Un mode d’emploi pour les examinateurs
L’Office of the Comptroller of the Currency, le régulateur fédéral américain chargé notamment des banques nationales, a publié le 4 novembre 2026 son premier cadre de supervision consacré à la manière dont ses examinateurs doivent évaluer l’usage de l’intelligence artificielle dans les banques . Le document emploie l’expression “Super Intelligence”, ou “SI”, pour désigner les technologies et systèmes auparavant englobés dans le terme intelligence artificielle .
Il ne s’agit pas d’une interdiction, ni d’un régime d’autorisation préalable pour chaque modèle, ni d’une règle juridiquement contraignante équivalente à une réglementation formelle. Le bulletin de l’OCC précise que le cadre n’établit pas de nouvelles attentes prudentielles pour les banques, ne fixe pas de normes exécutoires et ne crée pas d’exigences prescriptives . Sa portée est néanmoins considérable: il donne aux équipes d’examen un langage commun pour interroger les modèles, les contrôles et la gouvernance de l’IA.
Reuters a rapporté que l’OCC présentait ce texte comme la première guidance officielle destinée aux examinateurs chargés de sonder l’usage de l’IA dans les banques . C’est ce passage du général au répétable qui marque l’étape importante. Jusqu’ici, les établissements financiers entendaient surtout des avertissements: attention aux biais, aux cyberrisques, à l’opacité, à la conformité, aux tiers fournisseurs. Désormais, le superviseur décrit plus précisément ce qu’un examinateur peut regarder.
Dans la pratique bancaire, un guide non contraignant peut produire des effets très concrets. Les banques savent que les équipes d’examen n’ont pas besoin d’une nouvelle loi pour demander des preuves de gouvernance, de tests, de surveillance ou d’auditabilité. Lorsqu’un cadre commun entre dans les examens, les comités de risques, les directions conformité, les équipes modèles et les fournisseurs adaptent leurs dossiers.
L’IA n’est pas une catégorie de risque séparée
Le principe central du cadre est la proportionnalité. L’OCC demande aux examinateurs d’adapter leurs travaux à la matérialité du cas d’usage, à la taille et à la complexité de la banque, ainsi qu’à la nature, aux conséquences, à l’autonomie et à la complexité du système d’IA concerné . Autrement dit, le degré de sophistication technique ne suffit pas à définir le niveau de risque.
Cette approche est essentielle. Un grand modèle génératif utilisé seulement pour rédiger une note interne peut présenter moins de risque qu’un agent beaucoup plus simple autorisé à initier une transaction, modifier un dossier client ou déclencher une action opérationnelle. Le régulateur veut que le superviseur regarde ce que le système peut faire et ce qui se produit s’il se trompe.
L’OCC affirme explicitement que les examinateurs ne doivent pas traiter la SI comme une catégorie de risque séparée et distincte, et que les banques ne doivent pas être tenues de définir un appétit au risque propre à la SI . Les risques liés à l’IA doivent plutôt être rattachés aux catégories existantes: risque opérationnel, conformité, crédit, cybersécurité, protection des données, gestion des tiers ou continuité d’activité .
Le cadre cite plusieurs usages bancaires: décision de crédit, paiements, détection de fraude, service client, opérations, gestion des risques et activités de marché . Il reconnaît aussi que ces systèmes peuvent aider les banques à servir les clients plus rapidement, améliorer la détection des fraudes et des crimes financiers, renforcer la cybersécurité et automatiser des tâches manuelles lorsque des contrôles suffisants existent . Le message n’est donc pas hostile à l’innovation. Il est prudentiel: prouvez ce que le système est autorisé à faire, comment il est surveillé, qui en répond et comment vous réagissez lorsqu’il dérive.
Six piliers et seize composantes
Le document organise le cadre autour de six piliers: finalité, risque, contrôle, supervision, résilience et assurance . Ces piliers regroupent seize composantes, dont la définition de l’usage autorisé, la classification du risque, la supervision humaine, la gouvernance, les extensions à la gestion du risque de modèle, la gouvernance des données, la confidentialité, la conformité, le risque fournisseur, la résilience opérationnelle, la cybersécurité, le suivi de performance, les tests, la documentation, l’audit interne et le reporting .
La première composante paraît simple, mais elle change beaucoup de choses: il faut définir l’objet du système et son usage permis. Le cadre indique qu’une banque peut documenter ce que le système est conçu pour faire, ce qu’il n’est pas conçu pour faire, qui ou quoi peut l’invoquer, les données et systèmes auxquels il peut accéder, les actions qu’il peut entreprendre et les circonstances qui imposent une revue humaine ou une suspension .
Dire “nous utilisons l’IA pour le service client” ne suffira donc pas. Un examinateur voudra savoir pour quels produits, avec quelles données, avec quelle autorité, selon quelles limites, et avec quelle procédure d’escalade. La conformité n’est plus un paragraphe dans une présentation commerciale; elle devient une architecture de preuves.
La classification du risque est la deuxième pièce maîtresse. L’OCC mentionne des facteurs comme la conséquence de la décision, la réversibilité, l’impact client et financier, le niveau d’autonomie, la sensibilité des données, l’explicabilité, la provenance et les interdépendances . Le raisonnement est clair: l’erreur d’un modèle n’est pas toujours le problème principal; le problème apparaît lorsque cette erreur devient une action difficile à annuler.
Le défi des agents autonomes
Les passages les plus structurants concernent les systèmes agentiques. Le lexique du cadre décrit l’agentic SI comme une catégorie de systèmes capables de prendre des décisions indépendamment, d’interagir avec leur environnement et d’optimiser des processus sans intervention humaine directe . Dans une banque, cela peut signifier récupérer des données, appeler des outils, déclencher des flux de travail, modifier des informations, envoyer des communications ou initier des transactions.
C’est pourquoi l’OCC insiste sur l’autonomie et les permissions. Dans sa méthodologie illustrative de classification, un outil interne de productivité sans exposition aux données clients ou financières peut relever d’un niveau faible, tandis qu’un agent de paiement entièrement autonome et en contact avec les clients peut relever du niveau critique, même si ses résultats de test sont bons . La question n’est pas seulement “le modèle est-il performant?” mais “que peut-il faire sans humain, et peut-on l’arrêter?”
La supervision humaine est également précisée. Le cadre distingue le “human-in-the-loop”, où une personne examine ou approuve avant l’action, du “human-on-the-loop”, où une personne surveille activement et peut intervenir . L’OCC insiste sur le caractère réel de cette supervision: l’humain doit avoir les compétences, l’information, l’autorité et la capacité pratique de rejeter, modifier, suspendre ou arrêter le système . Un clic d’approbation symbolique dans une file d’attente saturée ne constituera pas un contrôle robuste.
La résilience opérationnelle prend aussi une nouvelle dimension. L’OCC note qu’un système agentique peut rester disponible tout en agissant de manière incorrecte, ce qui impose de détecter, contenir, corriger et réparer les dommages tout en maintenant le processus métier . Les métriques classiques de disponibilité ne suffisent plus. Un système peut être “en ligne” et causer des dégâts à vitesse machine.
Les fournisseurs devront documenter davantage
Pour les fournisseurs de modèles, copilotes ou agents destinés au secteur bancaire, ce cadre clarifie les attentes tout en relevant la barre. Les banques devront demander davantage d’éléments sur la provenance, les droits d’utilisation des données, les changements de modèle, les journaux, les tests, les notifications d’incident, les limites contractuelles et la responsabilité. Le cadre rappelle que les banques obtiennent souvent des capacités d’IA auprès de tiers et que cette dépendance peut créer des risques de modèle, d’opérations, de données, juridiques, de concentration et de résilience qui dépassent les revues classiques de sécurité ou de niveau de service .
Cette standardisation peut cependant aider les fournisseurs sérieux. Ceux qui peuvent démontrer des limites de permission, des mécanismes de surveillance, une transparence sur les versions, des capacités de reprise en main humaine, des pistes d’audit et une clarté contractuelle auront un avantage dans les achats bancaires.
Le texte est particulièrement important sur la gestion du changement. L’OCC souligne que des fournisseurs existants peuvent ajouter des fonctionnalités SI ou modifier des modèles connectés à des produits déjà utilisés par une banque, et que celle-ci peut exiger préavis, transparence, réévaluation ou nouveaux tests . Dans une pile technologique bancaire, une mise à jour silencieuse de l’IA peut devenir un sujet d’examen prudentiel.
Une supervision plus routinière, donc plus exigeante
L’OCC indique qu’il entend mettre à jour régulièrement le cadre pour tenir compte de l’évolution de la SI et des retours des parties prenantes . Ce n’est donc pas le dernier mot sur le risque IA. C’est plutôt le début d’une supervision plus normalisée.
La portée du texte tient à son caractère institutionnel. L’IA bancaire quitte le registre des alertes générales pour entrer dans le travail quotidien des examinateurs: inventaire des usages, limites d’action, responsabilité, tests, suivi en production, fournisseurs, incidents, audits, reporting et capacité à reconstruire une décision.
Pour les banques, la bonne réponse n’est pas nécessairement de créer une bureaucratie IA séparée. L’OCC dit précisément que l’IA ne doit pas être isolée comme une catégorie autonome. La réponse la plus solide consiste à raccorder les inventaires d’IA aux dispositifs existants de risque, conformité, technologie, audit et gestion des tiers. La nouvelle question d’examen n’est pas de savoir si le modèle est impressionnant. Elle est de savoir si la banque peut démontrer que le modèle, l’agent et les humains qui l’entourent sont contrôlés à la hauteur des conséquences qu’ils peuvent produire.
Commentaires
Sois le premier à commenter.