propose, ce qu'il laisse ouvert et ce qu'un responsable conformité en Amérique latine et dans les Caraïbes peut faire dès aujourd'hui.
Jusqu'ici, la question centrale de la conformité était de savoir qui se trouve derrière un compte. Les agents d'IA en ajoutent une autre : qui se trouve derrière une décision qu'aucune personne n'a prise ? Un agent qui initie un paiement, hiérarchise des alertes ou complète un dossier client agit pour le compte de l'établissement, sans pour autant entrer dans les contrôles conçus pour les salariés ni dans ceux conçus pour les systèmes classiques.
C'est dans ce contexte que la société singapourienne MetaComp a présenté, le 21 avril 2026, son cadre StableX « Know Your Agent » (KYA). Il mérite une lecture attentive, mais aussi du recul : il s'agit d'un document publié par une entreprise privée, et non d'une norme ou d'un standard approuvé par un régulateur, et l'affirmation selon laquelle il serait le premier du genre au monde émane de l'entreprise elle-même.
Ce que propose le cadre, en quatre idées
Selon le communiqué de MetaComp, le cadre repose sur quatre piliers :
- Identité et enregistrement de l'agent. Chaque agent est rattaché à une personne ou à une institution vérifiée et inscrit dans un registre résistant à la falsification.
- Autorité et permissions. Il définit ce que chaque agent peut consulter, décider et exécuter ; au-delà de certains seuils, une validation humaine est requise.
- Surveillance du comportement et du risque. L'activité de l'agent est surveillée en continu et son profil de risque est mis à jour selon ce qu'il fait et la manière dont il le fait.
- Gouvernance des interactions entre agents. Il propose d'étendre la logique de la règle de voyage (Travel Rule) du GAFI aux opérations entre agents, avec échange des informations d'identité et de transaction et une piste d'audit de bout en bout.
L'entreprise ajoute que le cadre est ouvert aux autres établissements et aux régulateurs, et qu'elle ne le présente pas comme une réponse achevée.
Pourquoi c'est important maintenant
Les agents d'IA ne se contentent plus de répondre à des questions : certains initient des paiements, interrogent des bases de données et proposent des décisions sur des clients. La directrice de la conformité du groupe Alpha Ladder l'a résumé ainsi lors du lancement : « les cadres de conformité actuels ont été conçus pour un monde où ce sont les humains qui initient les transactions » (notre traduction).
Cela crée un vide bien réel. Les politiques de connaissance du client, de séparation des fonctions et de conservation des enregistrements supposent un responsable humain identifiable. Lorsqu'un agent agit, il faut pouvoir dire qui l'a autorisé, dans quelles limites, et comment reconstituer ce qu'il a fait.
Les régulateurs commencent à bouger, mais par des lignes directrices plutôt que par des obligations. En janvier 2026, l'autorité numérique de Singapour (IMDA) a publié un cadre modèle de gouvernance de l'IA agentique qui recommande de borner l'autonomie des agents, de prévoir des points de validation humaine et d'appliquer des contrôles techniques tout au long de leur cycle de vie. Par ailleurs, la règle de voyage est encore en cours de déploiement : en juin 2025, le GAFI indiquait que 99 juridictions avaient adopté ou étaient en train d'adopter une législation pour l'appliquer. Si la règle n'est pas encore stabilisée entre personnes, son extension aux agents reste, pour l'instant, une proposition.
Liste pratique pour votre établissement
Avec ou sans cadre externe, un responsable conformité peut commencer par ceci :
- Inventaire. Recensez tous les agents et automatisations fondés sur l'IA utilisés dans l'établissement, y compris ceux intégrés aux outils des fournisseurs : ce qu'ils font, sur quelles données et dans quels processus.
- Un responsable par agent. Désignez pour chacun un responsable métier et un responsable technique nommément identifiés, comme pour un utilisateur à privilèges.
- Moindre privilège. Documentez ce que chaque agent peut lire, proposer et exécuter, avec des limites par montant, type d'opération et client.
- Journalisation. Exigez des journaux complets et inaltérables de l'activité de l'agent, avec date, données utilisées et résultat, conservés aussi longtemps que le reste de votre documentation LBC-FT.
- Escalade vers une personne. Définissez quand une décision doit faire l'objet d'une revue humaine : alertes à haut risque, opérations inhabituelles, correspondances avec les listes de sanctions et toute déclaration de soupçon.
- Exigences envers le fournisseur. Prévoyez contractuellement la documentation du modèle, les contrôles d'accès, la journalisation, des tests de biais et d'erreur, la notification des changements et un droit d'audit.
- Dossier pour le contrôle. Regroupez l'inventaire, l'évaluation des risques de chaque agent, ses tests et les décisions du comité qui l'a approuvé.
Limites et questions ouvertes
Le cadre KYA énonce des principes, mais le communiqué ne donne ni spécifications techniques ni exclusions, et aucune évaluation indépendante de son fonctionnement n'existe. Son périmètre déclaré se limite en outre aux agents opérant sur le réseau de l'entreprise.
Il ne règle pas non plus la question essentielle pour un établissement assujetti : la responsabilité. Aucun registre d'agents ne transfère à un tiers l'obligation de vigilance ni la paternité d'une déclaration ; l'établissement reste responsable devant son superviseur.
À la date de cet article, nous n'avons pas identifié de normes en Amérique latine et dans les Caraïbes portant spécifiquement sur les agents d'IA en matière de LBC-FT. En attendant, la prudence consiste à traiter chaque agent comme un processus externalisé à haut risque : appliquer les règles existantes sur le risque technologique, l'externalisation et la conservation des enregistrements, documenter les décisions et consulter le superviseur avant d'automatiser des tâches sensibles.
Chez Global KYC & Compliance Solutions, nous aidons les établissements assujettis à intégrer l'automatisation avec des contrôles qui résistent à un contrôle.