Lignes directrices de la MAS sur l'IA : d'une simple orientation à une attente prudentielle

L'Autorité monétaire de Singapour (Monetary Authority of Singapore, MAS) a publié son document de consultation relatif aux lignes directrices sur la gestion des risques liés à l'IA pour les institutions financières le 13 novembre 2025, la période de consultation devant se clôturer le 31 janvier 2026. Une fois finalisées (ce qui est attendu mi-2026), ces lignes directrices seront traitées comme des attentes prudentielles, ce qui signifie que la MAS évaluera la conformité lors des inspections et des contrôles prudentiels. Le non-respect de ces lignes directrices pourrait entraîner des mesures prudentielles.

Pour les institutions financières singapouriennes, la période durant laquelle la gouvernance de l'IA pouvait être considérée comme une bonne pratique volontaire est désormais close.

Qui est concerné

Toutes les institutions financières régulées par la MAS sont concernées : les banques (banques universelles, banques de gros, banques d'affaires) ; les assureurs (assurance générale et assurance-vie) ; les intermédiaires des marchés de capitaux (valeurs mobilières, contrats à terme, gestion de fonds) ; les prestataires de services de paiement ; les entreprises fintech titulaires d'une licence de la MAS. Si votre activité est régulée par la MAS, ces lignes directrices s'appliquent à vos activités liées à l'IA.

Ce qu'il faut mettre en œuvre

Structures de gouvernance. Responsabilité du risque lié à l'IA au niveau du conseil d'administration. Rôles et responsabilités clairement définis pour la surveillance de l'IA. Appétence pour le risque lié à l'IA intégrée à la gestion globale des risques de l'entreprise. Reporting régulier sur les risques liés à l'IA au conseil d'administration et à la direction générale. Une responsabilité nommément désignée, et non diluée entre plusieurs comités.

Évaluation et gestion des risques. Classification des systèmes d'IA fondée sur les risques, selon leur importance relative. Gouvernance proportionnée : les systèmes d'IA significatifs font l'objet d'une gouvernance intensive, tandis que les systèmes à faible risque bénéficient d'une surveillance allégée. Documentation de la méthodologie d'évaluation des risques et de la justification de la classification. Évaluation des risques actualisée en cas de modification substantielle des systèmes d'IA.

Gestion des données. Évaluation de la qualité des données utilisées pour l'entraînement et en entrée des systèmes d'IA. Évaluation des biais dans les données d'entraînement : représentativité démographique, biais historiques, variables de substitution (proxy). Documentation de la traçabilité des données (data lineage). Gouvernance des données intégrée aux cadres existants de gestion des données.

Gestion des modèles. Validation des modèles avant leur déploiement, proportionnée à leur classification de risque. Surveillance continue des performances, et non une simple validation ponctuelle. Détection de la dérive des modèles (drift) et réponse appropriée. Gestion des changements apportés aux modèles : notification et revalidation en cas de modification substantielle. Explicabilité adaptée au cas d'usage et au public concerné.

Gouvernance de l'IA des fournisseurs. Diligence raisonnable structurée à l'égard des fournisseurs d'IA. Protections contractuelles : engagements de non-utilisation des données à des fins d'entraînement, documentation des modèles, accords de niveau de service (SLA) sur la performance, notification des incidents. Suivi continu de la performance des fournisseurs. Plans de continuité et de sortie pour les dépendances significatives à l'égard de fournisseurs d'IA. À mesure que la part des capacités d'IA sourcées à l'externe augmente, la gouvernance des fournisseurs détermine de plus en plus la qualité de la gouvernance globale de l'IA.

Résultats pour les clients. Surveillance de l'équité des décisions fondées sur l'IA entre les différents segments de clientèle. Tests de détection des biais dans les systèmes d'IA utilisés pour le crédit, la tarification, les sinistres et le service client. Analyse des réclamations clients relatives à des problèmes liés à l'IA. Transparence quant au recours à l'IA dans les décisions concernant directement les clients, lorsque cela est pertinent.

Articulation avec les cadres existants

Les lignes directrices de la MAS sur l'IA s'inscrivent dans un écosystème plus large : la PDPA impose le respect de la protection des données pour tout traitement de données personnelles par l'IA ; les lignes directrices de la MAS sur la gestion des risques technologiques (Technology Risk Management Guidelines, TRM) s'appliquent à l'IA en tant qu'infrastructure technologique ; les principes FEAT (Fairness, Ethics, Accountability, Transparency, soit équité, éthique, responsabilité, transparence) posent le socle éthique ; la subvention AIDA au titre du FSTI (valable jusqu'en mars 2026) cofinance l'adoption de l'IA sous réserve du respect de critères de gouvernance. Il convient de bâtir une gouvernance de l'IA qui satisfasse simultanément à l'ensemble de ces exigences plutôt que de traiter chacune d'elles comme un exercice de conformité distinct.

Sources principales : MAS · PDPC · AI Verify Foundation

Pour aller plus loin