L'approche de Singapour en matière de gouvernance de l'IA, conçue pour l'adoption, pas seulement la conformité

Singapour encadre l'IA au moyen d'un modèle volontaire, fondé sur des principes, délibérément conçu pour soutenir l'innovation plutôt que pour la contraindre en priorité. Pour les PME opérant à Singapour, cela signifie qu'il n'existe pas de liste de conformité obligatoire pour l'IA équivalente aux exigences de la loi européenne sur l'IA (EU AI Act) pour les systèmes à haut risque. L'écosystème de gouvernance propose plutôt des outils pratiques, des cadres et des programmes de soutien que les PME peuvent utiliser pour démontrer un usage responsable de l'IA, et que les exigences d'approvisionnement du gouvernement et des grandes entreprises référencent de plus en plus.

L'Infocomm Media Development Authority (IMDA) est le principal organisme de régulation du numérique et de la gouvernance de l'IA à Singapour. Sous l'égide de l'IMDA, Singapour a bâti l'un des cadres volontaires de gouvernance de l'IA les plus complets au monde, un cadre progressivement mis à jour pour traiter l'IA générative (2024) et, plus récemment, l'IA agentique (janvier 2026). Pour les PME, la question pratique est la suivante : quelles parties de ce cadre dois-je m'approprier, et quels en sont les avantages concrets ?

Le Model AI Governance Framework, ce qu'il couvre et comment les PME l'utilisent

Le Model AI Governance Framework, publié pour la première fois par l'IMDA en 2019 et mis à jour en 2020, demeure la pierre angulaire de l'approche de Singapour en matière de gouvernance de l'IA dans le secteur privé. Il fournit des orientations sur : l'explicabilité (la capacité à expliquer les décisions des systèmes d'IA aux parties prenantes concernées), l'équité (l'évaluation et l'atténuation des biais dans les systèmes d'IA), la supervision humaine (le maintien de la responsabilité humaine pour les décisions d'IA à conséquences importantes), la gouvernance des données (la garantie de la qualité, de la traçabilité et du traitement responsable des données) et la gouvernance organisationnelle (les structures de responsabilité et les politiques internes).

En 2024, l'IMDA a publié le Model AI Governance Framework pour l'IA générative, élaboré avec la contribution de plus de 70 organisations mondiales, dont OpenAI, Google, Microsoft et Anthropic. Il traite des risques spécifiques aux grands modèles de langage (LLM) : hallucination, biais, propriété intellectuelle, provenance du contenu, cybersécurité et risque systémique. En janvier 2026, l'IMDA a lancé le tout premier Model AI Governance Framework pour l'IA agentique au monde, lors du Forum économique mondial de Davos, fournissant des orientations aux organisations déployant des agents d'IA capables de décisions autonomes. Une mise à jour v1.5, comprenant des études de cas concrets, des orientations sur les systèmes multi-agents et des bonnes pratiques relatives au risque lié aux agents tiers, a été publiée en mai 2026.

Pour les PME, ces cadres sont des documents de référence pratiques : non pas des exigences de conformité, mais des orientations structurées qui répondent à la question « que devons-nous mettre en place pour gouverner ce système d'IA de manière responsable ? » Ils sont de plus en plus référencés dans les marchés publics, et les clients grands comptes issus de secteurs réglementés demandent fréquemment aux fournisseurs d'IA PME de démontrer leur alignement avec ces cadres.

AI Verify et ISAGO, les outils de test et d'auto-évaluation

AI Verify est la boîte à outils de test de gouvernance de l'IA de l'IMDA. Elle permet aux organisations d'évaluer leurs systèmes d'IA au regard de principes de gouvernance reconnus, au moyen de contrôles de processus normalisés et de tests techniques. AI Verify produit un rapport que les organisations peuvent partager avec leurs clients, partenaires et régulateurs comme preuve de pratiques d'IA responsables. Pour les PME qui développent des produits d'IA destinés aux grands comptes, la certification AI Verify est de plus en plus demandée dans les appels d'offres et les processus de qualification des fournisseurs.

ISAGO (l'Implementation and Self-Assessment Guide for Organisations) est l'outil complémentaire, un guide d'auto-évaluation structuré qui aide les organisations à mettre en œuvre concrètement le Model AI Governance Framework. La mise à jour ISAGO 2.0 de 2025 s'intègre à AI Verify pour assurer un enchaînement fluide entre gouvernance et test. ISAGO aide les PME à cartographier les niveaux de risque de leurs systèmes d'IA, à documenter leurs dispositifs de gouvernance et à élaborer des plans de communication à destination des parties prenantes. Les deux outils sont mis à disposition gratuitement par l'IMDA.

Les lignes directrices de la MAS sur la gestion des risques liés à l'IA, ce que les PME des services financiers doivent savoir

Pour les PME des services financiers, sociétés fintech, prestataires de services de paiement, intermédiaires d'assurance, plateformes d'investissement, la Monetary Authority of Singapore (MAS) a publié en novembre 2025 un document de consultation sur des lignes directrices proposées en matière de gestion des risques liés à l'IA pour les institutions financières (consultation numéro P017-2025, clôturée en janvier 2026). Une fois finalisées, ces lignes directrices viendront compléter les principes FEAT existants de la MAS (Fairness, Ethics, Accountability and Transparency, soit équité, éthique, responsabilité et transparence) par des attentes spécifiques en matière de gestion des risques pour les institutions financières utilisant l'IA. Elles complètent le Model Framework de l'IMDA et AI Verify, créant ainsi un écosystème de gouvernance à plusieurs niveaux pour l'IA dans les services financiers.

Les lignes directrices de la MAS devraient exiger des institutions financières, y compris des entités agréées de plus petite taille, qu'elles : tiennent un inventaire de l'IA, réalisent des évaluations des risques pour les systèmes d'IA avant leur déploiement, mettent en œuvre une supervision humaine pour les décisions d'IA à conséquences importantes, testent les biais et surveillent la dérive des modèles, gèrent le risque lié aux fournisseurs d'IA, et disposent de procédures documentées d'escalade et de réponse aux incidents liés à l'IA. Les PME évoluant dans le champ réglementé par la MAS devraient prendre connaissance des lignes directrices définitives lors de leur publication et veiller à ce que leurs dispositifs de gouvernance de l'IA soient documentés en conséquence.

GenAI Sandbox, un soutien pratique pour les PME qui adoptent l'IA générative

Le GenAI Sandbox, lancé conjointement par l'IMDA et Enterprise Singapore en février 2024, permet aux PME de Singapour d'accéder à des solutions d'IA générative de niveau entreprise sur une période de trois mois. Il fournit aux PME des outils d'IA et des formations pour soutenir leurs activités de marketing, d'engagement client et d'exploitation. Le Sandbox est un programme de soutien technologique plutôt qu'un bac à sable réglementaire, les PME participantes ne sont pas soumises à une réglementation allégée, mais acquièrent une expérience pratique de l'IA générative dans le cadre d'un accompagnement structuré. Il reflète la philosophie de Singapour, qui consiste à favoriser l'adoption de l'IA par les PME grâce à un accès concret plutôt que par la seule réduction des barrières réglementaires.

Le Personal Data Protection Act, le cadre juridique contraignant

Alors que l'essentiel de la gouvernance de l'IA à Singapour repose sur une base volontaire, le Personal Data Protection Act 2012 (PDPA) a un caractère contraignant pour l'ensemble des organisations. Tout système d'IA qui traite des données personnelles, ce qui couvre pratiquement toutes les applications d'IA destinées aux clients ou liées aux ressources humaines, doit respecter les obligations de protection des données du PDPA : le consentement (ou les exceptions applicables), la limitation des finalités, la protection des données, la limitation de la conservation, et l'obligation de notification obligatoire des violations de données (notifier la Personal Data Protection Commission dans un délai de 3 jours après la découverte d'une violation devant être signalée). Le PDPC a publié des lignes directrices consultatives sur l'IA et le PDPA, confirmant que les systèmes d'IA sont soumis aux mêmes exigences de consentement, de transparence et de protection des données que les autres activités de traitement de données.

À lire aussi

Pour aller plus loin : Gouvernance de l'IA (PDPC)