Divulgation de l’IA financière

Qu’est-ce que la divulgation de l’IA financière ?

La divulgation de l’IA financière fait référence aux exigences réglementaires et aux meilleures pratiques imposant aux institutions financières de divulguer de manière transparente leur utilisation de l’intelligence artificielle dans les processus de prise de décision, la gestion des risques et les applications orientées client. Elle englobe les attentes de la SEC, du CFPB, de la FINRA et d’autres autorités en matière de documentation de la gouvernance de l’IA, des performances des modèles et des impacts potentiels sur les consommateurs et les marchés. En décembre 2024, le comité consultatif des investisseurs (IAC) de la SEC a émis une recommandation formelle demandant à l’agence de publier des directives exigeant des émetteurs qu’ils divulguent des informations sur l’impact de l’intelligence artificielle sur leur entreprise. L’IAC a cité un « manque de cohérence » dans les divulgations actuelles sur l’IA, ce qui « peut poser problème aux investisseurs à la recherche d’informations claires et comparables ». Seules 40 % des entreprises du S&P 500 fournissent des divulgations liées à l’IA, et seulement 15 % divulguent des informations sur la supervision de l’IA par le conseil, bien que 60 % des entreprises du S&P 500 considèrent l’IA comme un risque matériel.

Cadre réglementaire et exigences clés

Le paysage réglementaire de la divulgation de l’IA financière est façonné par plusieurs agences fédérales appliquant des lois existantes, neutres d’un point de vue technologique, aux systèmes d’IA. Le comité consultatif des investisseurs de la SEC a proposé un cadre initial reposant sur trois piliers : (1) exiger des émetteurs qu’ils définissent ce qu’ils entendent par « intelligence artificielle », (2) divulguer les mécanismes de supervision du conseil pour le déploiement de l’IA, et (3) rendre compte des déploiements matériels d’IA et de leurs effets sur les opérations internes et les produits orientés consommateurs. Au-delà de la SEC, le CFPB, la FINRA, l’OCC et la Réserve fédérale ont tous publié des orientations soulignant que les lois existantes sur la protection des consommateurs – y compris le crédit équitable, la confidentialité des données et la lutte contre la fraude – s’appliquent aux systèmes d’IA quelle que soit la technologie utilisée. Ces agences adoptent une approche neutre technologiquement, ce qui signifie que les obligations de conformité imposées par l’Equal Credit Opportunity Act (ECOA), le Fair Credit Reporting Act (FCRA), le Gramm-Leach-Bliley Act (GLBA) et les normes UDAAP (Unfair or Deceptive Acts or Practices) restent inchangées lorsque l’IA est impliquée.

Supervision du conseil et gouvernance

Une divulgation efficace de l’IA financière exige une supervision claire au niveau du conseil d’administration concernant le déploiement et la gestion des risques liés à l’intelligence artificielle. La recommandation de l’IAC de la SEC souligne que les investisseurs ont un intérêt légitime à comprendre s’il existe des lignes d’autorité bien définies concernant le déploiement de la technologie de l’IA dans les opérations internes et les gammes de produits. Les institutions financières doivent mettre en place des structures de gouvernance attribuant la responsabilité de la supervision de l’IA au conseil d’administration ou à un comité dédié, afin de veiller à ce que les risques liés à l’IA soient gérés au plus haut niveau de l’organisation. Ce cadre de gouvernance doit inclure des politiques et procédures documentées pour le développement, le test, la validation et le déploiement de l’IA, avec des rapports réguliers au conseil sur les performances des modèles, les risques identifiés et les efforts de remédiation. Sans responsabilité claire du conseil, les institutions financières s’exposent à un examen réglementaire et à de potentielles sanctions pour supervision inadéquate des systèmes d’IA matériels.

Divulgation de l’impact des déploiements d’IA

Les institutions financières doivent divulguer séparément les effets matériels du déploiement de l’IA sur les opérations internes et les produits orientés consommateurs. Pour les opérations internes, la divulgation doit traiter de l’impact de l’IA sur le capital humain (telles que les réductions d’effectifs ou les besoins de montée en compétences), la fiabilité des rapports financiers, les processus de gouvernance et les risques de cybersécurité. Pour les questions orientées consommateurs, les institutions doivent divulguer les investissements dans les plateformes pilotées par l’IA, l’intégration de l’IA dans les produits et services, les impacts réglementaires liés à l’utilisation de l’IA, ainsi que la manière dont l’IA influence les stratégies de tarification ou les indicateurs commerciaux. La SEC recommande d’intégrer ces divulgations dans les items existants de la réglementation S-K (tels que les points 101, 103, 106 et 303) en fonction de leur matérialité, plutôt que de créer de nouvelles catégories de divulgation. Cette approche permet aux institutions financières d’exploiter les cadres existants tout en fournissant aux investisseurs des informations claires et comparables sur le rôle de l’IA dans les opérations et la stratégie de l’organisation.

Qualité des données, confidentialité et sécurité

Des données de haute qualité sont essentielles à un déploiement responsable de l’IA dans les services financiers, mais de nombreuses institutions rencontrent des difficultés à mettre en œuvre des cadres de gouvernance des données répondant aux attentes réglementaires. Les institutions financières doivent s’assurer que les données utilisées pour entraîner, tester et valider les modèles d’IA sont propres, complètes, standardisées et exhaustives, avec une documentation claire des sources, de la traçabilité et des éventuelles limitations. Les protections de sécurité des données doivent prévenir le « data poisoning » – la manipulation des données d’entraînement visant à compromettre l’intégrité des modèles – et protéger contre tout accès ou divulgation non autorisés d’informations sensibles. Le Gramm-Leach-Bliley Act (GLBA) offre des protections minimales pour les données financières des consommateurs, mais de nombreux régulateurs et défenseurs des consommateurs estiment que ces protections sont insuffisantes dans le contexte de l’IA, en particulier en raison de l’expansion de la collecte et de l’utilisation des données pour l’entraînement des modèles. Les institutions financières doivent également traiter les questions de propriété intellectuelle, en s’assurant qu’elles disposent des autorisations appropriées pour utiliser les données à des fins de développement de l’IA et qu’elles respectent les droits de propriété intellectuelle des tiers. La mise en œuvre de cadres robustes de gouvernance des données, incluant des principes de minimisation des données, des contrôles d’accès et des audits réguliers, est essentielle pour démontrer la conformité aux attentes réglementaires.

Biais, équité et explicabilité

Les agences de régulation ont clairement indiqué que les modèles d’IA utilisés dans la prise de décision financière doivent être testés pour détecter les biais et les risques de discrimination, indépendamment de leur précision ou de leur performance globale. Le problème de la « boîte noire » – lorsque des systèmes complexes d’IA produisent des résultats difficiles, voire impossibles à expliquer – crée un risque de non-conformité important, notamment dans les applications orientées clients telles que l’octroi de crédit, la tarification et la détection de la fraude. Les institutions financières doivent mettre en place des processus de détection et d’atténuation des biais tout au long du cycle de vie des modèles, y compris des tests de biais lors du développement, de la validation et de la surveillance continue. La conformité au crédit équitable exige que les institutions soient capables d’expliquer les raisons spécifiques des décisions défavorables (telles que des refus de crédit) et de démontrer que leurs modèles d’IA n’ont pas d’impact disproportionné sur des classes protégées. Les tests d’« alternatives moins discriminatoires » – méthodes permettant d’atteindre les mêmes objectifs tout en réduisant les biais – sont de plus en plus attendus par les régulateurs. De nombreuses institutions adoptent des techniques d’IA explicable (xAI), telles que l’analyse de l’importance des variables et les arbres de décision, pour améliorer la transparence et la responsabilité des décisions pilotées par l’IA.

Protection du consommateur et transparence

Les institutions financières utilisant l’IA dans des applications orientées consommateurs doivent respecter les lois existantes sur la protection des consommateurs, y compris les exigences relatives aux notifications d’action défavorable, la divulgation de la confidentialité des données et le traitement équitable. Lorsqu’un système d’IA est utilisé pour prendre ou influencer significativement des décisions relatives au crédit, à l’assurance ou à d’autres produits financiers, les consommateurs ont le droit de comprendre pourquoi ils se sont vus refuser ou proposer des conditions moins favorables. Le CFPB a souligné que les créanciers soumis à l’Equal Credit Opportunity Act (ECOA) ne sont pas autorisés à utiliser des modèles de « boîte noire » s’ils ne peuvent fournir des raisons spécifiques et précises pour les décisions défavorables. Par ailleurs, la norme UDAAP (Unfair or Deceptive Acts or Practices) s’applique aux systèmes pilotés par l’IA susceptibles de nuire aux consommateurs par une collecte opaque de données, des violations de la vie privée ou l’orientation vers des produits inadaptés. Les institutions financières doivent s’assurer que les systèmes d’IA utilisés dans le service client, les recommandations de produits et la gestion des comptes sont transparents quant à leur utilisation de l’IA et fournissent des informations claires sur la collecte, l’utilisation et la protection des données des consommateurs.

Gestion des risques liés aux tiers

La plupart des institutions financières s’appuient sur des fournisseurs tiers pour développer, déployer ou maintenir des systèmes d’IA, ce qui crée d’importantes obligations en matière de gestion des risques liés aux tiers (TPRM). Les lignes directrices inter-agences des autorités bancaires fédérales sur les relations avec les tiers insistent sur le fait que les institutions financières restent responsables des performances et de la conformité des systèmes d’IA tiers, même si elles n’ont pas développé elles-mêmes le modèle. Un TPRM efficace pour l’IA nécessite une diligence raisonnable approfondie avant l’engagement d’un fournisseur, notamment l’évaluation des pratiques de gouvernance des données du fournisseur, des processus de validation des modèles et de sa capacité à fournir de la transparence sur le fonctionnement des modèles. Les institutions financières doivent également surveiller le risque de concentration – l’impact systémique potentiel si un petit nombre de fournisseurs d’IA rencontrent des perturbations ou des défaillances. Les risques liés à la chaîne d’approvisionnement, y compris la fiabilité des sources de données et la stabilité de l’infrastructure tierce, doivent être évalués et documentés. Les contrats avec les fournisseurs d’IA devraient inclure des exigences claires en matière de sécurité des données, de surveillance des performances des modèles, de reporting des incidents et de possibilité d’audit ou de test du système d’IA. Les petites institutions financières, en particulier, peuvent avoir du mal à disposer de l’expertise technique nécessaire pour évaluer des systèmes d’IA complexes, d’où la nécessité de normes sectorielles ou de programmes de certification pour faciliter l’évaluation des fournisseurs.

Considérations internationales et harmonisation

Les institutions financières opérant à l’international font face à un ensemble de réglementations sur l’IA de plus en plus complexe, la loi européenne sur l’IA représentant à ce jour le cadre réglementaire le plus complet. L’AI Act de l’UE classe les systèmes d’IA utilisés dans le scoring de crédit, la prévention de la fraude et la lutte contre le blanchiment comme « à haut risque », exigeant une documentation approfondie, des tests de biais, une supervision humaine et des évaluations de conformité. L’OCDE et le G7 ont également publié des principes et recommandations pour une gouvernance responsable de l’IA dans les services financiers, mettant l’accent sur la transparence, l’équité, la responsabilité et la supervision humaine. Bon nombre de ces normes internationales ont une portée extraterritoriale, ce qui signifie que les institutions financières desservant des clients dans l’UE, au Royaume-Uni ou dans d’autres juridictions réglementées peuvent devoir s’y conformer, même si leur siège est situé ailleurs. Les efforts d’harmonisation réglementaire se poursuivent, mais des différences importantes subsistent entre les juridictions, ce qui crée des défis de conformité pour les institutions financières mondiales. S’aligner de manière proactive sur les normes internationales les plus exigeantes – telles que l’AI Act de l’UE et les principes de l’OCDE – peut aider les institutions à anticiper les évolutions réglementaires et à réduire le risque d’application de sanctions dans plusieurs juridictions.

Bonnes pratiques pour la divulgation de l’IA financière

Les institutions financières doivent mettre en œuvre une documentation et des pratiques de gouvernance complètes pour démontrer leur conformité aux exigences de divulgation de l’IA financière. Les bonnes pratiques clés incluent :

• Maintenir une documentation détaillée du développement des systèmes d’IA, incluant les sources de données, l’architecture des modèles, les processus d’entraînement, les résultats de validation et les métriques de performance selon les différents groupes démographiques
• Établir des structures de gouvernance claires avec des rôles et responsabilités définis pour la supervision de l’IA, incluant la responsabilité au niveau du conseil et des rapports réguliers sur les risques liés à l’IA
• Réaliser des tests et validations réguliers des modèles d’IA, incluant des audits de biais, des tests de résistance et un suivi continu des performances pour garantir le respect des attentes réglementaires
• Mettre en place des processus de surveillance de la conformité robustes qui suivent les évolutions réglementaires, évaluent les systèmes d’IA au regard des lois applicables et documentent les efforts de remédiation
• Développer des stratégies de divulgation proactives qui communiquent l’utilisation de l’IA aux investisseurs, clients et régulateurs dans un langage clair et comparable, démontrant l’engagement de l’institution envers une gouvernance responsable de l’IA

En adoptant ces pratiques, les institutions financières peuvent réduire leur risque réglementaire, renforcer la confiance des parties prenantes et se positionner comme des leaders du déploiement responsable de l’IA dans le secteur des services financiers.