Comment choisir un logiciel de détection de fraude documentaire

Partez de vos documents, pas des fonctionnalités

Avant de comparer des éditeurs, décrivez votre besoin : quels documents recevez-vous, par quel canal, en quel volume, et quelle décision en dépend ? Une banque qui contrôle des relevés à l’entrée d’un crédit n’attend pas la même chose d’un outil qu’un service comptable qui reçoit des factures. Précisez aussi la question posée, car elle désigne le bon type d’outil :

• Le fichier a-t-il été modifié ou fabriqué ? C’est l’objet d’un logiciel de détection, qui analyse le document lui-même.
• Le contenu est-il exact ? Seule une source extérieure peut le dire : service officiel, émetteur, recoupement. Un faux intellectuel ne porte aucune retouche, et notre guide explique comment vérifier l’authenticité d’un document.
• La personne est-elle celle qu’elle prétend être ? Cela relève de la vérification d’identité, un autre type d’outil.

Formats et langues

Listez les formats que vous recevez vraiment : PDF d’origine, scan, photo prise au téléphone, capture d’écran. Demandez ce que l’outil peut dire sur chacun, car une photo ne garde pas les mêmes informations qu’un PDF d’origine. Regardez aussi le traitement des documents de plusieurs pages et les langues ou alphabets de vos pièces, surtout si elles viennent de l’étranger : un outil évalué sur des factures françaises ne l’a pas forcément été sur vos documents. Demandez à le voir.

Exigez des explications, pas seulement un score

Un score seul ne permet ni de décider ni de répondre à un client, un candidat ou un fournisseur qui conteste. Regardez ce qu’un analyste voit réellement :

• Où : l’anomalie est-elle localisée sur le document ?
• Quoi : un commentaire permet-il de la comprendre sans être expert ?
• Et après : le résultat donne-t-il un niveau clair pour orienter le dossier ?
• La trace : le rapport peut-il être retrouvé plus tard dans un historique ?

C’est aussi une question de droit. Une personne a en principe le droit de ne pas faire l’objet d’une décision entièrement automatisée qui produit des effets juridiques ou l’affecte de manière significative. Lorsqu’une telle décision est permise, elle peut notamment demander une intervention humaine et une explication, et contester. Un outil qui explique ses résultats et laisse la décision à vos équipes rend ce cadre plus simple à respecter : faites valider votre processus par votre délégué à la protection des données.

Méfiez-vous des promesses de précision. Un pourcentage n’a de sens qu’avec son protocole : quels documents, quelle proportion de faux, quels types de retouches. Et un résultat sans anomalie ne prouve pas qu’un document est authentique.

Testez sur vos propres documents

Un essai gratuit ne vaut que si vous le menez comme un vrai test. Avant d’envoyer quoi que ce soit, lisez ce que l’éditeur fait des fichiers d’essai, puis suivez ces étapes :

1. Constituez un échantillon représentatif

   Prenez des documents authentiques de vos différents canaux et, si vous en avez, des faux déjà identifiés par vos équipes. Faites valider l’usage de ces pièces par votre délégué à la protection des données.

2. Ajoutez les cas difficiles

   Scans de mauvaise qualité, photos de travers, PDF réenregistrés, documents étrangers : c’est là que les outils se distinguent.

3. Comptez les fausses alertes

   Ce sont les alertes sur des documents authentiques : elles saturent les équipes et pénalisent des clients honnêtes. Regardez si leur explication permet de les écarter facilement.

4. Comptez ce qui échappe

   Sur les faux connus, relevez ceux qui ne sont pas signalés et ce qu’ils ont en commun. Cela dit où garder un contrôle manuel.

5. Faites lire les résultats par ceux qui décideront

   Un gestionnaire comprend-il le résultat sans aide ? Combien de temps lui faut-il pour traiter un dossier, du dépôt à la décision ?

6. Comparez à votre contrôle actuel

   Un outil se juge par rapport à ce que vous faites aujourd’hui, pas par rapport à un idéal. Notez ce qu’il ajoute, et ce qu’il ne remplace pas.

Intégration et API : ce qu’il faut regarder

Selon vos volumes, une plateforme web peut suffire, ou l’analyse doit entrer dans votre CRM, votre portail ou votre outil de gestion. Si l’API compte, faites lire sa documentation par vos développeurs avant de signer, et vérifiez à partir de quelle offre elle est accessible : l’essai d’un logiciel ne donne pas toujours accès à son API.

• Documentation : est-elle à jour, avec des exemples, et lisible avant la signature ?
• Parcours : comment déposer un fichier, suivre l’analyse et lire le résultat ? Le traitement est-il asynchrone, et votre système est-il prévenu à la fin ?
• Authentification : comment les clés d’API sont-elles créées, limitées et renouvelées ?
• Résultat exploitable : la réponse a-t-elle une structure stable, que vous pouvez utiliser pour orienter un dossier automatiquement ?
• Erreurs et limites : que se passe-t-il pour un fichier illisible, un pic de volume, une reprise après incident ?
• Comptes et rôles : les équipes non techniques ont-elles une interface, et qui voit quels documents ?

Données, RGPD et hébergement

Un logiciel de contrôle reçoit des bulletins de salaire, des relevés, parfois des données de santé. L’éditeur qui les traite pour votre compte est en général votre sous-traitant au sens du RGPD, et votre organisation doit l’encadrer.

La réutilisation de vos documents

C’est la première question à poser. Selon la CNIL, un sous-traitant ne peut pas réutiliser les données pour son propre compte de sa propre initiative. Il lui faut votre accord écrit, et un accord global donné d’avance ne suffit pas : chaque traitement envisagé doit être évalué par un test de compatibilité. Si le test échoue, vous devez refuser ; s’il réussit, vous restez libre de refuser. Vérifiez donc noir sur blanc si vos documents servent à entraîner ou à améliorer des modèles.

Le contrat

L’article 28 du RGPD impose un contrat. Il prévoit notamment des instructions documentées, des mesures de sécurité, votre autorisation pour tout autre sous-traitant, votre droit d’être prévenu et de vous opposer si elle est générale, la suppression ou la restitution des données en fin de prestation, et les audits. Le sous-traitant reste pleinement responsable de ses propres sous-traitants. La CNIL publie des exemples de clauses utiles pour relire le vôtre.

L’hébergement et la sécurité

La CNIL déconseille de recourir à un service cloud sans garantie sur la localisation effective des données. Demandez où sont stockés les fichiers et les résultats, et qui y accède. Un transfert hors de l’Union européenne doit reposer sur un outil prévu par le RGPD, comme une décision d’adéquation ou des clauses contractuelles types. Pour la CNIL, les certifications ISO/IEC 27001 et 27701 sont un premier indice de fiabilité, et l’hébergeur de données de santé doit disposer de la certification HDS. Votre délégué à la protection des données vérifiera aussi si une analyse d’impact s’impose (article 35 du RGPD).

Comprendre le modèle de prix

Les tarifs se comparent mal sans une unité commune. Refaites le calcul avec vos volumes réels :

• L’unité : la page, le document, l’analyse ou l’appel d’API ? Un relevé de douze pages ne coûte pas la même chose selon la réponse.
• La forme : le paiement à l’usage convient à un volume faible ou irrégulier, l’abonnement à un flux régulier, le devis aux flux intégrés.
• Le dépassement : quel est le prix au-delà du forfait, et que deviennent les unités non utilisées ?
• L’engagement : quelle durée, quel préavis, quelle facturation ?
• Ce qui est inclus : API, nombre de comptes, accompagnement à l’intégration.
• Le coût indirect : intégration, formation et, surtout, temps passé à traiter les fausses alertes.

La grille de critères et les questions à poser à un éditeur

Notez chaque critère de 0 à 2 pendant le test, pondérez selon vos priorités et décidez à l’avance lesquels sont éliminatoires :

• Formats : tous vos formats sont pris en charge, et l’éditeur dit ce que chacun permet.
• Langues : l’outil a été testé sur vos langues et vos documents étrangers.
• Résultats : verdict clair, anomalies localisées, explication lisible par un non-expert.
• Décision : elle reste à vos équipes, et elle peut être justifiée.
• Essai : possible sur vos documents, avec une règle écrite pour les fichiers envoyés.
• Intégration : API documentée, et interface pour les équipes non techniques.
• Réutilisation : engagement écrit sur l’usage de vos documents et de leurs résultats.
• Contrat : clauses de l’article 28, liste des sous-traitants, sort des données en fin de contrat.
• Hébergement : localisation connue, accès encadrés, transferts éventuels justifiés.
• Prix : unité claire, simulation sur vos volumes, engagement clair.

Les questions à poser

• Mes documents ou leurs résultats servent-ils à entraîner, tester ou améliorer vos modèles, y compris pendant l’essai ?
• Où sont hébergés les fichiers et les résultats, et qui peut y accéder chez vous ?
• Quels sont vos sous-traitants, et comment suis-je prévenu d’un changement ?
• Combien de temps gardez-vous les fichiers, et comment les supprimer ?
• Que voit exactement un analyste pour comprendre un résultat ?
• Quels cas sont hors de portée de votre outil ?
• Comment mesurez-vous vos performances, et sur quels documents ?
• À partir de quelle offre l’API est-elle accessible ?
• Que deviennent mes données à la fin du contrat ?

Un éditeur sérieux sait dire ce que son outil ne fait pas. Si la réponse à ces questions ne figure ni dans le contrat ni dans la documentation, demandez-la par écrit.

Comment Docusan répond à ces critères

Nous sommes juge et partie : voici donc des faits, à vérifier par vous-même, et ce que Docusan ne fait pas.

• Formats et langues : PDF, PNG, JPEG et TIFF, pour des images, scans ou PDF dans toutes les langues.
• Résultats : trois verdicts (Aucune détection, Suspect, Alerte) et des anomalies localisées sur le document. La décision revient à vos équipes.
• Essai : un essai gratuit sur vos propres documents, avant de vous engager.
• Intégration : une plateforme avec un historique des rapports, et, avec l’offre Entreprise, une API et sa documentation, des détecteurs personnalisés et une infrastructure dédiée.
• Données : hébergement dans l’Union européenne (Irlande), documents jamais utilisés pour entraîner ou améliorer les modèles, double authentification en option (sécurité et confidentialité).
• Prix : Top-up, des pages à la demande, sans abonnement ni engagement ; Pro, un abonnement mensuel ou annuel avec comptes sans limite ; Entreprise, sur devis et avec engagement, au-delà de 1 000 documents par mois, avec API, accompagnement et cadrage technique. Le détail figure sur la page des tarifs.

Ses limites : Docusan analyse le fichier et n’interroge ni l’émetteur ni les bases administratives. Il ne dit donc pas si un document intact dit vrai, et il complète les contrôles à la source. L’API n’est pas comprise dans l’offre Top-up. Pour les autres points de la grille, posez-nous les questions ci-dessus, comme à tout autre éditeur.