L’essentiel
- La gestion du risque de modèle désigne la discipline qui identifie, mesure et maîtrise le risque de perte lié aux décisions prises à partir de modèles erronés ou mal utilisés.
- Aux États-Unis, les attentes prudentielles ont changé en 2026 :
SR 26-2remplaceSR 11-7, en vigueur depuis quinze ans, et passe de la revalidation annuelle obligatoire à une surveillance proportionnée à la matérialité des modèles. SR 26-2laisse volontairement l’IA générative et l’IA agentique hors de son périmètre, ce qui ouvre une lacune de gouvernance que les cadres spécialisés doivent combler.- Le machine learning et les modèles génératifs contredisent plusieurs hypothèses de la gestion classique : ils dérivent, restent opaques et se comportent de façon non déterministe.
- Un dispositif moderne rattache la gestion du risque de modèle à un inventaire central et projette ses contrôles sur le règlement IA, l’ISO/IEC 42001 et le NIST AI RMF.
Qu’est-ce que la gestion du risque de modèle ?
Le risque de modèle correspond au potentiel de conséquences défavorables, qu’il s’agisse de pertes financières, de décisions inadaptées, de sanctions réglementaires ou d’atteintes à la réputation, lorsqu’une décision repose sur un modèle incorrect, mal appliqué ou mal compris. La gestion du risque de modèle rassemble les politiques, les rôles et les contrôles qui maintiennent ce risque à l’intérieur d’un appétit défini, sur l’ensemble du cycle de vie. La définition de référence provient de la supervision bancaire américaine. En avril 2011, la Réserve fédérale et l’Office of the Comptroller of the Currency publiaient SR 11-7 (OCC Bulletin 2011-12), qui décrit un modèle comme une méthode quantitative appliquant une théorie statistique, économique, financière ou mathématique afin de transformer des données d’entrée en une estimation chiffrée. Ce texte est devenu la matrice de la discipline, bien au-delà du secteur bancaire. Deux idées structurent l’ensemble. D’abord, tout modèle reste une approximation : l’erreur est une propriété du modèle, non un défaut. Ensuite, l’erreur ne devient un risque que lorsqu’un modèle nourrit une décision. La gestion du risque de modèle concentre donc l’effort là où une sortie erronée ferait le plus de dégâts, ce qui place la matérialité, c’est-à-dire l’enjeu attaché à un modèle, au cœur de tout dispositif sérieux. Cette logique irrigue plus largement la gestion des risques liés à l’IA, dont le risque de modèle n’est qu’une composante.
Les trois piliers : développement, validation, gouvernance
SR 11-7 a organisé la discipline autour de trois piliers qui la définissent encore. Le développement et la mise en œuvre couvrent une conception rigoureuse, des hypothèses documentées, des données adaptées et des tests avant la mise en production. La validation constitue une remise en cause indépendante et effective : une équipe distincte des concepteurs vérifie la solidité conceptuelle, le suivi continu et l’analyse des résultats. La gouvernance enveloppe le tout de politiques, de rôles, d’un inventaire et d’une responsabilité claire, afin que l’organisation sache quels modèles existent, qui en répond et comment ils sont maîtrisés. Ces piliers recoupent la cartographie plus large du risque IA que suivent désormais les équipes de gouvernance.
D’où vient le risque de modèle
Le risque de modèle possède quatre sources récurrentes, chacune amplifiée lorsque le modèle relève du machine learning. Les données. Un modèle ne vaut que par les données qu’il apprend et qu’il traite. Biais d’échantillonnage, erreurs d’étiquetage, variables obsolètes et populations non représentatives se propagent tous dans les sorties. L’apprentissage automatique élargit cette exposition, car les modèles absorbent les défauts de qualité à grande échelle et les reproduisent à chaque prédiction. La conception et les hypothèses. Tout modèle encode une vision du monde. Lorsque ces hypothèses cessent d’être valides, par exemple un modèle de score bâti sur des comportements antérieurs à un choc, les sorties se dégradent alors même que le code reste inchangé. La mise en œuvre. Des erreurs surgissent au codage, à l’intégration ou au déploiement : un pipeline de variables décalé, un écart d’arrondi entre entraînement et production, ou une mise à jour de bibliothèque passée inaperçue. Ces défauts échappent facilement au contrôle, car le modèle continue de renvoyer des chiffres vraisemblables. L’usage et le mésusage. Les pertes les plus lourdes proviennent souvent d’un modèle employé hors de sa finalité, utilisé au-delà de sa plage testée, ou dont les limites sont ignorées. Un énoncé de périmètre clair et des consignes d’utilisation sont des contrôles, non de la paperasse.
De SR 11-7 à SR 26-2 : ce qui a changé en 2026
Pendant quinze ans, SR 11-7 a servi de point fixe à la pratique. Cela a changé le 17 avril 2026, lorsque la Réserve fédérale, l’OCC et la FDIC ont publié SR 26-2, une orientation interagences révisée sur la gestion du risque de modèle qui remplace SR 11-7. L’orientation privilégie la proportionnalité. Les superviseurs attendent désormais que la profondeur d’un dispositif corresponde à la taille, à la complexité et au profil de risque de l’établissement, une clarification qui vise les structures plus petites et moins complexes. Le changement opérationnel le plus marquant tient au remplacement de la revalidation annuelle obligatoire par une surveillance liée à la matérialité des modèles : l’effort de validation suit l’enjeu plutôt que le calendrier. SR 26-2 resserre aussi la définition d’un modèle, en excluant les calculs arithmétiques simples des tableurs, les processus déterministes fondés sur des règles et les logiciels ordinaires. Le texte concerne surtout les banques dont les actifs dépassent 30 milliards de dollars, reste explicitement non contraignant et s’accompagne du bulletin OCC 2026-13. Pour les établissements régulés, c’est l’occasion d’abandonner les tâches dictées par le calendrier et de réinvestir la capacité de validation là où le risque de modèle est réellement élevé. Pour les autres, le signal est clair : le contrôle deviendra proportionné et fondé sur des preuves, plutôt qu’uniforme. Cette même logique de matérialité traverse les dispositifs modernes de conformité et de gestion des risques.
La lacune de l’IA générative laissée par SR 26-2
Il existe une limite assumée. SR 26-2 maintient l’IA générative et l’IA agentique hors de son périmètre, au motif que ces technologies sont récentes et évoluent vite. Le choix se défend, mais il laisse la catégorie de modèles qui croît le plus vite sans norme de gestion dédiée du côté des régulateurs bancaires américains. Les organisations qui déploient de grands modèles de langage ou des agents d’IA autonomes ne peuvent pas attendre la prochaine révision. Elles doivent étendre dès maintenant les principes de la discipline à ces systèmes, à l’aide des cadres de gouvernance conçus précisément pour cela.
Pourquoi l’IA et le machine learning bousculent la gestion classique
La gestion classique visait des modèles relativement stables, inspectables et déterministes. Le machine learning et les systèmes génératifs contredisent ces trois hypothèses, ce qui interdit de réutiliser tel quel l’ancien mode opératoire. Le non-déterminisme. Un modèle génératif peut renvoyer des sorties différentes pour une même requête. Les méthodes de validation bâties autour d’un résultat attendu unique ne conviennent pas à des systèmes probabilistes par construction. La dérive. Les modèles de ML se dégradent à mesure que le monde s’éloigne de leur distribution d’entraînement. Sans suivi continu, un modèle validé proprement au lancement devient discrètement peu fiable. L’opacité. Les modèles complexes résistent à l’inspection, ce qui complique l’examen de solidité conceptuelle et se heurte aux attentes réglementaires en matière d’explicabilité. Les validateurs ne peuvent pas toujours retracer la cause d’une sortie. Les biais et l’exposition adverse. Les modèles entraînés sur des données mal gouvernées héritent des biais et les amplifient, et les systèmes génératifs ajoutent l’injection de requêtes et le contournement, que la validation traditionnelle n’a jamais envisagés. La fuite de données et la traçabilité. Lorsque les données d’entraînement sont mal gouvernées, des informations sensibles peuvent réapparaître dans les sorties, et l’organisation peut se révéler incapable de prouver sur quoi un modèle a été entraîné. Le cas le plus aigu reste le premier risque de l’IA générative, l’hallucination, où une sortie fluide et assurée est tout simplement fausse.
La gestion du risque de modèle rejoint la gouvernance de l’IA
La lacune laissée par la supervision bancaire est comblée par trois instruments de gouvernance, qu’un dispositif mûr traite comme un seul ensemble de contrôles plutôt que trois audits séparés. Le règlement IA de l’Union européenne inscrit dans la loi des obligations proches de la discipline pour les systèmes à haut risque. Les fournisseurs doivent exploiter un système de gestion des risques sur tout le cycle de vie (Article 9), appliquer une gouvernance des données (Article 10), tenir une documentation technique (Annexe IV), assurer une supervision humaine (Article 14) et satisfaire aux exigences d’exactitude, de robustesse et de cybersécurité (Article 15), avant de passer une évaluation de conformité (Article 43). Le guide opérationnel du règlement IA précise la répartition de ces devoirs. Le NIST AI RMF propose une structure volontaire fondée sur quatre fonctions, Govern, Map, Measure et Manage, qui s’alignent naturellement sur le développement, la validation et le suivi. Notre guide du NIST AI RMF détaille chaque fonction. L’ISO/IEC 42001 offre un système de management de l’IA certifiable, doté de contrôles en Annexe A et d’un cycle de certification de trois ans, ce qui donne à la discipline un ancrage auditable, comme l’explique notre présentation de l’ISO 42001. Les superviseurs sectoriels convergent vers les mêmes attentes. Le Guide de la BCE relatif aux modèles internes, révisé en juillet 2025, a ajouté une section dédiée au machine learning couvrant l’explicabilité, l’arbitrage entre performance et complexité, la validation et la gestion du risque de modèle pour les banques qui recourent au ML dans leurs modèles internes réglementaires.
Un seul ensemble de contrôles pour tous les cadres
Les cadres se recoupent plus qu’ils ne divergent. Un même exercice de validation peut satisfaire simultanément la remise en cause effective de SR 26-2, l’Article 9 du règlement IA, la fonction Measure du NIST et les contrôles de suivi de l’ISO 42001, à condition de capturer la preuve une seule fois et de la relier à chaque exigence. Notre mise en correspondance du NIST AI RMF, de l’ISO 42001 et du règlement IA montre où les exigences se rejoignent, afin d’éviter d’exécuter trois fois le même contrôle.
Construire un dispositif moderne de gestion du risque de modèle
Un dispositif qui embrasse les modèles traditionnels et les modèles d’IA repose sur trois fondations opérationnelles.
L’inventaire des modèles comme fondation
On ne maîtrise pas ce que l’on n’a pas recensé. Un inventaire complet, qui consigne chaque modèle, son propriétaire, sa finalité, sa matérialité, ses sources de données et son statut de validation, conditionne tous les autres contrôles. La difficulté première tient moins aux modèles connus de la DSI qu’à ceux qui lui échappent : tableurs, carnets de notes et outils d’IA tiers qui composent le shadow AI. Un registre qui découvre et suit ces systèmes transforme la discipline, d’un exercice périodique en une capacité vivante.
Les trois lignes de défense appliquées aux modèles d’IA
Un dispositif efficace sépare les responsabilités. La première ligne, propriétaires et concepteurs, construit et documente. La deuxième ligne, validation indépendante et fonction risque, conteste et approuve. La troisième ligne, l’audit interne, vérifie que le processus lui-même fonctionne. Pour les modèles d’IA, cette structure exige une profondeur transversale, car un seul système génératif peut soulever à la fois des questions de gouvernance des données, de sécurité et d’éthique.
Validation et suivi continus
Parce que les modèles de ML dérivent, la validation ne peut pas se réduire à un contrôle unique. Un dispositif moderne suit en continu la performance, la stabilité des données et les résultats, et il revalide lorsque la matérialité ou le comportement change plutôt qu’à échéance fixe. C’est précisément la posture fondée sur la matérialité que SR 26-2 encourage désormais, appliquée à des systèmes qui évoluent plus vite que tout cycle annuel. Constituer cette piste de preuves est aussi ce qui rend un système auditable.
La gestion du risque de modèle au-delà de la banque
La discipline est née dans la finance, mais l’obligation gagne tous les secteurs qui déploient une IA à conséquences. Les assureurs modélisent la tarification et le provisionnement, la santé modélise le tri et le diagnostic, le secteur public modélise l’éligibilité et le contrôle, chacun avec des enjeux humains réels. Le règlement IA ne distingue pas un modèle à haut risque installé dans une banque de celui d’un hôpital : les devoirs de gestion des risques, de documentation et de supervision s’appliquent de la même manière. La gestion du risque de modèle devient ainsi une exigence générale de la gouvernance de l’IA plutôt qu’une spécialité bancaire, et les organisations dotées d’une fonction mûre prennent une longueur d’avance sur la conformité.
Questions fréquentes
Quels sont les trois piliers de la gestion du risque de modèle ? Les trois piliers proviennent de SR 11-7 : développement et mise en œuvre, validation, gouvernance. Le développement couvre une conception rigoureuse, des hypothèses documentées et des tests. La validation est la remise en cause indépendante et effective de la solidité conceptuelle, du suivi et des résultats d’un modèle. La gouvernance fournit les politiques, les rôles, l’inventaire et la responsabilité qui tiennent le dispositif. SR 26-2 conserve cette logique tout en rendant l’intensité de chaque pilier proportionnelle à la matérialité. Quelle différence entre SR 11-7 et SR 26-2 ? SR 11-7 (2011) était l’orientation américaine fondatrice sur la gestion du risque de modèle. SR 26-2, publiée le 17 avril 2026 par la Réserve fédérale, l’OCC et la FDIC, la remplace. Les principaux changements sont le passage de la revalidation annuelle obligatoire à une surveillance liée à la matérialité, une définition plus étroite de ce qui constitue un modèle, et des attentes proportionnées à la taille de l’établissement. SR 26-2 exclut aussi l’IA générative et l’IA agentique de son périmètre formel. La gestion du risque de modèle s’applique-t-elle à l’IA générative ? Pas encore par la voie de la supervision bancaire américaine, et c’est précisément la lacune à surveiller. SR 26-2 laisse l’IA générative et agentique hors périmètre. En pratique, les organisations étendent les principes de la discipline à ces systèmes via le règlement IA, le NIST AI RMF et l’ISO/IEC 42001, qui traitent directement des modèles d’IA. Les systèmes génératifs réclament aussi des contrôles contre le non-déterminisme, la dérive, l’opacité et les attaques par requête, que la validation traditionnelle n’a jamais prévus. Quel est un exemple de risque de modèle ? Un exemple classique est un modèle de score de crédit entraîné sur une économie stable qui continue d’accorder des prêts alors que la conjoncture se dégrade, parce que ses hypothèses ne tiennent plus. Un exemple moderne est un modèle génératif qui produit une réponse assurée mais inventée, une hallucination, qu’un traitement en aval prend pour un fait. Dans les deux cas, la perte ne vient pas de l’existence du modèle mais d’une décision fondée sur une sortie défaillante. Comment la gestion du risque de modèle se relie-t-elle au règlement IA ? Le règlement IA transforme les pratiques centrales de la discipline en obligations légales pour les systèmes à haut risque. L’Article 9 impose un système de gestion des risques sur le cycle de vie, l’Article 10 la gouvernance des données, l’Annexe IV la documentation technique, l’Article 14 la supervision humaine et l’Article 15 l’exactitude et la robustesse, le tout confirmé par l’évaluation de conformité de l’Article 43. Une organisation dotée d’une fonction opérationnelle réalise déjà la plupart de ces activités et peut les faire correspondre au règlement plutôt que de repartir de zéro. Qui est responsable de la gestion du risque de modèle ? La responsabilité se partage sur trois lignes de défense. Les propriétaires et concepteurs de modèles construisent et documentent. Une fonction indépendante de validation ou de risque conteste et approuve. L’audit interne vérifie que le processus global fonctionne. La direction générale et le conseil portent l’appétit pour le risque et le cadre lui-même. Pour les modèles d’IA, cette structure requiert en général l’apport des fonctions données, sécurité et éthique, car un seul système peut soulever les trois préoccupations.
Conclusion
La gestion du risque de modèle est passée d’une spécialité bancaire stable au tissu conjonctif qui relie la discipline des modèles quantitatifs et la gouvernance de l’IA. SR 26-2 a modernisé l’attente américaine, mais en laissant l’IA générative et agentique hors périmètre, elle a rendu une chose évidente : ce sont désormais les cadres qui gouvernent les modèles d’IA, le règlement IA, l’ISO/IEC 42001 et le NIST AI RMF, qui portent la charge. Les organisations gagnantes les traiteront comme un seul ensemble de contrôles, arrimé à un inventaire vivant qui voit chaque modèle, y compris ceux que personne n’a déclarés. C’est là que la gestion du risque de modèle et la gouvernance de l’IA deviennent un même programme. Découvrez comment une approche fondée sur un registre place vos modèles sous le contrôle de la gouvernance de l’IA.