Le socle réglementaire mondial pour les contrôles de l'IA dans les services financiers

Les régulateurs des services financiers sont passés de simples orientations à des attentes prêtes pour l'examen prudentiel en matière de contrôles de l'IA. Comprendre ce qu'attend chaque grand régulateur, et la manière dont leurs attentes se recoupent, permet aux entreprises de services financiers de concevoir un cadre de contrôle qui satisfait plusieurs exigences réglementaires selon une approche unifiée.

APRA (Australian Prudential Regulation Authority) : Australie

Les lignes directrices de l'APRA sur la gestion du risque de modèle (CPG 220) et la norme de risque opérationnel CPS 230 créent le cadre australien de contrôle de l'IA le plus complet. La CPG 220 s'applique à toutes les entités régulées par l'APRA et couvre les modèles d'IA utilisés dans les décisions métier importantes. Principales exigences de contrôle : inventaire des modèles (tous les modèles d'IA importants documentés) ; validation avant déploiement (revue indépendante avant la mise en production) ; surveillance continue des performances (évaluation régulière par rapport à des seuils définis) ; limitation d'usage (l'IA n'est utilisée que dans son périmètre validé) ; gestion du changement de modèle (revalidation en cas de modification significative de l'IA) ; et reporting du risque de modèle (visibilité du conseil d'administration et de la direction sur le risque de modèle, y compris l'IA).

La CPS 230 ajoute des exigences de résilience opérationnelle : les systèmes d'IA utilisés dans des processus métier importants sont des ressources critiques nécessitant maintenance, surveillance et planification de la résilience. Les fournisseurs d'IA tiers sont des prestataires de services importants nécessitant une diligence raisonnable et des dispositions contractuelles. Les incidents d'IA sont des incidents opérationnels nécessitant une notification et une analyse des causes profondes.

FCA (Financial Conduct Authority) : Royaume-Uni

Le cadre de résultats clients de la FCA, porté par le Consumer Duty mais incluant aussi le Senior Managers and Certification Regime, le principe Treating Customers Fairly et les exigences de gouvernance des produits, crée une attente de contrôle de structure différente de la gestion traditionnelle du risque de modèle, mais tout aussi exigeante. La FCA attend des entreprises financières qu'elles démontrent, données à l'appui, que leur IA produit de bons résultats pour les clients particuliers.

Cela nécessite une infrastructure de contrôles détectifs : surveillance continue des résultats clients liés à l'IA (quels sont les taux de refus de demandes, de rejets de sinistres et de conditions défavorables selon les segments de clientèle ?) ; analyse démographique (les résultats diffèrent-ils sensiblement selon les groupes démographiques ?) ; suivi des réclamations (les réclamations des clients révèlent-elles des problèmes systémiques liés à l'IA ?) ; et recours au client mystère ou à d'autres méthodes d'échantillonnage pour vérifier que les communications générées par l'IA à destination des clients sont claires et loyales. La FCA a publié des lignes directrices sur le traitement équitable des clients vulnérables qui s'appliquent aux systèmes d'IA en contact avec la clientèle ; les entreprises doivent identifier et accompagner les clients susceptibles d'être désavantagés par des interactions avec l'IA.

Réserve fédérale / OCC : États-Unis

La SR 11-7 (2011, remplacée le 17 avril 2026 par la SR 26-2) constituait les lignes directrices fondatrices de la Réserve fédérale en matière de gestion du risque de modèle, adoptées par l'OCC et la FDIC. La SR 26-2 préserve les principes fondamentaux tout en évoluant vers une approche fondée sur le risque et hiérarchisée selon l'importance relative. Elle couvre explicitement l'IA et l'apprentissage automatique : l'utilisation de modèles s'est rapidement développée dans l'ensemble des services financiers, en particulier avec l'adoption de modèles complexes incluant l'apprentissage automatique et l'IA.

Exigences de contrôle de la SR 11-7 : revue de la solidité conceptuelle (l'approche de modélisation est-elle appropriée et bien fondée ?) ; analyse des résultats (le modèle se comporte-t-il comme prévu sur les données historiques et nouvelles ?) ; surveillance continue des performances (évaluation régulière de la précision et de la stabilité du modèle) ; et contrôles d'usage (limitations sur les lieux et les personnes pouvant utiliser le modèle). Pour les modèles d'IA, ces exigences s'étendent aux tests de biais, à l'évaluation de l'explicabilité et aux tests de robustesse face aux attaques adverses en tant qu'éléments de validation.

MAS (Monetary Authority of Singapore) : Singapour

Les principes FEAT de la MAS établissent le socle des contrôles de l'IA à Singapour : contrôles d'équité (Fairness ; tests de disparité démographique pour les décisions d'IA affectant les clients) ; contrôles d'éthique (Ethics ; processus de revue des cas d'usage de l'IA pour garantir l'alignement éthique) ; contrôles de responsabilité (Accountability ; responsabilité documentée pour les systèmes d'IA et leurs résultats) ; et contrôles de transparence (Transparency ; explicabilité des décisions de l'IA auprès des clients et de la MAS). La méthodologie d'évaluation du Consortium Veritas fournit le cadre technique pour la mise en œuvre des contrôles FEAT dans l'IA de crédit et de marketing.

Une architecture de contrôle unifiée

Les entreprises de services financiers opérant dans plusieurs juridictions devraient concevoir une architecture de contrôle de l'IA unifiée qui satisfait aux exigences de chaque régulateur concerné. La bonne nouvelle, c'est qu'il existe un recoupement substantiel. Tous les grands cadres réglementaires des services financiers attendent : un inventaire des modèles d'IA ; une validation avant déploiement ; une surveillance continue des performances ; des tests de biais démographiques ; une réponse aux incidents ; et une supervision au niveau du conseil d'administration. Un cadre de contrôle conçu pour répondre simultanément à l'ensemble de ces exigences, complété par une documentation spécifique à chaque juridiction si nécessaire, est plus efficace que la construction de cadres distincts pour chaque régulateur.

Pour aller plus loin : Federal Reserve SR 26-2

Lectures connexes

Pour aller plus loin : Federal Reserve SR 26-2