Gouvernance de l'IA bancaire dans l'UE : autorités qui se chevauchent, attentes de plus en plus prescriptives

Les banques européennes sont confrontées au cadre de gouvernance de l'IA le plus prescriptif au monde. Les banques de l'UE doivent satisfaire simultanément aux obligations de plusieurs régimes qui se chevauchent : l'AI Act européen (pour l'IA en tant que produit réglementé) ; la réglementation prudentielle et de fonds propres CRR 3/CRD VI ; les attentes de la supervision bancaire de la BCE dans le cadre du mécanisme de surveillance unique (MSU) ; les lignes directrices de l'ABE sur l'externalisation, la gouvernance interne et la résilience opérationnelle ; DORA (Digital Operational Resilience Act) pour le risque lié aux prestataires tiers de TIC ; le RGPD pour le traitement des données à caractère personnel ; et les attentes prudentielles nationales des autorités compétentes. Il en résulte un environnement de conformité en strates, dans lequel la gouvernance de l'IA doit être conçue pour satisfaire simultanément à tous ces régimes.

Le guide prudentiel de la BCE sur les modèles internes (juillet 2025) : un tournant majeur

Le 25 juillet 2025, la Banque centrale européenne a publié la dernière version de son guide prudentiel sur les modèles internes. Ce guide a marqué un tournant majeur pour les banques de l'UE : les attentes en matière de gestion du risque de modèle s'étendent désormais à tous les modèles utilisés par l'établissement, et non plus seulement aux modèles internes réglementaires (approche IRB de Bâle). Les modèles de tarification, les modèles de tests de résistance, les simulations ALM, ainsi que les modèles d'IA et de ML relèvent tous de la gestion du risque de modèle (MRM). L'ancienne approche de gouvernance à deux niveaux, des contrôles stricts autour des modèles réglementaires et des contrôles ad hoc plus légers pour tout le reste, n'est désormais explicitement plus acceptable.

Le chapitre 9 du guide de 2025 porte spécifiquement sur les modèles de machine learning. La BCE accueille favorablement les techniques fondées sur le ML, mais exige qu'elles répondent à des normes plus élevées que les modèles traditionnels : une gouvernance des données robuste avec des critères de qualité clairs, y compris pour les données d'entraînement ; des contrôles supplémentaires pour les données non structurées ou synthétiques afin de traiter les valeurs manquantes et les biais ; une infrastructure informatique capable de répondre à des exigences de calcul plus élevées ; un réglage des hyperparamètres documenté ; un suivi de la dérive des modèles ; et une explicabilité adaptée à la finalité du modèle. Pour de nombreuses banques de l'UE, cela représente une élévation significative des exigences : un simple notebook ne constitue plus une documentation suffisante, les régulateurs attendent des processus de développement de modèles auditables.

Ateliers de la BCE sur l'IA et observations prudentielles (2025)

La BCE a organisé tout au long de 2025 des ateliers sur l'IA avec des banques de neuf pays européens, dont les conclusions ont été publiées en novembre 2025. Principales observations : les banques intègrent l'IA aux côtés des modèles traditionnels pour les décisions de crédit et la détection de la fraude ; les banques s'attendent à ce que l'IA de détection de la fraude soit classée à faible risque au titre de l'AI Act européen (une position que la BCE a relevée sans l'approuver) ; aucune banque n'a déclaré utiliser l'IA générative dans la notation de crédit, invoquant le temps de développement, le coût et des difficultés en matière de fiabilité ; les dispositifs de gouvernance sont mis en place principalement en intégrant l'IA aux politiques existantes ou en créant des fonctions de gouvernance de l'IA dédiées (comités, unités IA) ; l'intégration de la gouvernance des données pour l'IA « reste à établir » dans les faits dans la plupart des cas ; les modèles d'IA ont tendance à être développés en interne mais hébergés par des prestataires de services en nuage.

La BCE a indiqué que ses priorités pour 2026 porteront sur les applications d'IA générative, une évaluation plus approfondie des dépendances vis-à-vis des tiers et du risque de concentration, ainsi que le renforcement des travaux sur la résilience opérationnelle en s'appuyant sur DORA. Les revues ciblées et les inspections sur place menées en 2024-2025 indiquent que la BCE continuera à utiliser les outils prudentiels existants pour examiner directement la gouvernance de l'IA.

Application de l'AI Act européen aux banques de l'UE

Les classifications à haut risque de l'AI Act européen pertinentes pour les banques comprennent : l'IA utilisée pour évaluer la solvabilité des personnes physiques (haut risque au titre de l'annexe III) ; l'IA utilisée pour l'évaluation des risques et la tarification en assurance vie et santé (haut risque) ; les systèmes d'IA utilisés comme composants de sécurité dans les infrastructures critiques (lorsque l'infrastructure exploitée par la banque est concernée) ; l'IA utilisée dans les décisions relatives à l'emploi ; les systèmes de catégorisation biométrique. Les banques qui déploient de l'IA à haut risque en tant que fournisseurs ou déployeurs doivent se conformer au cadre de l'AI Act européen, gestion des risques, gouvernance des données, documentation technique, contrôle humain, transparence envers les utilisateurs, la plupart des obligations de l'annexe III s'appliquant à compter du 2 décembre 2027 en vertu de l'accord Digital Omnibus du 7 mai 2026.

Les banques opérant à l'international sont confrontées à la question de savoir s'il faut adopter un cadre mondial unique satisfaisant aux exigences de l'AI Act européen (plus strictes) ou maintenir des variations régionales. La plupart des grandes banques de l'UE adoptent des cadres mondiaux respectant les normes européennes.

DORA, la couche de résilience opérationnelle applicable à l'IA

Le Digital Operational Resilience Act (DORA), applicable depuis le 17 janvier 2025, impose aux entités financières de l'UE des exigences relatives au risque lié aux prestataires tiers de TIC. Les fournisseurs d'IA sont qualifiés de prestataires tiers de TIC au titre de DORA. Les banques doivent : tenir un registre des accords conclus avec des prestataires tiers de TIC (y compris les fournisseurs d'IA) ; procéder à des évaluations des risques avant de conclure des accords avec des prestataires tiers de TIC ; veiller à ce que les clauses contractuelles répondent aux exigences précisées par DORA (descriptions des services, localisations, obligations de sécurité, droits d'audit, stratégies de sortie) ; assurer une gestion des incidents liés aux TIC avec notification aux autorités compétentes ; mener des exercices de continuité d'activité et de reprise après sinistre liés aux TIC.

Le guide de la BCE sur l'externalisation de services en nuage auprès de prestataires de services en nuage (publié en juillet 2025) explique comment la BCE attend des banques qu'elles se conforment à DORA dans un contexte de recours au cloud, y compris pour les services d'IA généralement fournis via des plateformes en nuage. Les bonnes pratiques comprennent la réduction des risques de dépendance vis-à-vis d'un prestataire, la mise en place d'options de secours testées pour les services en nuage soutenant des fonctions critiques ou importantes, et la garantie que les clauses contractuelles permettent une sortie et une transition conformes à DORA.

Lignes directrices de l'ABE, gouvernance et externalisation

Les lignes directrices de l'ABE sur la gouvernance interne (EBA/GL/2017/11), sur les accords d'externalisation (EBA/GL/2019/02) et sur le SREP (EBA/GL/2022/03) s'appliquent toutes au déploiement de l'IA dans les banques de l'UE. Le manuel prudentiel de l'ABE sur la validation des systèmes de notation dans le cadre de l'approche IRB (EBA/REP/2023/29) s'applique lorsque des techniques de ML sont utilisées dans la modélisation du risque de crédit. Le document occasionnel n° 24 du Comité de Bâle sur le contrôle bancaire (septembre 2025), « How supervisors can address explainability », apporte un éclairage prudentiel international supplémentaire directement pertinent pour les banques de l'UE.

Défis concrets pour les programmes de gouvernance de l'IA des banques de l'UE

L'inventaire des modèles à grande échelle. Les grandes banques de l'UE comptent des milliers de modèles, dont beaucoup sont intégrés dans des logiciels tiers. Constituer et tenir à jour un inventaire complet répertoriant, pour chaque modèle, sa finalité, son type, son niveau de MRM et sa classification au titre de l'AI Act représente en soi une entreprise considérable.

Le risque de concentration au niveau des modèles de fondation. La majeure partie des capacités d'IA d'entreprise dépend d'un petit nombre de fournisseurs de modèles de fondation. Les banques de l'UE sont exposées à un risque de concentration que la diversification traditionnelle des fournisseurs ne permet pas facilement de traiter, il n'existe pas beaucoup de fournisseurs alternatifs de la classe GPT-4 ou Claude. La BCE a explicitement signalé cette concentration.

Explicabilité contre performance. Les modèles de ML qui surpassent les approches traditionnelles le doivent souvent à leur capacité à capter des schémas complexes difficiles à expliquer. L'attente de la BCE en matière d'explicabilité proportionnée à la finalité du modèle impose aux banques d'arbitrer entre gains de performance et contraintes d'explicabilité, en particulier dans les décisions de crédit où des explications relatives aux décisions défavorables sont requises.

La traçabilité des données d'entraînement et les biais. Les attentes de l'ABE en matière de gouvernance des données s'étendent aux données d'entraînement de l'IA. Établir la traçabilité des données, réaliser des tests de biais et assurer un suivi continu de l'équité tout au long du cycle de vie du modèle exige des capacités que la plupart des banques n'ont historiquement pas développées.

Ce que les programmes de gouvernance de l'IA des banques de l'UE devraient comporter d'ici fin 2026

Un inventaire complet des modèles couvrant tous les modèles, y compris l'IA/le ML, avec indication du niveau de MRM et de la classification au titre de l'AI Act. Un cadre de MRM actualisé, cohérent avec le guide prudentiel de la BCE sur les modèles internes (juillet 2025), y compris les exigences spécifiques au ML du chapitre 9. Une stratégie d'IA documentée, alignée sur l'appétit pour le risque, approuvée par le conseil d'administration et revue chaque année. Des contrats avec les fournisseurs d'IA mis à jour aux normes de DORA, incluant les droits d'audit, la notification des incidents et l'assistance à la sortie. Une évaluation des écarts au regard de l'AI Act européen assortie d'un plan de mise en œuvre pour les obligations à haut risque applicables à compter du 2 décembre 2027. Des accords avec les prestataires de services en nuage alignés sur le guide de la BCE sur l'externalisation de services en nuage (juillet 2025). Une documentation d'explicabilité pour l'IA utilisée dans les décisions ayant un impact sur les clients, suffisante à la fois pour l'examen prudentiel et pour les besoins des avis de décision défavorable. Un suivi des biais et de l'équité avec des protocoles de test documentés. Un reporting sur les risques liés à l'IA aux comités des risques et au conseil d'administration.

Pour aller plus loin : texte intégral de l'AI Act européen

Lectures connexes

Pour aller plus loin : texte intégral de l'AI Act européen