Appétence au risque en IA : limites, seuils et preuves

L’essentiel

• Une appétence au risque élargie est une décision assumée : accepter davantage d’incertitude pour accélérer l’adoption de l’IA. C’est un choix que l’on consigne, pas une posture de conformité que l’on revendique.
• L’appétence se loge à l’intérieur de la capacité de risque. La capacité correspond à ce que l’organisation pourrait absorber, l’appétence à ce qu’elle décide de prendre.
• Le règlement européen sur l’IA impose des planchers qu’aucune déclaration d’appétence ne franchit : l’article 5 interdit purement et simplement certaines pratiques, l’article 9 exige que le risque résiduel soit jugé acceptable.
• La norme ISO/IEC 42001 et le cadre NIST AI RMF renvoient tous deux la décision d’acceptation vers l’organisation, par écrit, avec un propriétaire nommé.
• L’appétence ne devient opérante qu’une fois convertie en seuils mesurés, en points de contrôle du cycle de vie et en preuves auditables.

Ce que signifie réellement une appétence au risque élargie

L’appétence au risque désigne le volume et la nature des risques qu’une organisation accepte de rechercher ou de conserver. La formulation provient du vocabulaire normalisé de l’ISO (guide ISO 73, repris sous la référence ISO 31073:2022), et deux de ses termes portent tout le sens : accepter, et conserver. L’appétence décrit une décision prise en amont, portant sur une exposition que l’on entend garder plutôt que supprimer.

La définition la plus rigoureuse reste celle publiée par le Conseil de stabilité financière en 2013, qui parle du « niveau agrégé et des types de risque qu’un établissement financier est prêt à assumer, dans les limites de sa capacité de risque, pour atteindre ses objectifs stratégiques et son plan d’affaires ». Retirez le périmètre bancaire, la structure demeure valable pour toute organisation qui déploie de l’IA : un niveau agrégé, des types nommés, une borne posée par la capacité, une justification par l’objectif. C’est d’ailleurs le vocabulaire que l’ACPR emploie de longue date dans ses exigences de gouvernance.

Affirmer une appétence au risque plus large signifie donc quelque chose de plus étroit qu’il n’y paraît. Cela signifie que l’on a accepté un volume supérieur d’une exposition définie, au service d’un objectif énoncé, et que l’on sait dire où se situe désormais la frontière. Cela ne signifie ni tolérance aux surprises, ni allègement de la documentation. Dans un dispositif de gouvernance de l’IA, une appétence au risque élargie se traduit en général par des circuits de validation raccourcis pour les systèmes de faible criticité, par un périmètre d’expérimentation plus vaste, ou par l’acceptation d’une limitation connue et documentée au moment de la mise en service.

Appétence, tolérance, capacité et limites

Ces quatre notions sont employées comme des synonymes dans la plupart des comités. Elles ne le sont pas.

• La capacité de risque constitue le plafond. Le Conseil de stabilité financière la définit comme « le niveau maximal de risque que l’établissement peut assumer compte tenu de ses ressources actuelles, avant de rompre ses contraintes ». On ne choisit pas sa capacité, on la constate.
• L’appétence au risque correspond au niveau auquel on décide d’opérer sous ce plafond.
• La tolérance au risque désigne la variation admissible autour d’un objectif précis. Le NIST la décrit comme la « disposition à supporter le risque afin d’atteindre ses objectifs ».
• Les limites de risque relèvent de l’arithmétique. Le Conseil de stabilité financière y voit des « mesures quantitatives, fondées sur des hypothèses prospectives, qui allouent la déclaration d’appétence agrégée aux lignes métier, aux entités juridiques concernées, aux catégories de risque et aux concentrations ».

Une appétence sans limites n’est qu’un sentiment. Des limites sans appétence sont arbitraires. C’est l’articulation des deux qui rend une décision défendable dix-huit mois plus tard, lorsqu’on demandera pourquoi ce modèle a été autorisé.

Pourquoi l’IA fait céder la déclaration d’appétence classique

Les déclarations d’appétence au risque ont été conçues pour des expositions chiffrables en euros. Pertes de crédit, incidents opérationnels, ratios de solvabilité : tout se ramène à un nombre, et un nombre se borne. L’IA résiste à cette réduction de quatre manières précises.

Les préjudices ne sont pas libellés en euros. Un outil de présélection de candidatures qui écarte un groupe protégé produit une discrimination, non une ligne de perte. Il est impossible d’énoncer une quantité acceptable de discrimination illicite, puisque cette quantité est nulle. Le raisonnement vaut pour les atteintes à la sécurité des personnes en contexte médical ou industriel. Lorsque le mode de défaillance relève des biais de l’IA, le langage de l’appétence cesse d’être utile et celui du contrôle prend le relais. La CNIL a d’ailleurs constamment rappelé que le respect des droits fondamentaux ne se négocie pas au regard d’un gain de performance.

Le comportement dérive après la décision. Une déclaration d’appétence classique se révise annuellement parce que l’exposition sous-jacente évolue lentement. La performance d’un modèle, elle, suit les données. Un système conforme à l’appétence en mars peut en sortir en septembre sans qu’une seule ligne de code ait bougé.

L’opacité borne ce que l’on peut borner. On ne fixe pas de seuil sur une propriété que l’on ne mesure pas. Pour bon nombre de systèmes en production, la réponse honnête est que la qualité des explications, la robustesse en cas de dérive de distribution et les modes de défaillance ne sont observables que partiellement, ce qui fait de tout chiffre d’appétence trop précis un faux réconfort.

On hérite souvent de l’appétence d’autrui. Lorsque le modèle est acheté plutôt que construit, les arbitrages effectués pendant le pré-entraînement ne sont pas les vôtres. Toute organisation qui déploie une IA à usage général absorbe le jugement d’un fournisseur amont sur ce qui constitue un comportement acceptable, avec une visibilité limitée sur la manière dont ce jugement a été formé.

L’Institute of Internal Auditors formule sans détour la version organisationnelle du problème dans son cadre d’audit de l’IA : « Having a higher risk appetite in pursuit of AI goals may not be appropriate for an organization that is risk averse in other aspects, whereas organizations with historically high-risk tolerance may be more willing to accept AI-related risks. Regardless of an organization’s risk tolerance, it is essential to recognize and map AI risks during AI strategic planning. » La dernière phrase est la clause opérante : l’appétence ne supprime jamais l’obligation d’identifier ce que l’on accepte.

Les planchers qu’aucune appétence au risque ne franchit

Voici la partie absente de la quasi-totalité des publications sur l’appétence au risque, et c’est elle qui détermine si votre déclaration tiendra. En matière d’IA, l’appétence n’est pas une variable libre sur toute son étendue : le droit en tronque le bas.

L’article 5 du règlement sur l’IA énonce une interdiction, pas un risque. Le texte liste des pratiques qui ne peuvent être ni mises sur le marché ni utilisées : notation sociale par les autorités publiques, moissonnage non ciblé d’images faciales pour constituer des bases de reconnaissance, inférence d’émotions sur le lieu de travail et dans l’enseignement, certaines formes de police prédictive fondées uniquement sur le profilage. Ces dispositions s’appliquent depuis le 2 février 2025. Une pratique interdite n’est pas une exposition que l’on met en balance avec un bénéfice, c’est une activité que l’on arrête. L’article 99, paragraphe 3, en tarife l’erreur jusqu’à 35 000 000 EUR ou 7 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.

L’article 9 fixe le test d’acceptation des systèmes à haut risque. Pour cette catégorie, le règlement exige que « le risque résiduel pertinent associé à chaque danger, ainsi que le risque résiduel global des systèmes d’IA à haut risque, soient jugés acceptables ». Observez ce que fait cette phrase : elle ne dit pas où se situe l’acceptable, le jugement vous revient donc, mais elle rend ce jugement obligatoire, explicite et imputable.

L’article 9, paragraphe 5, impose en outre un ordre des opérations qu’aucune appétence au risque ne réagence : éliminer ou réduire le risque par la conception et le développement dans la mesure où cela est techniquement réalisable, puis appliquer des mesures d’atténuation et de contrôle pour ce qui subsiste, puis fournir information et formation aux déployeurs. La documentation est la dernière ligne de défense, non un substitut aux deux premières. Aucune organisation ne peut se déclarer plus tolérante et sauter directement à l’information.

La décision n’expire pas non plus discrètement. L’article 9, paragraphe 2, décrit le système de gestion des risques comme « un processus itératif continu planifié et exécuté pendant tout le cycle de vie du système d’IA à haut risque, qui nécessite une révision et une mise à jour systématiques régulières ». Pour le détail de ces obligations, notre guide opérationnel du règlement européen sur l’IA parcourt l’ensemble du chemin de conformité.

Là où une appétence élargie s’applique légitimement

Rien de tout cela ne vide l’appétence de son sens : cela la déplace. La marge réelle se trouve dans les systèmes à risque limité et à risque minimal, ainsi que dans les choix opérationnels qui les entourent. À quelle vitesse un cas d’usage franchit la revue, quelle part d’expérimentation interne se déroule sans évaluation formelle, combien de pilotes parallèles la deuxième ligne peut absorber, quelle imprécision résiduelle on accepte sur un outil de synthèse interne dont personne ne tire de décision. C’est là qu’une appétence au risque élargie se convertit en vitesse, et c’est là que l’échange est honnête.

Ce que les référentiels obligent à consigner

Les deux grands référentiels d’IA refusent de fixer votre appétence à votre place, et tous deux exigent que vous consigniez celle que vous retenez.

Le cadre NIST AI RMF est d’une franchise inhabituelle sur ce point. Sa section 1.2.2 énonce : « While the AI RMF can be used to prioritize risk, it does not prescribe risk tolerance. » Il en explique la raison : « Risk tolerance and the level of risk that is acceptable to organizations or society are highly contextual and application and use-case specific. » Il précise également que la tolérance « can be influenced by legal or regulatory requirements », soit exactement la troncature décrite plus haut. Le cadre referme la boucle par une instruction : « Where established guidelines do not exist, organizations should define reasonable risk tolerance. » Il n’existe donc pas d’option neutre. S’abstenir de définir son appétence constitue déjà une position, et une position fragile à l’examen.

La sous-catégorie GOVERN 1.3 du même cadre réclame ensuite la mécanique : mécanismes d’évaluation d’impact, échelles de mesure des impacts potentiels, approche de mesure combinant impact et vraisemblance, échelles de risque homogènes sur l’ensemble du portefeuille d’IA, et reconnaissance explicite du fait que la tolérance évolue au cours du cycle de vie.

La norme ISO/IEC 42001 aborde la question par le versant du système de management. Sa clause 6.1.2 exige d’établir et de maintenir des critères de risque IA documentés avant de conduire les évaluations, critères qui incluent ceux d’acceptation du risque. L’ordre importe : critères d’abord, évaluation ensuite, afin que les résultats soient comparables entre systèmes et reproductibles dans le temps. La clause 6.1.3 exige ensuite un processus de traitement documenté et, point décisif, l’approbation du risque résiduel par les propriétaires de risque. Quelqu’un signe. Sur l’articulation avec le règlement, voir notre analyse de la pile normative ISO 42001 et règlement IA.

Lues ensemble, les trois sources convergent vers la même exigence : consigner les critères, les appliquer de façon constante, faire accepter le reliquat par un responsable identifié, et y revenir.

Fixer l’appétence par système, non par entreprise

Une déclaration unique à l’échelle de l’entreprise ne peut contenir à la fois un modèle de décision de crédit et un outil interne de compte rendu de réunion. Vouloir l’y faire tenir produit une déclaration si générale qu’elle ne contraint plus rien, et c’est la défaillance la plus fréquente dans les programmes de gouvernance de l’IA.

La structure qui fonctionne repose sur un petit nombre de bandes d’appétence, attribuées par système, déterminées d’abord par la classe réglementaire puis par l’exposition propre au cas d’usage.

Niveau du système	Bande d’appétence	Ce qu’une appétence élargie autorise	Ce qu’elle n’autorise jamais
Pratique interdite (art. 5)	Aucune	Rien, l’activité ne se poursuit pas	Tout déploiement, quelle que soit l’appétence
Haut risque (annexe III ou sécurité des produits)	Étroite, justifiée explicitement	Choix de la voie d’atténuation, déploiement progressif, limitations résiduelles documentées	Contourner la hiérarchie de l’art. 9(5), risque résiduel non approuvé, acceptation non consignée
Risque limité (obligations de transparence)	Modérée	Cycles de revue accélérés, pilotes plus larges, cadence de surveillance allégée	Omettre l’obligation de transparence elle-même
Risque minimal, outillage interne	Large	Adoption en libre-service, évaluation minimale, retrait rapide	Usage non déclaré, glissement silencieux vers une chaîne de décision

Deux remarques sur l’exploitation de ce tableau. D’abord, le niveau est une propriété du cas d’usage et non du modèle : un même modèle sous-jacent peut donc apparaître dans deux bandes différentes au sein de la même entreprise. Ensuite, le tableau ne fonctionne que sur un inventaire complet. Les systèmes que personne n’a déclarés se situent par définition hors de toute bande, et c’est ainsi que l’IA fantôme démonte silencieusement un dispositif d’appétence : on ne peut pas avoir accepté un risque dont on ignore l’existence.

Traduire l’appétence au risque en seuils et en contrôles

Une bande d’appétence est une déclaration d’intention. Ce qui la rend exécutoire, c’est une chaîne de quatre maillons, chacun produisant un artefact.

1. De la bande à la mesure. Choisissez l’indicateur qui exprime l’exposition du système concerné : écart de taux de sélection entre groupes, taux de faux négatifs sur une classe critique pour la sécurité, taux d’énoncés erronés sur un jeu d’évaluation échantillonné, taux d’escalade vers un relecteur humain.
2. De la mesure au seuil. Fixez le chiffre, et fixez-en deux : une cible d’exploitation et un niveau de rupture déclenchant une action. Un seuil unique ne procure aucune alerte précoce.
3. Du seuil au point de contrôle. Rattachez le seuil à un point de décision du cycle de vie, afin qu’il puisse effectivement arrêter quelque chose : validation avant déploiement, verrou de mise en production, réattestation périodique. Un seuil que personne ne vérifie à un point de contrôle relève de la documentation, pas du contrôle.
4. Du point de contrôle à la preuve. Consignez la mesure, la comparaison, la décision et l’approbateur. C’est ce qu’un audit de l’IA demandera, et c’est la seule preuve durable que l’appétence a été respectée plutôt que proclamée.

Deux mécanismes achèvent le dispositif. Le premier est une voie de dérogation : un circuit d’approbation défini et suffisamment élevé pour opérer hors seuil, assorti d’une date d’expiration. Les principes du Conseil de stabilité financière présupposent la même structure à travers l’allocation des limites de risque. Sans voie d’exception légitime, les équipes contournent simplement le dispositif.

Le second est la cadence. Puisque l’article 9, paragraphe 2, traite la gestion des risques comme un processus continu, les seuils d’appétence exigent un rythme de revue calé sur le comportement du système plutôt que sur le calendrier d’audit. Lorsque le contrôle est une personne plutôt qu’un indicateur, la question de conception devient celle de la profondeur de la supervision humaine, que nous traitons dans supervision humaine dans la boucle ou sur la boucle. Lorsqu’un franchissement de seuil devient un événement à déclarer, les obligations de signalement des incidents IA au titre de l’article 73 prennent le relais.

Exemple concret : de la bande à la preuve

Une banque met en service un agent conversationnel destiné aux clients, qui répond aux questions sur les produits sans prendre de décision. Le cas d’usage relève du risque limité, les obligations de transparence s’appliquent, et le conseil a validé une bande d’appétence modérée pour tenir un délai de mise en service d’un trimestre.

1. Indicateur retenu : taux d’énoncés produits matériellement inexacts sur une évaluation échantillonnée de 500 questions, exécutée chaque semaine.
2. Seuils fixés : exploitation sous 1 %, rupture à 3 %.
3. Points de contrôle rattachés : mise en production bloquée au-delà de 1 % au lancement ; toute évaluation hebdomadaire supérieure à 3 % déclenche le repli automatique vers un jeu de réponses scriptées dans le jour ouvré suivant.
4. Preuves produites : le fichier d’évaluation hebdomadaire, la comparaison au seuil, le journal de repli, et la signature du responsable produit sur le risque résiduel au lancement.

La décision d’appétence devient testable : une personne extérieure à l’équipe peut examiner quatre artefacts et dire si l’organisation a fait ce qu’elle avait annoncé.

À qui appartient la décision

L’appétence échoue plus souvent comme problème de propriété que comme problème de méthode.

Le conseil, ou l’organe de gouvernance équivalent, fixe l’appétence, car accepter un risque pour le compte de l’organisation est un acte de gouvernance qui ne se délègue pas à l’équipe bénéficiaire de cette acceptation. Les principes du Conseil de stabilité financière attribuent d’ailleurs des devoirs distincts au conseil, au directeur général et au directeur des risques, précisément pour cette raison.

La direction, première et deuxième lignes, calibre. Cela consiste à traduire la bande en seuils, à conduire les évaluations et à faire vivre les points de contrôle. Le cadre de l’Institute of Internal Auditors répartit ces rôles selon son modèle des trois lignes, la deuxième ligne répondant de la conception correcte et du fonctionnement effectif des contrôles.

L’audit interne éprouve le résultat. Non pas la justesse de l’appétence, qui relève du jugement d’affaires, mais la concordance entre l’appétence déclarée et l’exposition réellement portée, et la solidité des preuves soutenant les acceptations enregistrées. C’est cet écart, entre l’appétence annoncée et la réalité d’exploitation, qui constitue le constat significatif.

Un avertissement pratique pour finir. Si personne ne peut nommer la personne ayant accepté le risque résiduel de vos trois systèmes d’IA les plus lourds de conséquences, vous n’avez pas de dispositif d’appétence. Vous avez un document.

Questions fréquentes

Que signifie une appétence au risque élevée ? Cela signifie que l’organisation a décidé d’accepter un volume supérieur d’un type de risque défini pour poursuivre un objectif, et qu’elle a déplacé sa frontière déclarée en conséquence. En matière d’IA, cela achète généralement de la vitesse : validations plus courtes, pilotes plus larges, mise en service avec une limitation documentée. Cela n’implique ni moins de traces écrites, ni extension aux expositions que le droit place hors limites.

Une appétence au risque élevée est-elle une bonne chose ? En soi, elle n’est ni bonne ni mauvaise. Elle est appropriée lorsqu’elle est délibérée, bornée, ajustée à la capacité de l’organisation et cohérente avec les comportements observés ailleurs dans la maison. L’Institute of Internal Auditors relève qu’une appétence plus large pour l’IA peut mal convenir à une organisation par ailleurs averse au risque. La défaillance n’est pas une appétence élevée, c’est une appétence non déclarée.

Quelle différence entre appétence au risque et tolérance au risque ? L’appétence désigne le niveau agrégé et les types de risque que l’on accepte de prendre sur un portefeuille ou un objectif. La tolérance désigne la variation admissible autour d’un objectif ou d’un indicateur précis : elle opère donc un niveau plus bas et s’exprime le plus souvent en fourchette ou en seuil. La capacité constitue une troisième notion, à savoir le maximum absorbable avant rupture de contraintes dures, que l’on mesure au lieu de la choisir.

Quels sont les niveaux d’appétence au risque ? La plupart des référentiels retiennent trois ou quatre bandes, souvent qualifiées d’averse, prudente ou conservatrice, modérée, puis offensive ou ouverte. Les étiquettes importent bien moins que ce que chaque bande autorise. Pour les systèmes d’IA, l’approche la plus utile consiste à rattacher les bandes aux niveaux de système, de sorte qu’un système à haut risque porte une bande étroite explicitement justifiée tandis qu’un outillage interne à risque minimal en porte une large.

Le règlement européen sur l’IA exige-t-il une déclaration d’appétence au risque ? Pas sous ce nom. Ce que l’article 9 impose pour les systèmes à haut risque, c’est un système de gestion des risques couvrant le cycle de vie, dans lequel le risque résiduel, danger par danger puis globalement, est jugé acceptable. Porter ce jugement de manière constante sur un portefeuille est impossible sans critères d’acceptation documentés, ce que la clause 6.1.2 de la norme ISO/IEC 42001 exige directement. En pratique, les deux obligations produisent un objet qui fonctionne comme une déclaration d’appétence.

À quelle fréquence réviser une appétence au risque en IA ? La bande elle-même peut suivre le cycle de gouvernance annuel. Les seuils qui la sous-tendent, non, car le comportement des modèles change entre deux revues. Rattachez la revue des seuils aux preuves du système : une cadence d’évaluation arrêtée, toute modification substantielle des données ou de la version du modèle, tout franchissement de seuil, et tout changement de classification réglementaire. Le NIST formule la même observation en notant que la tolérance et les niveaux de risque évoluent au fil du cycle de vie d’un système d’IA.

Conclusion

Une appétence au risque élargie constitue une position stratégique légitime, et les programmes d’IA qui refusent d’en énoncer une prennent de toute façon les mêmes décisions, simplement sans trace. Ce qui sépare une appétence défendable d’un slogan, c’est la chaîne qui la suit : une bande nommée par système, un indicateur, deux seuils, un point de contrôle capable d’arrêter quelque chose, et un approbateur dont le nom figure sur le risque résiduel. Le règlement européen sur l’IA, la norme ISO/IEC 42001 et le cadre NIST AI RMF convergent vers cette même chaîne par des voies différentes. La construire une seule fois, dans un endroit où les preuves s’accumulent au lieu de se disperser, fait toute la différence entre une gouvernance que l’on prouve et une gouvernance que l’on se contente de décrire. Notre comparaison entre plateforme de gouvernance de l’IA et pile d’outils périphériques précise où ce registre doit vivre.