Le défi de la double réglementation pour l'IA dans les services financiers australiens

Les banques, assureurs et fonds de pension (superannuation) australiens opèrent sous une architecture réglementaire double qui crée des obligations de gouvernance de l'IA superposées. L'APRA (Australian Prudential Regulation Authority) réglemente la solidité prudentielle, la résilience financière et opérationnelle des entités réglementées. L'ASIC (Australian Securities and Investments Commission) réglemente la conduite de marché, la manière dont les entités traitent leurs clients, gèrent les conflits d'intérêts et présentent leurs produits et services. Les deux régulateurs disposent de pouvoirs existants qui s'appliquent à l'IA, et tous deux ont signalé qu'ils attendent que la gouvernance de l'IA soit intégrée aux cadres de gouvernance des entités, plutôt que traitée comme une question technologique distincte.

Les attentes de l'APRA en matière de gouvernance de l'IA

CPS 230, gestion des risques opérationnels : la norme de l'APRA sur la gestion des risques opérationnels, entrée en vigueur en 2025, s'applique directement aux systèmes d'IA utilisés dans les activités commerciales significatives. Le CPS 230 exige que les entités identifient, évaluent et gèrent les risques opérationnels liés à la technologie, y compris l'IA. Les entités doivent maintenir des contrôles adéquats, tester la continuité des activités et gérer les prestataires de services technologiques tiers, ce qui concerne les fournisseurs d'IA et les fournisseurs de modèles.

CPG 234, sécurité de l'information : les lignes directrices prudentielles de l'APRA sur la sécurité de l'information s'appliquent aux systèmes d'IA en tant que technologies de l'information. Les exigences des lignes directrices en matière de gestion des actifs, de contrôles d'accès, de gestion des incidents et d'évaluations des tiers s'appliquent toutes directement aux systèmes d'IA. Un modèle d'IA est un actif informationnel et doit être traité comme tel au titre du CPG 234.

CPS 220, gestion des risques : la norme de gestion des risques de l'APRA exige que les entités disposent d'un cadre complet de gestion des risques couvrant tous les risques significatifs, y compris les risques émergents. Le risque lié à l'IA est un risque émergent que l'APRA s'attend à voir identifié, évalué et géré dans les cadres de risque des entités. La responsabilité du conseil d'administration et de la direction générale à l'égard du risque lié à l'IA découle des exigences de responsabilisation du CPS 220.

Gestion des risques de modèle : l'attention prudentielle de l'APRA en matière de risque de modèle s'est étendue des modèles statistiques traditionnels aux modèles d'IA/ML. L'APRA s'attend à ce que les cadres existants de gestion des risques de modèle, validation, documentation, surveillance et escalade, s'appliquent aux modèles d'apprentissage automatique. La plupart des cadres MRM existants présentent des lacunes importantes lorsqu'ils sont appliqués aux défis d'interprétabilité et de dérive de distribution que posent les modèles d'apprentissage automatique.

Les attentes de l'ASIC en matière de conduite liée à l'IA

Obligations de prêt responsable : l'évaluation du crédit, la vérification des documents et les décisions de prêt pilotées par l'IA doivent respecter les obligations de prêt responsable prévues par le National Consumer Credit Protection Act. L'ASIC a clairement indiqué que le recours à l'IA ne modifie pas la substance de ces obligations, les prêteurs demeurent responsables des enquêtes raisonnables et de la vérification, que le processus soit automatisé ou non.

Devoir d'agir au mieux des intérêts du client (conseil financier) : les conseils financiers assistés par IA ou les outils numériques connexes au conseil doivent respecter le devoir d'agir au mieux des intérêts du client prévu par le Corporations Act. Les lignes directrices de l'ASIC sur le conseil numérique indiquent clairement que ce devoir s'applique quel que soit le degré d'automatisation.

RG 271, règlement interne des différends : le guide réglementaire de l'ASIC sur le règlement interne des différends (IDR) exige que les plaintes concernant des décisions pilotées par l'IA soient traitées de la même manière que les plaintes concernant des décisions humaines. Les organisations ne peuvent pas invoquer l'automatisation pour refuser l'accès aux processus de plainte ou pour fournir des explications insuffisantes concernant des décisions défavorables.

L'effet Robodebt sur la gouvernance de l'IA en Australie

Les conclusions de la Commission royale sur le Robodebt ont eu un effet significatif sur la manière dont les régulateurs australiens, notamment l'APRA et l'ASIC, abordent la prise de décision automatisée. Le constat selon lequel des systèmes automatisés peuvent produire à grande échelle des résultats systématiquement illégaux, et que des organisations peuvent ne pas parvenir à reconnaître ces résultats ou à y répondre, a créé une sensibilité accrue chez les régulateurs australiens face aux défaillances de gouvernance de l'IA. Cela se manifeste dans l'attention croissante que porte l'APRA à l'IA dans ses échanges prudentiels et dans les déclarations explicites de l'ASIC concernant l'IA et les obligations de conduite.

Mise à jour de mai 2026 : l'APRA et l'ASIC renforcent leurs attentes en matière de gouvernance de l'IA

Fin avril et début mai 2026, l'APRA et l'ASIC ont toutes deux publié de nouvelles lignes directrices importantes relatives à l'IA qui relèvent sensiblement le niveau d'exigence en matière de gouvernance pour les entreprises de services financiers australiennes.

La lettre à l'industrie de l'APRA du 30 avril 2026 constitue les premières attentes publiées par l'APRA spécifiquement consacrées à l'IA. S'appuyant sur un examen ciblé mené fin 2025 auprès des grandes banques, assureurs et fiduciaires de fonds de pension, l'APRA a constaté que les pratiques de gouvernance, de gestion des risques, d'assurance qualité et de résilience opérationnelle ne suivent pas le rythme du déploiement de l'IA. L'APRA attend désormais, à minima : des cadres formels et des lignes de reporting pour la gouvernance de l'IA ; une appropriation et une responsabilisation couvrant l'ensemble du cycle de vie de l'IA, de la conception à la mise hors service ; un inventaire de l'ensemble des outils et cas d'usage d'IA ; une implication humaine et une responsabilisation pour les décisions à haut risque ; ainsi qu'une formation structurée du personnel. L'APRA a également signalé la forte concentration des fournisseurs comme une préoccupation significative, de nombreuses entités dépendant d'un fournisseur d'IA unique avec des stratégies de sortie ou de substitution limitées, ce qui engage directement les exigences du CPS 230.

La lettre ouverte de l'ASIC du 8 mai 2026 avertit que les modèles d'IA de pointe ont fondamentalement transformé le paysage des cybermenaces. La commissaire Simone Constant a appelé l'ensemble des titulaires de licence AFS et des participants de marché à renforcer immédiatement les fondamentaux de la résilience cyber. L'ASIC a renforcé ce message par sa sanction de 2,5 millions de dollars à l'encontre de FIIG Securities Limited pour manquements en matière de cybersécurité, signalant qu'elle tiendra les titulaires de licence responsables lorsque la gestion du risque cyber sera insuffisante. L'ASIC attend des conseils d'administration qu'ils exigent des preuves de l'efficacité des contrôles : résultats de tests, conclusions d'audits indépendants et enseignements tirés d'incidents réels, et non de simples assurances de la direction.

Ensemble, ces deux lettres décrivent deux facettes d'un même risque : l'APRA se concentre sur la manière dont les organisations adoptent et gouvernent l'IA en interne, tandis que l'ASIC se concentre sur la manière dont l'IA transforme l'environnement des menaces externes. Les deux exigent une gouvernance renforcée, une responsabilisation plus claire et la preuve que les contrôles fonctionnent réellement.

Sources primaires : APRA Letter to Industry on AI, 30 April 2026 | ASIC Media Release 26-092MR, 8 May 2026

Lectures complémentaires