Quand l’IA effectue le travail, qui valide les comptes ?

Lors des Future CFO Talks organisés par Payhawk à Munich, une directrice financière a présenté un processus de traitement des factures presque entièrement automatisé. Les factures étaient capturées à la source, l’imputation était proposée automatiquement, les validations respectaient les règles établies, et les données approuvées étaient intégrées à l’ERP sans intervention humaine.

Un seul contrôle humain subsistait. Avant la validation définitive, un comptable devait encore vérifier les écritures et les codes fiscaux.

Puis, quelqu’un a demandé combien de temps cette vérification finale allait perdurer.

En substance, la réponse fut : « pour l’instant ».

Cette expression résume l’incertitude des directions financières qui testent l’IA. Le point de contrôle humain recule progressivement. La plupart des équipes voient cette évolution, mais peu ont décidé où elle devait s’arrêter.

Le débat porte encore essentiellement sur les capacités techniques. L’IA peut-elle extraire les données, imputer la facture, détecter une anomalie ou recommander une décision avec suffisamment de précision ? Ces questions sont cruciales, mais elles ne traitent que la moitié du problème. La véritable difficulté réside dans le pouvoir de décision : que peut-on autoriser l’IA à faire sans intervention humaine ? Et quand elle agit, qui en assume la responsabilité ?

Une limite qui recule sans concertation

Les équipes financières ne suppriment pas l’intervention humaine du jour au lendemain. Cette évolution résulte d’une multitude de petits arbitrages.

D’abord, on arrête la saisie de données. Ensuite, on automatise le rapprochement. Les transactions simples ne nécessitent plus d’imputation manuelle et les validations portant sur les montants les plus faibles disparaissent peu à peu. Pris isolément, chacun de ces choix paraît cohérent, car la machine gagne en rapidité et le processus en fluidité. La piste d’audit peut même se révéler plus efficace.

L’effet cumulé est toutefois majeur. Le moment où une intervention humaine devient nécessaire ne cesse de reculer, souvent sans que personne ne définisse la limite ultime.

C’est ainsi que les responsabilités se redessinent sans que personne ne l’ait véritablement décidé.

Lorsque l’on demande à un responsable financier où l’IA intervient déjà dans les workflows de l’entreprise, la réponse est souvent incomplète. Non pas par négligence, mais parce qu’aucun déploiement spécifique n’a jamais semblé suffisamment vaste pour justifier une cartographie exhaustive. Ainsi, le périmètre des responsabilités se dessine davantage par accumulation que par intention.

Ce « pour l’instant » témoigne de cette incertitude au quotidien.

Trois réponses commodes, mais aucune satisfaisante

Lorsque les entreprises cherchent à déterminer où maintenir une intervention humaine, elles s’appuient généralement sur une combinaison de trois critères : la précision, la conformité et l’intuition.

Le premier consiste à dire qu’une personne doit intervenir partout où l’IA n’est pas suffisamment fiable. Cette approche paraît logique, mais elle confond capacité et responsabilité. La précision permet d’évaluer si un système est capable d’exécuter une tâche. Elle ne dit pas si l’entreprise doit lui déléguer la décision.

Même si, dans 99,9 % des cas, un modèle est correct, la fraction restante peut avoir de lourdes conséquences si elle conduit à des paiements en double, à un traitement fiscal erroné ou à des transactions difficiles à annuler. Plus fondamentalement, une validation n’a jamais signifié que son auteur était l’élément le plus fiable d’un processus. Elle signifie simplement qu’une personne répond du résultat.

Le deuxième critère consiste à maintenir une validation humaine partout où un auditeur ou un organisme de réglementation l’exige. La conformité est indispensable, mais elle fixe un cadre minimal. Elle ne définit pas, à elle seule, un modèle opérationnel. Un contrôle imposé peut même devenir le maillon faible du processus lorsqu’une seule personne est censée examiner des centaines de décisions produites par une machine, sans disposer du temps, des informations ou du pouvoir nécessaire afin de les remettre en question.

Il s’agit d’une supervision de façade : la présence humaine crée une illusion de maîtrise dépourvue de substance réelle.

Le troisième critère, plus simple, consiste à maintenir l’intervention humaine chaque fois qu’une décision semble trop importante pour être automatisée. C’est sans doute l’approche la plus répandue, mais aussi la plus difficile à justifier, car ce sentiment d’importance reflète souvent la familiarité avec une tâche plutôt que son niveau réel de risque. Les équipes préfèrent garder la main sur les tâches qu’elles connaissent bien et automatiser celles qu’elles jugent répétitives ou fastidieuses, alors même que certains des plus grands risques financiers se cachent justement dans des décisions banales reproduites à grande échelle.

La limite doit donc être déterminée selon l’importance relative, la réversibilité et les conséquences d’une erreur, et non en fonction de l’habitude ou de l’inconfort.

La finance dispose déjà des prémices de la réponse

Pour aborder le sujet sous le bon angle, il faut cesser de parler de tâches. La vraie question est celle de la délégation du pouvoir de décision, un domaine que la finance maîtrise depuis bien longtemps.

Toute direction financière sérieuse s’appuie sur une matrice de délégation des pouvoirs. Elle définit qui peut approuver quoi, dans quelles limites de montant, sous quelles conditions et avec quelles exceptions. Personne n’attend des DAF qu’ils valident personnellement chaque transaction. La responsabilité reste maîtrisée parce que les pouvoirs sont clairement délimités, documentés et assortis de mécanismes d’escalade.

L’IA n’appelle donc pas une nouvelle philosophie. Elle doit simplement trouver sa place dans celle que la finance applique déjà.

Cela ne signifie pas qu’il faille attribuer une responsabilité juridique à un logiciel ou faire comme si une machine pouvait être tenue responsable d’une décision. Il s’agit de définir ce que le système est autorisé à faire, dans quelles conditions et à partir de quel moment la décision doit revenir entre les mains d’une personne.

La validation humaine ne disparaît pas, elle se déplace.

Plutôt que de valider chaque résultat produit par le système, les effectifs humains approuvent de plus en plus les règles qui le gouvernent : quelles décisions il peut prendre, quels seuils s’appliquent, quelles exceptions nécessitent une procédure d’escalade, quelles informations doivent être conservées et qui est habilité à intervenir.

Cette forme de contrôle est plus évolutive, mais aussi plus contraignante. Valider un paiement revient à en assumer la responsabilité. Valider les règles qui régissent le traitement de milliers de paiements par un système revient à assumer la responsabilité de l’ensemble de ces opérations.

Le nombre de validations manuelles peut diminuer, mais le poids de celles qui subsistent ne fait qu’augmenter.

L’expérience du panel de Munich

L’un des enseignements les plus intéressants des échanges est que les professionnels présents avaient déjà commencé à définir ces limites, même s’ils ne les formulaient pas ainsi.

Un spécialiste de la trésorerie travaillant pour un fabricant international a expliqué que l’IA était capable de signaler des anomalies, comme une facture d’un montant inhabituellement élevé, une incohérence dans les données de référence ou tout autre schéma ne correspondant pas aux attentes, mais qu’aucun paiement important ne quittait l’entreprise sans validation humaine.

La limite n’était donc pas dictée par les capacités techniques de l’IA, mais par le niveau de risque.

La directrice financière a décrit l’autre versant de cette même approche. Son entreprise avait autorisé une expérimentation assez large des outils d’IA, mais leur utilisation au sein de la finance était restée limitée tant que le cadre juridique et les conditions d’hébergement des données n’avaient pas été clairement établis.

Cette distinction est essentielle, car expérimenter n’est pas synonyme de déléguer. Les entreprises ont besoin de tester les usages de l’IA sans que la moindre idée soit paralysée par des mois de procédures. En revanche, dès lors qu’un système traite des données sensibles, influence des décisions financières ou agit à grande échelle, les exigences doivent être revues.

Le principe n’est donc ni « tout régir avant d’agir » ni « avancer vite et intégrer des contrôles plus tard ». Il repose sur une logique plus rigoureuse :
expérimenter largement, tout en déléguant avec discernement et en adaptant la gouvernance au niveau de risque.

Au-delà de l’« humain dans la boucle »

L’expression « humain dans la boucle » est devenue un argument rassurant dans le monde de l’IA d’entreprise. Elle donne aux conseils d’administration et aux organismes de réglementation l’assurance qu’une personne intervient encore dans le processus. Or, l’implication diffère du contrôle, et le contrôle n’implique pas la responsabilité.

Une personne peut examiner un résultat sans avoir le pouvoir de le rejeter. Elle peut valider une action sans comprendre comment la recommandation a été produite. Elle peut être officiellement responsable du processus alors que la technologie, le fournisseur et les métiers considèrent chacun que la responsabilité incombe à quelqu’un d’autre en cas d’erreur.

C’est là que réside le véritable risque.

La finance peut supposer que le modèle relève de la direction informatique, tandis que cette dernière estime que le processus appartient à la finance. Les métiers peuvent croire que le fournisseur est responsable des résultats, alors que celui-ci renvoie à ses conditions contractuelles. Tout le monde est intervenu, mais personne n’est clairement responsable des conséquences.

La bonne question n’est donc pas de savoir si un être humain intervient encore à chaque étape. Il faut plutôt se demander si une personne clairement désignée est capable d’expliquer pourquoi le système est autorisé à agir, dans quelles conditions, comment ses décisions peuvent être reconstituées et ce qui se passe en cas d’erreur.

Voilà à quoi ressemble un véritable dispositif de contrôle lorsque les humains n’interviennent plus à chaque transaction.

Où se trouve donc le dernier niveau de contrôle ?

La vérification finale effectuée par le comptable pourrait bien finir par disparaître sous sa forme actuelle. Les imputations et les vérifications fiscales gagneront en fiabilité, les exceptions seront plus faciles à détecter et les écritures courantes nécessiteront de moins en moins d’interventions manuelles.

Les comptes ne deviennent pas orphelins avec la disparition des tâches manuelles.

Une direction financière mature ne maintiendra pas une personne derrière chaque transaction, mais elle désignera une personne responsable de chaque système. Le dernier niveau de contrôle ne se trouve donc plus sur la facture, le paiement ou l’écriture comptable. Il remonte d’un niveau, à savoir celui du modèle opérationnel lui-même.

Que peut faire l’IA ? Où doit-elle s’arrêter ? Quelles décisions sont trop essentielles ou irréversibles pour lui être déléguées ? Quelles informations doit-elle conserver ? Qui peut passer outre ses décisions ? Et qui est responsable de ces choix ?

L’IA peut exécuter le travail et disposer d’un pouvoir de décision, mais elle ne peut pas en assumer la responsabilité.

Pour cela, il faut toujours un nom.