Stanislaw Ulam est alité à Los Alamos, Nouveau-Mexique, en 1946. Il se remet d'une opération. Pour passer le temps, il joue au solitaire — et se pose une question précise : quelle est la probabilité qu'une partie donnée se termine par une victoire ? La combinatoire exacte est trop complexe à calculer. Mais il peut simuler.
L'insight est simple : si je joue cent parties et que trente se terminent bien, la probabilité est d'environ 30 %. Pas besoin d'équation fermée. Juste du volume et de l'observation. Ulam en parle à John von Neumann. Von Neumann comprend immédiatement la portée : cette méthode s'applique à n'importe quel problème où l'espace des possibles est trop grand pour être exploré analytiquement.
Ils la codent sur ENIAC — le premier ordinateur électronique général. Le projet Manhattan avait besoin de simuler la diffusion des neutrons dans les matériaux fissiles. Monte Carlo est né pour modéliser l'imprévisible. Le nom est choisi par Nicholas Metropolis, collègue des deux hommes, en référence au casino monégasque — là où l'aléatoire est roi.
Il faut attendre 1977 pour que la finance s'empare sérieusement de la méthode. Phelim Boyle, actuaire canadien, publie un article dans le Journal of Financial Economics : il applique Monte Carlo au pricing des options sur actions. L'idée : simuler des milliers de trajectoires de prix possibles, calculer le payoff de l'option à chaque trajectoire, prendre la moyenne actualisée. Exact à quelques centimes, là où les formules analytiques avaient leurs limites.
La vraie démocratisation arrive avec JPMorgan en 1994. La banque publie RiskMetrics — un cadre standardisé pour calculer la Value at Risk (VaR). La question qu'il répond : combien peut-on perdre dans 95 % des cas sur un horizon de 10 jours ? Monte Carlo y joue un rôle central. Bâle II en fera ensuite une exigence réglementaire pour les banques mondiales.
Voilà le problème. Les modèles de valorisation standard — DCF, multiples d'EBITDA, comparables transactionnels — ont intégré la volatilité de marché, le risque de taux, le risque de contrepartie. Ils n'ont pas intégré le risque réglementaire AI Act.
Un actif IA valorisé à 50 M€ sur la base de ses revenus et de ses multiples sectoriels peut valoir significativement moins si son système principal tombe dans la catégorie des systèmes à haut risque au sens de l'Annexe III du Règlement 2024/1689. Ou moins encore si son modèle de langage dépasse le seuil GPAI et déclenche des obligations d'adversarial testing et de reporting des incidents que l'actif n'a pas documentées.
Ce risque n'est pas hypothétique. L'AI Office européen est opérationnel. Les premières investigations GPAI sont en cours. Les autorités nationales — dont la CNIL pour la France — sont désignées. Le premier enforcement action AI Act n'est pas une question de si, mais de quand.
Le risque s'attache à l'actif, pas à la transaction. Il persiste après le closing. L'acquéreur qui ne l'a pas identifié avant la signature le découvrira dans les mois suivants — avec les amendes, les coûts de remédiation, et les clauses de garantie qui n'ont pas été négociées.
La méthodologie D7™ applique au risque réglementaire AI Act le même raisonnement que Monte Carlo appliquait au risque nucléaire en 1946, et que JPMorgan appliquait au risque de marché en 1994 : on ne peut pas prédire l'avenir avec certitude, mais on peut cartographier les issues probables et les pondérer.
Le cadre de référence est celui des standards d'audit financier — PCAOB et ISA 500 — qui définissent les niveaux de preuve et les méthodologies d'estimation acceptables pour une opinion professionnelle. C'est ce qui distingue une analyse D7™ d'une check-list de conformité : l'opinion est défendable devant un régulateur, devant un arbitre, devant un comité d'investissement.
Concrètement, D7™ produit pour chaque actif analysé trois scénarios de valorisation :
Chaque scénario porte une probabilité calibrée sur les éléments de preuve collectés — documents dataroom, sources publiques vérifiées, historique réglementaire. La valorisation attendue est la moyenne pondérée des trois. Ce n'est pas une approximation — c'est une estimation probabiliste défendable, dans la tradition directe de ce qu'Ulam et von Neumann ont formalisé.
Le Monte Carlo original de Los Alamos simulait des millions de trajectoires de neutrons parce que la physique nucléaire s'y prêtait — espace continu, variables nombreuses, simulation computationnelle possible.
Le risque réglementaire AI Act n'est pas un espace continu. Les outcomes sont discrets : un système est high-risk ou ne l'est pas (Art. 6), un modèle dépasse ou non le seuil GPAI (Art. 51), une pratique est interdite ou non (Art. 5). Trois scénarios pondérés par probabilité capturent l'incertitude pertinente sans fausse précision.
C'est exactement ce que recommandent PCAOB et ISA 500 pour les estimations en audit : l'analyse de scénarios pondérés quand la distribution continue n'est pas modélisable. Pas plus, pas moins.
Un actif IA valorisé 30 M€ analysé par D7™ avec un score dégradé génère une fourchette de valorisation attendue. La différence entre la valeur nominale et la valeur attendue, c'est l'exposition réglementaire quantifiée. Elle détermine trois choses :
1. La structure de prix. L'escrow complémentaire à séquestrer, libéré sur certification de conformité à 12 ou 18 mois. L'earn-out conditionnel à l'absence d'enforcement action pendant la période de garantie.
2. Les clauses SPA. Les Reps & Warranties spécifiques AI Act (classification Art. 6 certifiée, absence Art. 5 attestée, documentation Art. 9-15 complète). Le MAC réglementaire déclenché si une procédure enforcement s'ouvre avant le closing.
3. Le pricing de la couverture W&I. L'assureur qui souscrit une police W&I sur un actif IA sans analyse D7™ souscrit à l'aveugle sur la dimension réglementaire. Le D7™ est le sous-jacent qui permet de tarifer la police.
Ulam cherchait à savoir si une partie de solitaire était gagnable. Nous cherchons à savoir si un actif IA est défendable devant un régulateur après le closing. La méthode est la même. L'enjeu, lui, s'est considérablement élargi.
Le Digital Omnibus (procédure 2025/0359, accord trilogue mai 2026) a décalé la date d'application des obligations Annexe III — systèmes high-risk autonomes — au 2 décembre 2027. Ce n'est pas un répit. C'est une fenêtre.
Les premières investigations AI Office sont en cours dès maintenant. Les actifs qui entreront sur le marché M&A d'ici fin 2027 avec un score D7™ documenté seront traités différemment des actifs dont les acheteurs devront reconstruire la compliance post-closing. La prime de valorisation pour la conformité anticipée est réelle — estimée à +15-25% sur les transactions comparables en RegTech.
L'avantage temporel appartient aux équipes qui analysent maintenant, pas à celles qui attendent les guidelines définitives.