Le rôle de l’industrie de l’IA dans la définition des normes des services financiers

Le gouvernement fédéral a officiellement passé le relais, et l’industrie des services financiers assume maintenant la responsabilité principale de superviser, de contrôler et de garantir la sécurité des modèles d’IA génératifs et agents. Il ne s’agit pas d’une possibilité future ou d’une rumeur réglementaire. Deux développements politiques importants au début de 2026 ont rendu cette réalité indubitable, et les institutions qui reconnaissent ce moment pour ce qu’il est seront beaucoup mieux positionnées que celles qui ne le font pas.

Le paysage politique change de manière décisive

En mars 2026, la Maison Blanche a publié son Cadre de politique nationale sur l’IA, et le signal ne pouvait pas être plus clair. L’administration a réaffirmé son point de vue selon lequel la réglementation de l’IA est fondamentalement une question de compétitivité nationale, et non de bureaucratie de protection des consommateurs. Le principe V du Cadre stipule que le Congrès ne doit pas créer de nouvel organisme fédéral de réglementation pour l’IA, mais doit plutôt soutenir le développement et le déploiement d’applications d’IA spécifiques au secteur par le biais d’organismes de réglementation existants et de normes dirigées par l’industrie. Le principe VII renforce cela en appelant le Congrès à préempter les lois sur l’IA des États qui imposent des fardeaux indus, en faveur d’une norme nationale minimale.

Le message est indubitable: Washington ne vient pas nous sauver. Le gouvernement fédéral a choisi la vitesse d’innovation plutôt que la surveillance prescriptive, laissant délibérément la porte ouverte à l’industrie pour définir ce que ressemble une IA responsable dans la pratique. Cela représente un choix politique délibéré et conséquent, qui comporte un poids réel pour chaque institution qui déploie ou évalue actuellement des outils d’IA.

Le deuxième développement important est arrivé le 17 avril avec la publication de SR-26-2, « Guidance révisée sur la gestion des risques de modèle », par l’OCC, le Conseil de réserve fédérale et la FDIC. Il s’agit d’une mise à jour longtemps attendue de la directive SR-11-7 qui régissait la gestion des risques de modèle pendant plus de 15 ans. À bien des égards, SR-26-2 est un document bienvenu. Il est plus court, passant de 21 pages serrées à une version plus lisible de 12 pages espacées. Il remplace le langage prescriptif « devrait » par des principes descriptifs. Il introduit des seuils de matérialité, en se concentrant sur les banques ayant 30 milliards de dollars ou plus d’actifs. Et il encourage la pensée en termes de cycle de vie, en traitant le développement, la validation, le déploiement et la surveillance des modèles comme une discipline continue plutôt que comme un exercice de conformité unique.

L’exception flagrante de l’IA

Mais c’est ici que la directive devient à la fois significative et inquiétante. SR-26-2 est explicite dans ses limites auto-imposées: « Cette directive n’établit pas de normes ou de exigences prescriptives ; par conséquent, la non-conformité à cette directive ne donnera pas lieu à des critiques de la part de la supervision ». En termes clairs: débrouillez-vous vous-mêmes.

Encore plus frappant est la note de bas de page 3, qui exclut entièrement les modèles d’IA génératifs et agents du champ d’application de la directive, les décrivant comme « nouveaux et en évolution rapide ». La note de bas de page reconnaît que les banques devraient appliquer leurs pratiques de gestion des risques et de gouvernance existantes à ces outils, mais n’offre aucune direction spécifique sur la façon de le faire. Au moment précis où les risques liés à l’IA deviennent plus concrets et plus conséquents, le gouvernement fédéral s’est formellement écarté.

On peut comprendre la logique. Des directives fédérales prématurées ou mal informées sur l’IA pourraient étouffer l’innovation, créer des désavantages concurrentiels ou générer des conséquences involontaires. Les régulateurs préfèrent peut-être rassembler les commentaires de l’industrie avant de codifier les normes. Mais le fossé que cela crée est réel et croissant. Les modèles d’IA génératifs et agents sont déjà opérationnels au sein des institutions financières, prenant des décisions, automatisant les flux de travail et interagissant avec les clients, tandis que le cadre réglementaire qui les régit reste effectivement silencieux.

Les risques ne sont pas théoriques

Soyons directs sur ce qui est en jeu. Les modèles d’IA génératifs et agents posent une catégorie de risques qui n’existait simplement pas lorsque SR-11-7 a été rédigé en 2011. Ces systèmes peuvent apprendre en cours de route, en adaptant leur comportement de manière qui peut diverger de leur conception d’origine. Ils introduisent de nouvelles vulnérabilités de sécurité que les cadres de gestion des risques de modèle traditionnels n’étaient pas conçus pour détecter. Le Center for Internet Security a publié un rapport officiel en avril 2026 avertissant que les attaques par injection de promptes représentent une menace grave et croissante pour les organisations utilisant l’IA générative, notant que les instructions malveillantes cachées dans les documents, les e-mails et les sites Web peuvent conduire à des données sensibles volées, à un accès non autorisé au système et à une perturbation opérationnelle. Les attaques par injection de promptes sont maintenant classées comme la principale vulnérabilité dans le Top 10 OWASP pour les applications de modèle de langage à grande échelle.

Les systèmes d’IA agents, capables de prendre des actions de manière autonome dans le monde à grande vitesse, amplifient ces risques encore plus. Ils peuvent créer des défaillances en cascade avant que tout réviseur humain n’ait eu la chance d’intervenir. Et le secteur financier est carrément dans la ligne de mire: une analyse de cybersécurité de 2026 a confirmé 340 victimes de rançongiciels dans les services financiers en 2025 alone, avec des attaques de rançongiciels accélérées par l’IA permettant aux acteurs menaçants de se déplacer à la vitesse de la machine à travers des systèmes interconnectés.

Ce ne sont pas des préoccupations hypothétiques pour un avenir lointain habilité par l’IA. Ce sont des réalités opérationnelles d’aujourd’hui. Et les institutions financières qui déploient ces outils sans des cadres de gouvernance robustes ne prennent pas seulement des risques pour leur réputation. Elles assument le poids complet de la responsabilité que les régulateurs ont, pour l’instant, décidé de ne pas partager.

L’industrie doit se hisser au niveau de l’occasion

L’absence de mandats fédéraux n’est pas un feu vert pour l’inaction. Les courtiers, les banques, les prêteurs et leurs fournisseurs de technologie occupent maintenant une position sans précédent: ils doivent construire l’infrastructure de gouvernance que le gouvernement a choisi de ne pas prescrire. C’est à la fois un fardeau et une opportunité, et les données suggèrent que de nombreuses institutions ne sont pas encore prêtes pour cela.

L’enquête d’impact de l’IA de Grant Thornton en 2026 auprès de 950 dirigeants bancaires a constaté que les banques sont plus susceptibles que toute autre industrie de signaler que leurs contrôles d’IA sont non testés. Seuls 18 % des dirigeants bancaires ont exprimé leur pleine confiance dans leurs contrôles d’IA, et la moitié des répondants ont cité les barrières de gouvernance et de conformité comme contributeurs à la sous-performance ou à l’échec de l’IA. Ce n’est pas une posture qui tiendra lorsque le déploiement de l’IA se approfondira et que la patience réglementaire prendra fin.

Les institutions qui agissent rapidement pour développer des cadres de gouvernance d’IA rigoureux, couvrant la surveillance des modèles, l’explicabilité, la détection des biais, les tests de sécurité et les protocoles de surveillance humaine, ne géreront pas seulement mieux leurs risques. Elles façonneront également les normes dirigées par l’industrie que la Maison Blanche et les régulateurs fédéraux ont explicitement invité le secteur privé à créer. Les premiers mouvements dans la gouvernance d’IA responsable ont une véritable opportunité d’écrire les règles que tout le monde suivra éventuellement.

Le marché de l’IA générative dans les services financiers est déjà énorme et s’accélère rapidement. Selon Research and Markets, le secteur des services financiers d’IA générative devrait passer de 1,89 milliard de dollars en 2025 à 2,48 milliards de dollars en 2026, représentant un taux de croissance annuel composé de plus de 31 %. Ce taux de croissance rend la gouvernance non pas un luxe, mais un impératif structurel. Les institutions qui déploient l’IA à cette échelle sans contrôles testés ne construisent pas un avantage concurrentiel. Ils construisent une responsabilité non évaluée.

Le gouvernement fédéral nous a dit, en termes clairs, qu’il fait confiance à l’industrie pour faire les choses correctement. Cette confiance n’est pas inconditionnelle, et elle n’est pas permanente. La patience réglementaire a une durée de vie. Si des échecs d’IA de haute visibilité commencent à s’accumuler, le pendule de la surveillance va basculer, et les règles écrites dans cet environnement seront presque certainement plus restrictives et moins praticables que tout ce que l’industrie aurait pu concevoir pour elle-même. La fenêtre pour agir selon nos propres termes est ouverte maintenant. La question est de savoir si l’industrie va l’utiliser.