La comparaison entre l'APRA (Australian Prudential Regulation Authority), la FCA (Financial Conduct Authority) et la MAS (Monetary Authority of Singapore) en matière de gouvernance de l'IA révèle trois stratégies réglementaires distinctes face au même défi fondamental : garantir que les institutions financières utilisent l'IA de manière sûre et équitable. L'APRA a publié sa première lettre sectorielle consacrée spécifiquement à l'IA le 30 avril 2026, à l'issue d'un examen ciblé portant sur les grandes banques, les assureurs et les fiduciaires de retraite (superannuation trustees). La FCA applique son cadre existant fondé sur des principes à l'IA, complété par des orientations sectorielles s'inscrivant dans l'approche pluri-régulateurs du Royaume-Uni. La MAS développe le régime le plus complet spécifiquement dédié à l'IA à travers sa consultation sur les AI Risk Management Guidelines (novembre 2025), qui s'appuie sur les FEAT Principles déjà établis. Pour les institutions financières présentes sur ces trois marchés, comprendre en quoi les attentes de chaque régulateur diffèrent, et où elles convergent, est essentiel pour bâtir des cadres de gouvernance qui satisfassent aux trois à la fois.

APRA : des principes assortis d'un pouvoir de supervision réel

La lettre sectorielle de l'APRA du 30 avril 2026 constitue sa première expression publiée d'attentes spécifiques à l'IA. S'appuyant sur un examen ciblé mené fin 2025, l'APRA a constaté que les pratiques de gouvernance, de gestion des risques, d'assurance et de résilience opérationnelle ne suivent pas le rythme du déploiement de l'IA. L'APRA attend : des cadres de gouvernance de l'IA formalisés, avec des lignes de reporting claires ; une propriété et une responsabilité couvrant l'ensemble du cycle de vie de l'IA ; des inventaires exhaustifs des cas d'usage de l'IA ; une implication humaine pour les décisions à haut risque ; une formation structurée du personnel ; et une gestion rigoureuse des fournisseurs, incluant des stratégies de sortie testées. L'APRA ancre ces attentes dans les normes prudentielles existantes, CPS 230 (résilience opérationnelle), CPS 234 (sécurité de l'information) et CPS 220 (gestion des risques), plutôt que de créer de nouvelles normes spécifiques à l'IA. Le message est clair : les normes existantes couvrent déjà le risque lié à l'IA ; l'APRA ne fait que rendre explicite ce qui était auparavant implicite.

FCA : l'approche fondée sur des principes

La FCA ne dispose pas d'une réglementation autonome sur l'IA. Elle applique plutôt les principes réglementaires existants aux contextes liés à l'IA : la Consumer Duty (des résultats équitables pour les clients, y compris ceux affectés par des décisions prises par l'IA), le Senior Managers and Certification Regime (la responsabilité individuelle pour les décisions liées à l'IA), ainsi que les règles existantes en matière de trading algorithmique, de notation de crédit et de tarification en assurance. La FCA a publié sa mise à jour sur l'IA (AI Update) en avril 2024, précisant la manière dont elle attend des entreprises qu'elles abordent la gouvernance de l'IA dans le cadre existant. L'approche britannique est pilotée par secteur : la FCA, la PRA, la Banque d'Angleterre et d'autres régulateurs traitent chacun de l'IA dans le cadre de leur mandat propre, le tout coordonné par le cadre pro-innovation du DSIT. L'avantage réside dans la flexibilité ; la difficulté est que les entreprises doivent recomposer les attentes à partir de plusieurs régulateurs.

MAS : vers des règles complètes sur l'IA

La MAS élabore le cadre de gouvernance de l'IA le plus prescriptif des trois. Les FEAT Principles (Fairness, Ethics, Accountability, Transparency, soit équité, éthique, responsabilité, transparence), publiés en 2018 et mis à jour depuis, en constituent le socle. La consultation sur les AI Risk Management Guidelines, publiée en novembre 2025, propose des exigences détaillées couvrant les structures de gouvernance de l'IA, la gestion du risque de modèle, la gestion des données et les résultats pour les clients. La MAS développe également AI Verify, un outil de test permettant aux entreprises de démontrer leur conformité aux normes d'équité et de transparence. À la mi-2026, la MAS examine encore les réponses à la consultation et les AI Risk Management Guidelines n'ont pas encore été finalisées ; une fois finalisées, elles constitueront les exigences les plus détaillées, spécifiques à l'IA, de tous les régulateurs financiers dans le monde.

Là où elles convergent

Malgré des approches différentes, les trois régulateurs attendent les mêmes capacités fondamentales : une supervision de l'IA au niveau du conseil d'administration ainsi qu'une culture de l'IA à ce niveau, des inventaires exhaustifs des systèmes d'IA, des mécanismes de supervision humaine pour les décisions d'IA à haut risque, une gestion du risque de modèle incluant validation et surveillance, une gouvernance des fournisseurs tiers d'IA, une capacité de réponse aux incidents en cas de défaillance de l'IA, et une assurance fondée sur des preuves plutôt que sur les seules déclarations de la direction.

Approche pratique pour les entreprises multi-juridictionnelles

Construisez votre cadre de gouvernance de l'IA de façon à satisfaire aux exigences de la MAS (les plus prescriptives), ce qui dépassera généralement les attentes de l'APRA et de la FCA. Faites correspondre vos systèmes d'IA aux exigences spécifiques de chaque régulateur. Veillez à ce que le reporting destiné au conseil d'administration et à la direction générale couvre les domaines précis que chaque régulateur souhaite voir traités. Conservez une documentation spécifique à chaque juridiction là où les approches divergent (en particulier concernant les normes de validation des modèles et les attentes en matière de gouvernance des fournisseurs).

Sources principales : Lettre de l'APRA au secteur sur l'IA, 30 avril 2026 | FCA, AI and machine learning | Consultations de la MAS

À lire également