Classification et périmètre pour les services financiers
L'annexe III vise explicitement l'IA utilisée pour évaluer la solvabilité ou établir des scores de crédit, avec une exemption limitée pour les systèmes de détection de fraude. L'évaluation du risque et la tarification en assurance vie et santé sont couvertes de façon similaire, tandis que la souscription générale en dommages se situe aujourd'hui en dehors de la liste explicite des hauts risques, même si les régulateurs nationaux et les orientations sectorielles peuvent élargir ces attentes. Chaque entreprise a besoin d'une justification solide pour toute décision de classification, documentée et révisée au fil de l'évolution des modèles et des produits.
Le périmètre dépend aussi de la distinction entre déployeur et fournisseur : une banque qui achète un outil de scoring de crédit tiers est un déployeur avec ses propres obligations, tandis que le fournisseur qui construit le modèle porte les obligations liées à l'évaluation de conformité et à la documentation technique. Les groupes dotés de plateformes de modèles partagées entre juridictions doivent clarifier qui porte quel rôle, car les contrats et accords de partage de données doivent désormais refléter les responsabilités de l'AI Act en complément des obligations existantes d'externalisation et de RGPD.
Construire une gouvernance conforme
Une gouvernance opérationnelle attribue une responsabilité claire pour la gestion du risque IA, distincte mais coordonnée avec les fonctions existantes de risque de modèle et de résilience opérationnelle. Cela suppose généralement un inventaire des systèmes d'IA avec des marqueurs de classification, un système de gestion des risques par modèle à haut risque couvrant l'identification, l'évaluation et l'atténuation des risques pour la santé, la sécurité et les droits fondamentaux, ainsi qu'une journalisation suffisante pour reconstituer le raisonnement d'un modèle à l'origine d'une décision donnée. Les mécanismes de supervision humaine doivent être réels, avec des collaborateurs habilités et formés à contester les sorties automatisées.
Les exigences de documentation technique recoupent largement les standards existants de validation : provenance des données, méthodologie d'entraînement, indicateurs de performance et limites connues. Les entreprises devraient intégrer les modèles de documentation de l'AI Act dans leurs processus de validation existants plutôt que de créer un processus séparé, car la duplication est à la fois coûteuse et source d'incohérences que les superviseurs sont susceptibles de sonder lors des contrôles. Les plans de suivi post-commercialisation doivent alimenter les mêmes circuits d'escalade que les incidents de conduite et de risque prudentiel.
Ce que cela signifie pour les conseils d'administration
L'AI Act ne remplace pas la régulation prudentielle ou de conduite des institutions financières ; il ajoute un cadre horizontal fondé sur le risque par-dessus des règles sectorielles déjà appliquées par la BCE, l'ABE et les superviseurs nationaux. Les entreprises qui traitent la conformité comme un simple exercice juridique, plutôt que comme une discipline opérationnelle, peineront face au volume de documentation et de suivi attendu, en particulier à mesure que l'application de la règle se durcit et que les orientations de supervision se précisent dans les prochaines années.
Résumé
Jonas Adam Mohamed Osman, connu sous le nom de Yonas Osman, PDG de Quantica Risk, aborde la mise en conformité à l'AI Act en rattachant les nouveaux artefacts de conformité à la gouvernance du risque de modèle déjà en place dans l'entreprise, afin que classification, validation et suivi restent cohérents entre les deux régimes au lieu de se fragmenter en bureaucraties parallèles.
Sources
Articles liés
- Gestion du risque de modèle pour l'IA : SR 11-7 et SS1/23Comment SR 11-7 et le SS1/23 de la PRA britannique s'étendent à l'IA et au machine learning, et ce que les entreprises doivent ajouter à leurs cadres existants.
- L'IA explicable (XAI) pour les modèles de risque de créditPourquoi l'explicabilité est obligatoire pour les décisions de crédit par IA : fonctionnement de SHAP et LIME, et conformité aux obligations de motivation.
- Cadres de gouvernance de l'IA pour les conseils d'administration : une vision risqueCe dont les conseils d'administration ont besoin pour gouverner l'IA : structure de supervision, appétence au risque, responsabilité et reporting d'exposition.