Adoption mondiale de l'IA dans la gestion des risques

L’intelligence artificielle est capable de détecter des paiements inhabituels, d’analyser les signes de détérioration de la solvabilité et d’examiner des milliers d’alertes de conformité plus rapidement qu’une équipe humaine. Cela en fait un outil de gestion des risques potentiellement précieux, mais pas un gardien autonome d’un établissement financier. Les modèles peuvent passer à côté de menaces inconnues, reproduire des biais et créer de nouvelles dépendances vis-à-vis des fournisseurs de données et de technologies. La question concrète n’est donc pas de savoir si une banque doit recourir à l’IA, mais quels risques celle-ci peut aider à gérer et quels contrôles sont nécessaires pour empêcher que cette technologie ne devienne une source supplémentaire d’exposition.

L'adoption progresse plus vite que la gouvernance

L'intelligence artificielle est déjà largement utilisée dans le secteur bancaire. L'Autorité bancaire européenne a indiqué en 2025 que 92 % des banques de l'Union européenne l'utilisaient, tandis que les autres établissements menaient des projets pilotes ou étudiaient des applications possibles. La Banque d'Angleterre et l'Autorité de conduite financière ont également constaté une utilisation généralisée de cette technologie dans les services financiers britanniques.

Les statistiques relatives à l'adoption peuvent toutefois donner une image exagérément avancée de la mise en œuvre. Une banque peut être considérée comme un utilisateur de l'IA simplement parce qu'elle utilise l'apprentissage automatique pour détecter les fraudes ou qu'elle permet à ses employés d'utiliser un assistant génératif interne. Cela ne signifie pas pour autant que l'intelligence artificielle prenne les décisions stratégiques en matière de crédit, de liquidité ou de risque de marché.

De nombreuses institutions restent prudentes quant à l'intégration directe de l'IA dans des processus à fort impact. Elles peuvent l'utiliser pour identifier les cas nécessitant une enquête, tout en conservant les modèles établis et en laissant à l'humain le soin de prendre la décision finale.

Cette distinction est importante. L'IA peut soutenir une fonction de contrôle sans pour autant assumer la responsabilité du résultat. L'établissement financier reste responsable, que l'erreur provienne d'un employé, d'un modèle développé en interne ou d'un fournisseur de technologies externe.

La détection des fraudes est l'un des cas d'utilisation les plus pertinents

Les systèmes de détection des fraudes doivent analyser un très grand nombre de transactions tout en déterminant celles qui justifient une intervention. Les règles classiques peuvent signaler tout paiement supérieur à un certain montant ou toute localisation inhabituelle. Les systèmes d'apprentissage automatique peuvent analyser un ensemble plus large de comportements, notamment l'historique des transactions, les informations relatives aux appareils, le moment où les transactions ont lieu et les relations entre les comptes.

Cela peut permettre d'identifier des tendances qu'une règle fixe ne permettrait pas de détecter. Cela permet également de réduire le nombre d'alertes inutiles en faisant la distinction entre un comportement véritablement inhabituel et un changement légitime dans la manière dont un client utilise son compte.

L'avantage ne réside pas simplement dans une meilleure détection. Un nombre excessif de faux positifs peut entraîner le blocage de paiements légitimes, empêchant ainsi les clients d'accéder à leur argent tandis que les enquêteurs passent du temps à examiner des activités inoffensives.

L'IA peut aider à hiérarchiser les alertes, mais la fraude évolue en fonction des contrôles mis en place pour la contrer. Les criminels testent les systèmes, falsifient les identités et adaptent leurs schémas de transaction. Un modèle entraîné sur les fraudes d'hier peut s'avérer inefficace face à une nouvelle méthode.

Les établissements doivent donc faire l'objet d'un suivi continu, bénéficier d'un retour d'information rapide de la part des chercheurs et être en mesure d'actualiser leurs contrôles sans partir du principe qu'un modèle qui a fait ses preuves par le passé restera efficace indéfiniment.

Les contrôles en matière de lutte contre le blanchiment d'argent pourraient devenir plus ciblés

Les banques consacrent des ressources considérables à la surveillance des transactions et aux enquêtes sur d'éventuels cas de blanchiment d'argent. Les systèmes actuels génèrent souvent un grand nombre d'alertes, dont beaucoup ne donnent pas lieu à un signalement d'activité suspecte.

L'IA pourrait améliorer ce processus en établissant des liens entre des clients, des entreprises, des comptes et des transactions qui, examinés séparément, semblent n'avoir aucun rapport entre eux. L'analyse de réseau peut mettre en évidence des adresses communes, des liens de propriété ou des circuits de paiement entre plusieurs entités.

Les outils de traitement du langage naturel peuvent également aider les enquêteurs à organiser les dossiers, à résumer les activités antérieures et à retrouver les directives pertinentes. Cela permet de réduire la charge administrative et de laisser les spécialistes se concentrer sur le fond de l'affaire.

La technologie ne doit pas déterminer de manière autonome qu’un client se livre à des activités criminelles. Certains comportements peuvent s’expliquer par des raisons légitimes, et des conclusions automatisées peuvent avoir de graves conséquences sur l’accès au compte et la réputation du client.

Les banques doivent également éviter d'utiliser l'IA dans le seul but de traiter plus rapidement les alertes. L'efficacité n'a de valeur que lorsqu'elle permet d'améliorer l'identification et l'analyse des risques réels, et non lorsqu'elle sert simplement à accélérer la clôture des dossiers.

L'évaluation de la solvabilité nécessite une attention particulière

L'apprentissage automatique permet d'analyser les états financiers, l'historique des paiements, les tendances en matière de trésorerie et d'autres informations afin d'évaluer la probabilité qu'un emprunteur rembourse son prêt. Il peut ainsi mettre en évidence des corrélations difficiles à cerner à l'aide des systèmes de notation classiques.

Cela peut améliorer la rapidité et la cohérence de l'évaluation de la solvabilité, en particulier pour les petites entreprises ou les consommateurs dont l'historique de crédit traditionnel est limité. Les données alternatives peuvent également aider à évaluer des demandeurs qui seraient autrement difficiles à évaluer.

Cette même approche peut être source de discrimination. Des variables qui semblent neutres peuvent en réalité servir d'indicateurs indirects de caractéristiques protégées ou de situations de précarité économique. Un modèle peut produire des résultats différents selon le quartier, la profession ou le type d'appareil, même lorsque ces caractéristiques ne tiennent pas explicitement compte de l'origine ethnique, du genre ou d'un autre attribut protégé.

Les données historiques reflètent également les décisions d'octroi de crédit prises par le passé. Si certains groupes ont bénéficié de moins de crédits ou de conditions moins avantageuses par le passé, un modèle peut assimiler cette tendance et la reproduire comme s'il s'agissait d'une preuve objective de risque.

Les décisions en matière de crédit doivent donc faire l'objet de tests auprès des groupes de clients concernés, être accompagnées d'une justification claire en cas de décision défavorable et prévoir des voies de recours efficaces. En vertu de la loi européenne sur l'IA, certains systèmes d'IA utilisés pour évaluer la solvabilité sont classés comme présentant un risque élevé et sont soumis à des exigences supplémentaires.

Dans ce contexte, l'explicabilité n'est pas simplement une question de choix technique. Un client à qui l'on refuse un produit financier important ne devrait pas se voir répondre “ c'est l'algorithme qui en a décidé ainsi ” comme seule explication.

Les modèles de risque de marché permettent de détecter des tendances, mais ne garantissent pas l'avenir

Les établissements financiers utilisent des modèles pour estimer la manière dont leurs portefeuilles pourraient réagir aux variations des taux d'intérêt, des taux de change, des écarts de crédit et des cours des actifs. L'intelligence artificielle permet de traiter davantage de variables et de modéliser des relations plus complexes que certaines approches traditionnelles.

Cela peut permettre d'identifier des concentrations au sein des portefeuilles de négociation ou de mettre en évidence que plusieurs positions apparemment différentes dépendent d'un même facteur économique sous-jacent. Cela peut également faciliter la détection en temps réel d'anomalies en période de tension sur les marchés.

Le problème, c'est que les conditions financières évoluent. Un modèle entraîné pendant une période d'inflation stable ou de liquidités abondantes peut se comporter différemment lorsque la guerre, la politique ou la structure du marché changent brusquement.

Les données historiques peuvent ne contenir que peu d'exemples de l'événement extrême que l'institution tente de modéliser. Un système peut atteindre une grande précision dans l'explication des conditions normales, tout en sous-estimant l'événement qui importe le plus.

L'IA devrait donc venir compléter les tests de résistance plutôt que de les remplacer. Les établissements ont toujours besoin de scénarios hypothétiques qui vont au-delà des données historiques et remettent en question les hypothèses relatives à la liquidité, aux corrélations et au comportement des marchés.

Un modèle de risque n'est pas fiable simplement parce qu'il comporte davantage de variables. Il est fiable lorsque ses limites sont bien comprises et que les décisions restent solides même lorsque ces variables évoluent différemment.

Le risque opérationnel ne se limite pas à la cybersécurité

L'IA peut aider les institutions à identifier les anomalies du système, à anticiper les pannes matérielles ou logicielles et à classer les incidents. Elle peut également analyser les communications internes ou traiter des données afin de détecter les faiblesses opérationnelles émergentes.

Les outils génératifs peuvent aider les employés en leur fournissant des procédures et en les aidant à gérer les situations courantes. Cependant, ils peuvent également générer des instructions erronées au moment même où le personnel a besoin de conseils fiables.

Le risque opérationnel augmente lorsqu'un établissement devient dépendant d'un modèle ou d'un fournisseur sans disposer d'une alternative viable. Si un service d'IA venait à être indisponible, les processus critiques devraient pouvoir se poursuivre malgré tout.

La banque doit savoir quelles fonctions dépendent du système, ce qui se passe en cas de panne et comment le personnel va se rabattre sur des procédures manuelles ou traditionnelles. Les plans de continuité d'activité doivent être testés et non pas simplement considérés comme acquis.

L'automatisation peut réduire une catégorie d'erreurs humaines tout en en introduisant une autre : une dépendance excessive à l'égard d'un système dont les défaillances sont moins bien connues et potentiellement plus généralisées.

L'IA est à la fois un outil de cyberdéfense et une cybermenace

Les équipes de sécurité peuvent recourir à l'IA pour détecter les accès inhabituels, analyser l'activité du réseau et hiérarchiser un grand nombre d'alertes. Elle peut identifier des schémas subtils sur l'ensemble des appareils et des comptes plus rapidement que ne le feraient des analystes travaillant manuellement.

Les pirates utilisent des technologies similaires. L'IA générative permet de créer des messages de hameçonnage convaincants, d'imiter des styles de communication et de faciliter les techniques d'ingénierie sociale. Les voix et les images synthétiques facilitent l'usurpation d'identité de dirigeants ou de clients.

Les établissements financiers devraient donc associer une surveillance technique à des contrôles rigoureux en matière de paiements et d'identité. Un message vocal apparemment authentique provenant d'un cadre supérieur ne devrait pas prévaloir sur la double validation ou la vérification indépendante.

Les systèmes d'IA peuvent eux-mêmes faire l'objet d'attaques. Les données d'entrée peuvent être manipulées afin de modifier le résultat, des informations confidentielles peuvent être extraites, et des instructions malveillantes peuvent être dissimulées dans des documents traités par des outils génératifs.

Un modèle connecté à des bases de données internes ou capable de déclencher des actions nécessite des contrôles plus stricts qu’un système se contentant de générer des synthèses. L’accès doit être limité en fonction des dommages potentiels que l’outil peut causer, et non pas uniquement en fonction de la sensibilité des informations qu’il est en mesure de consulter.

La qualité des données est le premier maillon de la chaîne de contrôle

La Banque des règlements internationaux a indiqué en 2026 que la qualité des données restait l'un des principaux obstacles à la mise en production des systèmes d'IA financière. Les institutions sont confrontées à des informations incomplètes, incohérentes, obsolètes ou inadaptées à l'usage prévu.

L'IA ne corrige pas automatiquement les données de mauvaise qualité. Elle peut même aggraver le problème en produisant un résultat clair et sûr à partir de données d'entrée peu fiables.

Les groupes financiers stockent souvent les informations relatives aux clients, aux transactions et aux risques dans des systèmes créés à des époques différentes. Les définitions peuvent varier d'une unité opérationnelle à l'autre, tandis que les acquisitions peuvent donner lieu à plusieurs versions concurrentes d'un même enregistrement.

Avant de mettre en place un modèle avancé, l'institution doit déterminer quelles données font autorité, à qui elles appartiennent et comment les erreurs sont corrigées. L'ensemble de données d'apprentissage doit être représentatif des conditions dans lesquelles le système fonctionnera.

La traçabilité des données revêt une importance tout aussi grande. Les équipes chargées de la gestion des risques doivent pouvoir remonter jusqu'aux sources d'un résultat important et comprendre comment ces informations ont été transformées. Sans cet historique, il devient difficile d'enquêter sur une décision inattendue.

L'explicabilité doit être à la hauteur des enjeux

Toutes les applications d'IA ne nécessitent pas le même niveau d'explication. Un modèle servant à trier des documents internes n'a pas les mêmes implications qu'un modèle intervenant dans l'octroi d'un crédit ou permettant d'identifier une transaction comme potentiellement frauduleuse.

Les autorités de régulation privilégient de plus en plus une approche proportionnée. Plus l'impact sur les clients, les fonds propres ou la stabilité financière est important, plus l'établissement doit être en mesure d'expliquer, de tester et de remettre en question son modèle.

Certains systèmes sophistiqués ne permettent pas de fournir une description simple de chaque calcul interne. Cela ne les rend pas pour autant inutilisables, mais les établissements ont besoin d’autres formes de garantie. Il peut s’agir notamment de vérifier comment les résultats évoluent en fonction des données d’entrée, de comparer le modèle à un référentiel plus simple et d’analyser les performances selon les différents groupes de clients.

Un responsable de la gestion des risques doit être capable d'expliquer à quoi sert le modèle, quelles informations il utilise, dans quels cas ses performances sont insuffisantes et dans quelles circonstances il ne faut pas se fier à ses résultats.

Une technologie opaque ne devrait pas faire l'objet d'un examen moins approfondi au seul motif que sa complexité rend son explication difficile.

La dépendance vis-à-vis des tiers devient un problème systémique

De nombreuses institutions ne développent pas entièrement en interne leur infrastructure d'IA. Elles font appel à des fournisseurs de services cloud, à des développeurs de modèles de base, à des sociétés spécialisées dans les données et à des éditeurs de logiciels externes.

Cela peut permettre d'accéder à des technologies dont la mise au point serait coûteuse si elles devaient être développées de manière indépendante. Cela concentre également les services essentiels entre les mains d'un nombre relativement restreint de prestataires mondiaux.

Si de nombreuses banques s'appuient sur le même modèle ou la même plateforme cloud, une seule panne, une vulnérabilité ou une mise à jour défectueuse pourrait affecter plusieurs établissements simultanément. Des modèles similaires peuvent également réagir de manière similaire aux informations du marché, ce qui accroît le risque d'un comportement corrélé.

Une banque reste responsable des systèmes externalisés. Les contrats doivent porter sur l'accès aux données, le signalement des incidents, les droits d'audit, les modifications apportées aux modèles, les sous-traitants ainsi que la procédure de récupération des informations à la fin de la relation.

L'établissement doit également déterminer s'il peut faire appel à un autre prestataire ou poursuivre le processus en interne. Un plan de sortie purement théorique ne suffit pas lorsque le transfert des données et la refonte des intégrations prendraient des années.

Dans quoi vaut-il la peine d'investir ?

Les inventaires des modèles sont indispensables. Une institution doit savoir quels systèmes d'IA elle exploite, où ils sont utilisés, à quelles données ils ont accès et à qui appartient chacun d'entre eux. Les outils non répertoriés, introduits de manière informelle par les employés, peuvent engendrer des risques échappant au contrôle officiel.

La validation indépendante mérite également d'être financée. Les personnes chargées de tester un modèle doivent disposer d'une autorité et d'une expertise suffisantes pour remettre en question l'équipe qui l'a développé ou acheté.

Le suivi doit se poursuivre après le déploiement. Il convient d'évaluer régulièrement la précision, les faux positifs, les résultats pour les clients et les incidents opérationnels. Un modèle qui a réussi ses tests initiaux peut voir ses performances se dégrader à mesure que les comportements et les conditions du marché évoluent.

La formation des employés ne doit pas se limiter aux aspects techniques de l'utilisation de l'outil. Le personnel doit comprendre les notions de confidentialité, de partialité et de vérification, et savoir dans quels cas il est nécessaire de faire remonter l'information à un supérieur.

Investir dans des contrôles plus simples peut parfois s'avérer plus rentable. Une meilleure vérification d'identité, une meilleure gestion des accès ou un meilleur rapprochement des données peuvent réduire les risques de manière plus fiable qu'un modèle sophistiqué appliqué à des processus défaillants.

Ce que les établissements doivent éviter

L'IA ne doit pas être adoptée uniquement parce que les concurrents l'utilisent. L'établissement doit identifier un problème de risque spécifique, disposer d'une référence mesurable et expliquer en quoi l'IA constitue une amélioration par rapport à une méthode déjà établie.

Les systèmes de type « boîte noire » ne devraient pas être utilisés directement dans le cadre de décisions ayant des conséquences importantes sans avoir fait l'objet de tests et d'examens suffisants. De même, les affirmations d'un fournisseur concernant les performances de son produit ne devraient pas être acceptées sans avoir été validées à partir des données et des conditions d'exploitation propres à l'établissement.

Les banques devraient éviter de permettre à leurs employés de saisir des informations confidentielles relatives aux clients ou aux risques dans des services génératifs accessibles au public. Les outils approuvés doivent être assortis de règles claires en matière de traitement des données et de restrictions techniques, plutôt que de reposer uniquement sur une politique écrite.

Les affirmations selon lesquelles un système permettrait de réduire le nombre de faux positifs ou de diminuer les coûts d'exploitation doivent être évaluées en tenant compte des cas non détectés, des réclamations des clients et du travail supplémentaire de vérification. Un système peut sembler plus efficace simplement parce qu'il transfère les coûts vers un autre service ou génère des erreurs qui n'apparaissent qu'ultérieurement.

Avant tout, l'IA ne doit pas être considérée comme un substitut aux professionnels expérimentés de la gestion des risques. La technologie peut élargir le champ d'analyse, mais ce sont les personnes qui doivent interpréter les cas exceptionnels, remettre en question les résultats irréalistes et assumer la responsabilité de la décision.

Un cadre de déploiement pratique

Commencez par définir clairement un cas d'utilisation et comparez le système d'IA au processus actuel. Déterminez les améliorations nécessaires en termes de précision, de rapidité, de coût ou de détection des risques avant le lancement de la phase pilote.

Classez l'application en fonction de son impact potentiel. Un outil interne à faible risque peut se contenter de contrôles de base, tandis qu'un modèle influençant les décisions en matière de crédit, d'exposition aux risques de marché ou d'activités suspectes nécessite une validation formelle et une supervision par la hiérarchie.

Testez le modèle sur des données représentatives, y compris des cas complexes et des périodes de tension. Évaluez les performances pour chaque groupe pertinent de clients et de transactions, plutôt que de vous fier à un taux de précision moyen.

Il convient d'introduire un contrôle humain à un stade où celui-ci peut réellement influencer le résultat. Une personne dont on attend simplement qu'elle valide des centaines de recommandations automatisées ne peut assurer un contrôle efficace.

Définissez des seuils permettant de suspendre le modèle lorsque ses performances se détériorent, que les données deviennent peu fiables ou que les conditions de marché sortent de la fourchette pour laquelle il a été testé. Prévoyez un processus de secours viable.

Enfin, présentez les résultats à la direction générale et au conseil d'administration dans un langage qui leur permette de les remettre en question. La gouvernance échoue lorsque l'IA est présentée comme un sujet technique ne relevant pas de la responsabilité des décideurs.

L'IA peut rendre la gestion des risques financiers plus rapide et plus sélective, notamment en matière de détection des fraudes, de surveillance des transactions, d'analyse des données et de contrôles opérationnels. Elle peut également masquer des biais, créer une fausse confiance et inciter les institutions à se tourner vers les mêmes prestataires et modèles. La mise en œuvre la plus efficace n’est donc pas celle qui est la plus autonome. C’est celle dans laquelle les données sont fiables, les limites sont visibles et où des personnes qualifiées conservent à la fois le pouvoir et l’obligation d’intervenir.