Orientations de la MAS sur le risque lié à l'IA : de la consultation à l'attente prudentielle

L'Autorité monétaire de Singapour (Monetary Authority of Singapore, MAS) a publié son document de consultation relatif aux lignes directrices sur la gestion des risques liés à l'IA pour les institutions financières le 13 novembre 2025, la période de consultation devant se clôturer le 31 janvier 2026. Une fois finalisées (ce qui est attendu mi-2026), ces lignes directrices seront traitées comme des attentes prudentielles, ce qui signifie que la MAS évaluera la conformité lors des inspections et des contrôles prudentiels. Le non-respect de ces lignes directrices pourrait entraîner des mesures prudentielles.

Pour les institutions financières singapouriennes, la période durant laquelle la gouvernance de l'IA pouvait être considérée comme une bonne pratique volontaire est désormais close.

Qui est concerné

Toutes les institutions financières régulées par la MAS sont concernées : les banques (banques universelles, banques de gros, banques d'affaires) ; les assureurs (assurance générale et assurance-vie) ; les intermédiaires des marchés de capitaux (valeurs mobilières, contrats à terme, gestion de fonds) ; les prestataires de services de paiement ; les entreprises fintech titulaires d'une licence de la MAS. Si votre activité est régulée par la MAS, ces lignes directrices s'appliquent à vos activités liées à l'IA.

Ce qu'il faut mettre en œuvre

Structures de gouvernance. Responsabilité du risque lié à l'IA au niveau du conseil d'administration. Rôles et responsabilités clairement définis pour la surveillance de l'IA. Appétence pour le risque lié à l'IA intégrée à la gestion globale des risques de l'entreprise. Reporting régulier sur les risques liés à l'IA au conseil d'administration et à la direction générale. Une responsabilité nommément désignée, et non diluée entre plusieurs comités.

Évaluation et gestion des risques. Classification des systèmes d'IA fondée sur les risques, selon leur importance relative. Gouvernance proportionnée : les systèmes d'IA significatifs font l'objet d'une gouvernance intensive, tandis que les systèmes à faible risque bénéficient d'une surveillance allégée. Documentation de la méthodologie d'évaluation des risques et de la justification de la classification. Évaluation des risques actualisée en cas de modification substantielle des systèmes d'IA.

Gestion des données. Évaluation de la qualité des données utilisées pour l'entraînement et en entrée des systèmes d'IA. Évaluation des biais dans les données d'entraînement : représentativité démographique, biais historiques, variables de substitution (proxy). Documentation de la traçabilité des données (data lineage). Gouvernance des données intégrée aux cadres existants de gestion des données.

Gestion des modèles. Validation des modèles avant leur déploiement, proportionnée à leur classification de risque. Surveillance continue des performances, et non une simple validation ponctuelle. Détection de la dérive des modèles (drift) et réponse appropriée. Gestion des changements apportés aux modèles : notification et revalidation en cas de modification substantielle. Explicabilité adaptée au cas d'usage et au public concerné.

Gouvernance de l'IA des fournisseurs. Diligence raisonnable structurée à l'égard des fournisseurs d'IA. Protections contractuelles : engagements de non-utilisation des données à des fins d'entraînement, documentation des modèles, accords de niveau de service (SLA) sur la performance, notification des incidents. Suivi continu de la performance des fournisseurs. Plans de continuité et de sortie pour les dépendances significatives à l'égard de fournisseurs d'IA. À mesure que la part des capacités d'IA sourcées à l'externe augmente, la gouvernance des fournisseurs détermine de plus en plus la qualité de la gouvernance globale de l'IA.

Résultats pour les clients. Surveillance de l'équité des décisions fondées sur l'IA entre les différents segments de clientèle. Tests de détection des biais dans les systèmes d'IA utilisés pour le crédit, la tarification, les sinistres et le service client. Analyse des réclamations clients relatives à des problèmes liés à l'IA. Transparence quant au recours à l'IA dans les décisions concernant directement les clients, lorsque cela est pertinent.

Articulation avec les cadres existants

La MAS a soumis à consultation un projet de lignes directrices sur la gestion du risque lié à l'intelligence artificielle du 13 novembre 2025 au 31 janvier 2026 (P017-2025). Elles n'étaient pas publiées en août 2026, la MAS ayant alors indiqué qu'elles le seraient prochainement : il n'existe donc pas encore de ligne directrice de la MAS sur l'IA à respecter. Ce qui s'applique déjà se situe autour. Les obligations de la PDPA jouent lorsque l'IA traite des données personnelles entrant dans le champ de la loi, et la PDPA est administrée par la PDPC et non par la MAS. Les lignes directrices de la MAS sur la gestion des risques technologiques (janvier 2021) traitent l'IA comme une infrastructure technologique, mais, en tant que lignes directrices, elles ont une valeur indicative : les instruments contraignants sont les notices de la MAS relatifs au risque technologique. Les principes FEAT (Fairness, Ethics, Accountability, Transparency, soit équité, éthique, responsabilité, transparence) posent le socle éthique. Le cofinancement passait par le dispositif FSTI, prorogé jusqu'au 16 juillet 2026 comme date limite d'approbation des demandes, les projets approuvés pouvant se poursuivre au-delà. Il convient de bâtir une gouvernance de l'IA qui satisfasse l'ensemble de ces exigences conjointement plutôt que de traiter chacune comme un exercice de conformité distinct.

Sources principales : MAS · PDPC · AI Verify Foundation

Pour aller plus loin