La gouvernance est la route, pas le ralentisseur.
Le mode d’échec le plus courant en adoption de l’IA régulée consiste à traiter la gouvernance comme un frottement à réduire. Le retournement de cadrage qui rend les choses possibles.
Deux camps qui ne peuvent pas travailler ensemble
L’essentiel des conseils sur « l’IA pour la finance » relève de deux camps. Le premier, ce sont des ingénieurs qui ne comprennent pas pourquoi les régulateurs sont nerveux. Ils produisent des preuves de concept qui montrent ce qui est techniquement possible et supposent que le problème de déploiement se résume à « accompagner le changement ». Le second, ce sont des professionnels du risque qui ne comprennent pas ce que la technologie peut réellement faire. Ils rédigent des cadres qui interdisent des usages que la technologie a déjà dépassés.
Les deux camps publient ensuite des cadres que l’autre camp ne peut pas utiliser. Ceux du premier camp traitent chaque modèle comme un artefact déployable unique et ignorent la chaîne prudentielle. Ceux du second camp considèrent chaque modèle comme une boîte noire et exigent des contrôles qui, pris à la lettre, interdiraient tout système non déterministe. Les deux échouent à la première visite du régulateur, en sens inverse.
La voie n’est ni la vitesse ni la prudence ; c’est le bon cadrage de ce à quoi servent les contrôles.
La vraie question
La question qui compte lorsque l’IA générative entre dans un processus de finance régulée n’est pas « ce modèle est-il assez bon ? ». C’est « un superviseur peut-il reconstituer ce qui s’est passé ? ». Cela change la surface de contrôle.
Dans un processus pré-IA, les contrôles s’ancrent autour de l’humain. Le réviseur signe le dossier ; le dossier renvoie aux pièces sources ; les pièces sources sont versionnées. Un superviseur peut reconstituer après coup ce qui a été examiné et décidé. Re-passer en revue le travail de l’humain est l’unité de contrôle.
Quand un modèle rédige la communication, ce mécanisme se rompt. La sortie du modèle n’est pas son raisonnement. Le prompt n’est qu’une entrée parmi d’autres ; le corpus de fine-tuning en est une autre ; le prompt système, une troisième ; la température, une quatrième. Aucune de ces choses n’est visible dans la communication finale. La surface de contrôle doit donc se déplacer : revoir le comportement du modèle autour du travail, plutôt que le travail lui-même.
Trois éléments doivent devenir traçables : provenance des entrées, chemin de décision, historique de révision des sorties. À défaut, le système échoue la première fois qu’un superviseur s’assied avec l’artefact et demande « comment ce paragraphe en est-il venu à se lire ainsi ? ».
La question n’est pas « ce modèle est-il assez bon ? ». C’est « un superviseur peut-il reconstituer ce qui s’est passé ? ».
Instruments pratiques
Trois qui font vraiment leur travail. Classification par niveau de risque : toutes les IA ne se valent pas. Un LLM qui rédige une note pour un cadre senior à valider ne relève pas du même niveau de risque qu’un modèle de scoring de crédit, qui lui-même n’est pas dans la même classe qu’un modèle influant sur l’adéquation des fonds propres. Le premier exige des contrôles « brouillon-révision » ; le second un suivi de performance continu ; le troisième une vraie gouvernance du risque de modèles. L’erreur est de concevoir un seul jeu de contrôles et de l’appliquer partout.
L’AI Project Canvas : un artefact d’une page qui oblige l’équipe à déclarer, avant la moindre ligne de code, ce que fera le modèle, qui le contrôlera, à quoi ressemblera la trace auditable et ce qui se passera lorsqu’il se trompera. Comme document, il n’a rien d’inédit — chaque régulateur a un équivalent — mais la discipline de le remplir comme première étape de conception, et non comme dernière étape de conformité, change l’ensemble des projets qui démarrent.
Alignement prudentiel : concevoir des contrôles qui correspondent à ce que les superviseurs cherchent déjà, dans le vocabulaire qu’ils utilisent. La PRA, la FCA, la BCE et l’OCC publient des attentes sur le risque de modèles qui précèdent l’IA générative d’une décennie. Les contrôles d’un outil consultatif fondé sur LLM doivent s’aligner proprement sur SS1/23 ou SR 11-7. Sinon, l’écart entre ce que l’équipe pense avoir bâti et ce que le superviseur s’attend à voir est exactement l’écart où l’audit atterrira.