KYA (Know Your Actor) : redéfinir l'identité dans un monde dominé par l'IA

Les années passées en première ligne auprès des clients, des partenaires, des autorités de régulation et de mes homologues du secteur, au sein de l’écosystème de la gestion des identités et de la lutte contre la fraude, indiquent que nous sommes arrivés à un tournant indéniable. Si les détails varient selon les secteurs, les zones géographiques ou les cas d’utilisation, la tension sous-jacente reste remarquablement constante. Chacun est appelé à aller plus vite, à automatiser davantage, et ce sans créer de risques supplémentaires ni enfreindre les normes de conformité. 

Cette tension n'a fait que s'intensifier à mesure que l'IA générique s'est imposée comme une partie intégrante de la vie quotidienne, pour le meilleur comme pour le pire.

Pendant longtemps, les systèmes d'identification reposaient sur un principe relativement simple : une personne se présente, le système vérifie son identité, puis la transaction est effectuée. La fraude existait, mais elle restait marginale. Il était possible d’y remédier à l’aide de solutions ponctuelles intégrées au processus d’inscription ou d’authentification.

Il est toutefois temps désormais de repenser les anciens modèles. 

L'identité connaît actuellement la transformation la plus radicale de son histoire

Aujourd'hui, les « deepfakes » et les fraudes générées par l'IA ne constituent plus des cas isolés. Ils sont devenus la norme et se généralisent à grande échelle. Parallèlement, les clients s'attendent à ce que les vérifications d'identité soient instantanées et transparentes, tandis que les autorités de régulation exigent davantage de garanties, des contrôles plus stricts et une traçabilité plus claire.

L'intégration numérique, l'authentification et la prévention de la fraude ne constituent plus des étapes distinctes. Elles convergent vers un moment décisionnel unique et crucial où rapidité, précision et confiance doivent coexister. C'est pourquoi je pense que nous nous orientons vers un contrôle continu en matière d'identité, plutôt que vers des vérifications statiques et ponctuelles. 

Il faut au contraire adopter une approche plus globale, capable d’interpréter les signaux tout au long du cycle de vie de l’identité, de détecter rapidement toute manipulation et de prendre des décisions cohérentes au fil du temps.

Des utilisateurs aux acteurs

Ce défi gagne encore en complexité avec l'arrivée des agents autonomes dotés d'intelligence artificielle.

Des agents autonomes effectuent déjà des recherches, des réservations, des achats et des transactions pour le compte d’êtres humains. Nous n’en sommes encore qu’aux prémices du commerce par agents, mais celui-ci s’impose rapidement comme une composante incontournable du commerce numérique. Dans de nombreux cas, l’intention humaine est bien présente, mais la présence humaine, elle, fait défaut. Un agent d’IA qui initie une transaction peut être tout à fait légitime. Un autre agent effectuant la même action peut, quant à lui, avoir des intentions malveillantes.

Pour les entreprises qui tentent de détecter les fraudes, ces interactions peuvent sembler identiques.

C'est là que la notion d'« acteur » revêt toute son importance. L'identité n'est plus un simple instant statique lors de la création de compte ou de la connexion. Il ne s'agit pas seulement de savoir qui est impliqué, mais aussi ce que cette personne fait, comment elle se comporte et si ses actions restent conformes aux droits qui lui ont été accordés.

Un acteur se définit par son comportement au fil du temps. Ce qui importe, c'est la manière dont une entité agit tout au long d'une session, d'une transaction et de l'ensemble de son cycle de vie. Deux acteurs peuvent commencer avec les mêmes identifiants et autorisations, mais leurs parcours peuvent rapidement diverger en fonction de leurs actions suivantes.

C'est pourquoi il ne suffit plus de savoir si une interaction est automatisée. Les organisations doivent comprendre de quel type d'automatisation il s'agit, qui ou quoi elle représente, et quelles actions elle tente d'effectuer, et ce, en permanence, et pas seulement une seule fois.

 C'est ce qui marque le passage à ce que nous appelons « Know Your Actor ».

De la vérification de l'identité à l'évaluation de la fiabilité

Chez Microblink, cette évolution nous a poussés à repenser complètement le rôle de l'identité.

La vérification d'identité traditionnelle répond à une question précise : cette personne est-elle bien celle qu'elle prétend être ?
Dans un monde régi par des agents, la question la plus importante devient : faut-il autoriser cette interaction à se poursuivre ?

Cela nécessite bien plus qu'un simple contrôle. Il faut relier l'automatisation à une intention humaine vérifiée, évaluer en permanence les comportements et appliquer les décisions de manière cohérente sur tous les canaux et à tous les moments. 

C'est pourquoi l'identité ne peut plus être dissociée des systèmes plus larges de confiance et de sécurité. À mesure que l'automatisation progresse dans la chaîne, passant des activités en arrière-plan à la prise de décision et à l'exécution, l'infrastructure d'identité doit évoluer : elle ne doit plus se contenter de vérifier l'identité des utilisateurs, mais doit désormais régir les acteurs. Cela implique d'authentifier les personnes, de reconnaître les agents et de définir quelles actions sont autorisées et dans quelles conditions.

Pourquoi il ne s'agit pas simplement d'une automatisation accrue

On serait tenté de penser que la solution réside simplement dans davantage d'automatisation. Mais l'automatisation hors contexte ne réduit pas les risques. Elle les amplifie.

Nous nous orientons plutôt vers des flux de travail assistés par l'IA. Il s'agit de systèmes capables d'appliquer une prise de décision conditionnelle, de signaler les risques lorsque les indicateurs se détériorent et de limiter les vérifications manuelles aux seuls cas où le niveau de confiance est réellement élevé.

Une réduction des vérifications manuelles ne signifie pas pour autant un relâchement du contrôle. Cela signifie au contraire un contrôle plus efficace, concentré là où cela compte le plus.

Cet équilibre est essentiel. L'avenir de l'identité ne consiste pas à exclure totalement l'intervention humaine. Il s'agit plutôt d'utiliser l'intelligence pour déterminer quand la confiance peut être accordée automatiquement et quand elle nécessite un examen plus approfondi.

Les résultats avant les outils

Il y a une dernière leçon qui apparaît de plus en plus clairement.

Les entreprises ne veulent pas davantage d'outils. Elles veulent des résultats. Elles veulent réduire la fraude sans créer de frictions inutiles. Elles veulent se conformer aux réglementations sans freiner leur croissance. Elles veulent une automatisation qui gagne en efficacité sans créer de zones d'ombre.

C'est pourquoi « Know Your Actor » n'est ni une fonctionnalité ni un cadre isolé. Il s'agit d'une approche permettant de comprendre comment les décisions en matière de confiance sont prises dans un monde où les humains et les machines agissent de plus en plus conjointement.

Chez Microblink, nous réorientons nos priorités en conséquence. Nous ne nous contentons pas de vérifier l'identité. Nous aidons les organisations à établir la confiance, de manière cohérente, transparente et à grande échelle.

À mesure que les systèmes autonomes se généralisent, cette distinction prendra plus d'importance que jamais. Les organisations qui adaptent dès maintenant leurs modèles d'identité pourront adopter l'automatisation en toute sécurité. Celles qui ne le feront pas auront de plus en plus de mal à distinguer les acteurs légitimes des erreurs coûteuses.

C'est le défi qui nous attend. Et c'est pourquoi « Know Your Actor » représente l'avenir de la vérification d'identité.