Gouvernance de l'IA dans la banque et les fintechs : Harmoniser DORA et l'EU AI Act

Les institutions financières font face à des exigences réglementaires complexes lors du déploiement de l'intelligence artificielle. Dans l'Union européenne, les établissements bancaires et les fintechs doivent répondre simultanément au règlement DORA (Digital Operational Resilience Act) et à l'EU AI Act, tout en respectant les orientations de l'ABE sur la gouvernance des TIC.

Harmoniser DORA et l'EU AI Act

Plutôt que de scinder la conformité en approches disjointes, les directions des risques doivent unifier les processus opérationnels partagés :

• Risque lié aux tiers prestataires de TIC : DORA impose des contrôles contractuels stricts, des audits de résilience et des stratégies de réversibilité. Sous l'EU AI Act, les banques intégrant des modèles de fondation externes ou des moteurs algorithmiques d'octroi de crédit doivent obtenir une transparence technique totale des fournisseurs (Article 25).
• Scoring de crédit algorithmique (Annexe III) : Les modèles évaluant la solvabilité des particuliers ou les risques d'assurance sont classés à Haut Risque. Ils imposent une validation continue des données, des audits d'équité et des garanties strictes d'explicabilité.
• Notification unifiée des incidents : Les pannes d'infrastructure relèvent du reporting DORA auprès des autorités financières, tandis que les dysfonctionnements de modèles portant atteinte aux droits fondamentaux déclenchent les déclarations de l'article 73 de l'EU AI Act.

Contrôles indispensables pour les services financiers

1. Explicabilité et motivation des refus : Lorsqu'un modèle refuse un prêt ou modifie des conditions tarifaires, le système doit générer des explications interprétables conformes aux normes réglementaires.
2. Intégration au Model Risk Management (MRM) : Les dispositifs de backtesting, de stress-tests et de détection de dérive doivent impérativement être étendus aux modèles d'apprentissage non linéaires et génératifs.
3. Preuves d'audit lisibles par machine : Les jeux de données, historiques d'entraînement et paramètres d'inférence doivent être consignés dans des formats infalsifiables capables de répondre aux contrôles conjoints des superviseurs prudentiels et numériques.