Introduction
Un organisme de réglementation a publié une ligne directrice sur l’utilisation de l’intelligence artificielle (IA) dans les institutions financières. La directive, qui entrera en vigueur le 1 mai 2027, s’applique aux assureurs, coopératives de services financiers, sociétés de fiducie et institutions de dépôt autorisées.
Cadre de gouvernance institutionnelle
Rôle du conseil d’administration
Le conseil doit veiller à ce que la direction favorise une culture d’utilisation responsable de l’IA et possède les compétences collectives nécessaires pour comprendre les risques associés aux systèmes d’IA, notamment lorsqu’ils sont utilisés dans des activités critiques.
Responsabilité de la direction
La direction doit mettre en place des mécanismes de gouvernance adéquats, maintenir une connaissance suffisante des systèmes d’IA et désigner un cadre senior responsable de l’ensemble des systèmes d’IA de l’institution.
Gestion des risques et notation des systèmes d’IA
Les institutions doivent identifier, évaluer, quantifier et atténuer les risques liés aux systèmes d’IA afin d’obtenir une vue globale de leur exposition. La directive impose une classification basée sur le risque, la tenue d’un répertoire centralisé des systèmes, l’attribution d’une notation de risque à chaque système, ainsi que la révision périodique de ces notations.
Cycle de vie des systèmes d’IA
Choix et justification
Les besoins organisationnels justifiant l’utilisation d’un système d’IA doivent être documentés et réévalués à chaque revalidation en fonction de la notation de risque.
Données d’entraînement
La qualité des données utilisées pendant la phase d’entraînement et de déploiement doit être assurée.
Approvisionnement ou développement
Le choix d’une solution doit tenir compte de la notation de risque et des exigences d’explicabilité.
Validation
Un processus de validation doit évaluer l’explicabilité, la cybersécurité et les risques tels que les biais, la discrimination, les ajustements dynamiques, les hallucinations et les questions de propriété intellectuelle.
Approbation
Des mesures d’atténuation et des contraintes doivent être appliquées en fonction de l’appétit pour le risque, par exemple l’exigence d’une révision humaine pour les systèmes à haut risque.
Déploiement
Des évaluations de risque, y compris des analyses de cybersécurité et de vulnérabilité de l’infrastructure, doivent être réalisées avant le déploiement.
Surveillance
Une surveillance continue des performances et de l’utilisation du système d’IA est requise, avec une attention particulière aux systèmes autonomes et aux modèles à ajustement dynamique.
Pratiques commerciales et traitement équitable des clients
Les institutions doivent appliquer leur code d’éthique aux systèmes d’IA, identifier et corriger les variables pouvant générer des résultats discriminatoires, informer les clients de l’interaction avec une IA et leur offrir la possibilité d’obtenir une assistance humaine. Tout contenu généré par l’IA doit être clairement indiqué comme tel, et les décisions assistées par l’IA doivent être expliquées de manière simple et transparente.
Prochaines étapes
La directive prendra effet le 1 mai 2027. Les institutions sont invitées à appliquer les principes de proportionnalité en fonction de leur nature, taille, complexité et profil de risque, afin de garantir une mise en œuvre cohérente et efficace.
