Ce que les régulateurs des services financiers attendent réellement en matière d'IA

Dans les principales juridictions en 2026, les régulateurs des services financiers sont passés de déclarations de politique générale sur l'IA à des attentes opérationnelles qu'ils contrôleront et feront respecter. Ces attentes sont désormais suffisamment précises pour pouvoir être lues, mises en correspondance avec votre organisation et permettre d'identifier les lacunes. Cet article traduit les attentes réglementaires en ce que les entreprises de services financiers, banques, assureurs, gestionnaires d'actifs, fintechs, doivent réellement mettre en place.

Ces attentes sont remarquablement cohérentes d'un régulateur à l'autre. Le fond, ce que veulent les régulateurs, converge vers un ensemble commun d'exigences, même lorsque le cadre juridique diffère.

Les attentes de fond communes

Six thèmes reviennent de manière récurrente dans la lettre sectorielle de l'APRA (Australian Prudential Regulation Authority, autorité de régulation prudentielle australienne) du 30 avril 2026, le Guide de surveillance sur les modèles internes de la BCE de juillet 2025, le SR 26-2 de la Réserve fédérale du 17 avril 2026, le REP 798 de l'ASIC (Australian Securities and Investments Commission, commission australienne des valeurs mobilières et des investissements) d'octobre 2024, les lignes directrices proposées par la MAS (Monetary Authority of Singapore, autorité monétaire de Singapour) en novembre 2025 sur la gestion du risque lié à l'IA, l'approche évolutive de la FCA (Financial Conduct Authority, autorité britannique de conduite financière) en matière d'IA dans le cadre de la Consumer Duty, et les circulaires de la HKMA sur l'IA de 2025-2026 :

1. Culture de l'IA au niveau du conseil d'administration. Les conseils d'administration doivent avoir une compréhension suffisante de l'IA pour exercer un contre-pouvoir efficace. L'APRA le mentionne explicitement. La Réserve fédérale attend des administrateurs qu'ils s'engagent de manière substantielle sur le risque lié aux modèles, y compris l'IA/le machine learning. Le cadre SM&CR de la FCA place la responsabilité personnelle sur les Senior Managers, y compris pour le risque lié à l'IA.

2. Inventaire de l'IA et gestion du cycle de vie. Les régulateurs attendent des entreprises qu'elles sachent quelle IA est en production, qui en est propriétaire, quelle classification de risque s'applique, et où elle se situe dans le cycle de vie de l'IA. L'APRA, la BCE et la Réserve fédérale convergent toutes vers l'inventaire comme exigence de base.

3. Classification des risques et contrôles échelonnés. Les systèmes d'IA doivent être classés selon leur importance et leur risque, avec une rigueur de contrôle proportionnelle à cette classification. Le SR 26-2 met en œuvre un contrôle échelonné selon l'importance ; les attentes de l'APRA pour l'IA à haut risque par rapport à l'IA standard reflètent cette approche ; la BCE étend les attentes de gestion du risque lié aux modèles (MRM) à tous les modèles, y compris l'IA/le machine learning.

4. Validation indépendante. Les systèmes d'IA significatifs nécessitent une validation indépendante, une solidité conceptuelle, une surveillance continue et une analyse des résultats. Le SR 26-2 de la Réserve fédérale codifie cette exigence ; le Guide de surveillance de la BCE l'applique à l'IA/au machine learning ; l'APRA attend une validation continue plutôt qu'une assurance ponctuelle.

5. Risque lié aux tiers pour l'IA. Les relations avec les fournisseurs d'IA sont traitées comme un risque significatif lié aux tiers, nécessitant une surveillance complète de la résilience opérationnelle. L'APRA CPS 230 couvre explicitement les fournisseurs d'IA. Le DORA (Digital Operational Resilience Act) intègre l'IA en tant que service tiers TIC dans les services financiers de l'UE. Les lignes directrices de la BCE sur l'externalisation renforcent cette exigence.

6. Supervision humaine et possibilité de contestation. Les décisions concernant les clients pilotées par l'IA doivent permettre un examen humain significatif. La Consumer Duty de la FCA crée une obligation continue de surveiller les résultats pour les clients pilotés par l'IA. Le REP 798 de l'ASIC prévoit une exigence similaire dans les services financiers australiens. L'article 22 du RGPD (articles 22A à 22D en vertu du DUAA britannique) s'applique sur les marchés de l'UE et du Royaume-Uni.

Les attentes spécifiques de l'APRA (Australie)

La lettre sectorielle de l'APRA du 30 avril 2026, adressée aux institutions autorisées à recevoir des dépôts, aux assureurs et aux entités de retraite (superannuation), a cristallisé ces attentes. Quatre lacunes ont été identifiées : l'inventaire et la gestion du cycle de vie de l'IA ; la gestion des identités et des accès pour les acteurs non humains (agents d'IA) ; la concentration et l'opacité du risque fournisseur ; la gestion du changement pour les systèmes d'IA dynamiques. Attente minimale pour le conseil d'administration en vigueur à compter du 30 avril 2026 : une culture de l'IA suffisante pour fixer l'orientation stratégique et exercer un contre-pouvoir et une supervision efficaces. CPS 230 (en vigueur depuis le 1er juillet 2025, modifications au 1er juillet 2026) : le cadre applicable aux fournisseurs de services essentiels s'applique aux fournisseurs d'IA, ces derniers ne relevant pas des catégories limitées exemptées de NTSP. Des tests contradictoires (injection de prompt, jailbreak, exfiltration de données) sont attendus pour l'IA significative.

Les attentes de la Réserve fédérale, de l'OCC et de la FDIC (États-Unis)

Le SR 26-2 (17 avril 2026), la ligne directrice de supervision conjointe Fed/OCC/FDIC sur la gestion du risque lié aux modèles, s'applique aux grandes banques (30 milliards de dollars d'actifs ou plus). Une approche échelonnée selon l'importance remplace les attentes uniformes. Une surveillance fondée sur le risque remplace la revalidation annuelle. Point crucial, la note de bas de page 3 exclut explicitement l'IA générative et l'IA agentique du champ d'application du SR 26-2 ; les établissements doivent élaborer des cadres de gouvernance distincts pour l'IA générative et les agents d'IA. Cela a une implication opérationnelle majeure : une banque ne peut pas simplement étendre son cadre SR 11-7 pour couvrir l'IA générative.

La FTC reste active sur la tromperie liée à l'IA et les pratiques déloyales. Le CFPB a été actif sur l'IA en matière de crédit (avis de décision défavorable, impact disproportionné). L'OCC, la SEC et la CFTC ont publié des lignes directrices spécifiques à l'IA tout au long de 2025-2026.

Les attentes de la BCE et de l'ABE (UE)

Le Guide de surveillance de la BCE sur les modèles internes (25 juillet 2025) a constitué le tournant majeur : les attentes en matière de gestion du risque lié aux modèles (MRM) s'appliquent désormais à tous les modèles, y compris l'IA/le machine learning, et non plus uniquement aux modèles internes réglementaires. Le chapitre 9 traite spécifiquement des modèles de machine learning : gouvernance des données, réglage des hyperparamètres, dérive du modèle, explicabilité, infrastructure informatique. Priorités de la BCE pour 2026 : l'IA générative, la concentration des tiers, la résilience opérationnelle. Des ateliers sur l'IA menés avec 9 pays européens en 2025 ont révélé que les banques considéraient l'IA de détection de fraude comme présentant un risque faible au titre du règlement européen sur l'IA (AI Act), un avis que la BCE n'a pas validé. Aucune banque n'a signalé l'utilisation de l'IA générative dans le scoring de crédit (délai de développement, coût, confiance).

Le règlement européen sur l'IA (AI Act) s'applique directement. Les obligations relatives à l'IA à haut risque (emploi, crédit, biométrie) entrent en vigueur à compter du 2 décembre 2027 (après le Digital Omnibus). L'ABE continue de publier des lignes directrices sur l'IA dans le cadre des attentes de surveillance.

Les attentes de la FCA (Royaume-Uni)

Il n'existe pas de corpus de règles autonome consacré à l'IA. La Consumer Duty (introduite en juillet 2023, pleinement effective en juillet 2024) est le cadre principal de la FCA. La Mills Review (janvier 2026) a classé les usages de l'IA en trois catégories, assistée, consultative, autonome, les recommandations étant attendues à l'été 2026. Responsabilité personnelle au titre du SM&CR : les SMF24 (directeur des opérations), SMF4 (directeur des risques) et SMF16 (conformité) portent personnellement le risque lié à l'IA. FCA AI Lab : Supercharged Sandbox (cohorte 1 avec 23 entreprises) ; AI Live Testing, cohorte 2 débutant en avril 2026. Le cadre de soutien ciblé PS25/22 est actif depuis avril 2026.

Les attentes de la MAS (Singapour)

La MAS a proposé en novembre 2025 des lignes directrices de gestion du risque lié à l'IA, un projet complet couvrant la supervision par le conseil d'administration, les inventaires d'IA, les évaluations des risques, les contrôles du cycle de vie, l'équité, la transparence, la supervision humaine et la gestion du risque lié aux tiers. Les lignes directrices de gestion du risque technologique (TRM) de la MAS, déjà juridiquement contraignantes pour les établissements financiers, intègrent le Model AI Governance Framework de Singapour en tant qu'exigences contraignantes de contrôle du risque lié à l'IA. Les principes FEAT de la MAS (équité, éthique, responsabilité, transparence) demeurent fondamentaux.

Les attentes de la HKMA, de la BaFin et d'autres régulateurs

La HKMA a publié une circulaire le 19 novembre 2025 sur la faisabilité de l'IA en matière de lutte contre le blanchiment d'argent (48 institutions autorisées avaient achevé leurs études). Une circulaire de la HKMA du 16 mars 2026 a traité de l'IA pour le filtrage des sanctions. La SFC de Hong Kong a publié une circulaire sur l'IA générative et les grands modèles de langage (LLM) à l'intention des sociétés agréées. La PCICSO a été publiée au journal officiel le 28 mars 2025, en vigueur depuis le 1er janvier 2026. La BaFin allemande intègre l'IA dans le MaRisk ; le Guide de surveillance de la BCE s'applique aux établissements importants allemands.

Ce que les entreprises devraient avoir mis en place d'ici août 2026

Dans l'ensemble des juridictions, la position pratique de conformité d'ici août 2026 devrait inclure :

Un inventaire de l'IA et une classification des risques couvrant tous les systèmes d'IA en production, avec des propriétaires métier nommément désignés et des niveaux de risque.

Une gouvernance de l'IA au niveau du conseil d'administration, avec une responsabilité nommément désignée, un reporting régulier, un programme de sensibilisation à l'IA pour les administrateurs, et une déclaration d'appétit pour le risque lié à l'IA approuvée par le conseil.

Un cadre de risque lié à l'IA aligné sur les régulateurs applicables : APRA CPS 230 + CPS 234 pour l'Australie ; SR 26-2 pour les grandes banques américaines ; Guide de surveillance de la BCE pour les établissements importants de l'UE ; Consumer Duty de la FCA pour le Royaume-Uni ; lignes directrices TRM de la MAS pour Singapour.

Des processus de validation indépendante pour l'IA significative, avec des méthodologies documentées, des indicateurs de surveillance et une analyse des résultats.

Des contrats fournisseurs mis à jour reflétant le CPS 230, le DORA, l'AI Act et les autres exigences applicables en matière de risque lié aux tiers.

Des tests contradictoires pour l'IA à haut risque : les tests d'injection de prompt, de jailbreak et d'exfiltration de données doivent être documentés et répétés.

Des mécanismes de signalement et de réponse aux incidents incluant explicitement des scénarios spécifiques à l'IA.

Une surveillance des résultats pour les clients concernant l'IA affectant les clients : Consumer Duty au Royaume-Uni, transparence des décisions automatisées (ADM) en Australie (10 décembre 2026), surveillance ECOA du CFPB aux États-Unis.

Une discipline documentaire : documentation des modèles, logique de décision, registres de tests, données de surveillance. Les régulateurs examineront les preuves de conformité, et non seulement les politiques figurant sur les intranets.

Le bilan honnête

La plupart des entreprises de services financiers réglementées disposent de politiques qui semblent correctes sur le papier. Ce que recherchent les régulateurs en 2026, ce sont des preuves opérationnelles, à savoir que le cadre de gouvernance de l'IA est mis en œuvre, surveillé et produit des résultats mesurables. C'est dans l'écart entre « nous avons une politique en matière d'IA » et « nous disposons d'une gouvernance de l'IA démontrable » que se situeront la plupart des constats de contrôle. Combler cet écart est le travail de 2026.

Sources principales : Federal Reserve SR 26-2 · APRA · FCA AI Approach · MAS Singapore

Lectures connexes