Les prestataires de services financiers connaissent la gestion des risques comme un métier. Il existe déjà des cadres pour le risque de crédit, le risque opérationnel, le risque de modèle et la conformité. C'est précisément pourquoi la gouvernance de l'IA se pose ici différemment que dans les secteurs qui partent d'une page blanche : la question n'est pas de savoir s'il existe une structure de risque, mais si l'IA y a déjà été intégrée ou si elle s'est développée à côté. Les modèles de notation de crédit, de détection de fraude ou de segmentation de la clientèle existent souvent depuis plus longtemps que l'étiquette « IA » qui leur a été apposée. La question de gouvernance n'est donc pas : construisons-nous quelque chose de nouveau, mais : la supervision existante s'applique-t-elle encore à ce qui fonctionne désormais.
Le rapport entre ce qui est connu d'un comité de risque de modèle ou d'un service de conformité et ce qui est réellement utilisé varie fortement selon l'établissement. Chez l'un, presque tout est déjà passé par un processus de validation, chez l'autre, à côté des modèles approuvés, des outils tournent également que des collaborateurs ou des équipes ont commencé à utiliser eux-mêmes, sans que personne ne les ait fait valider. Le rapport applicable à une organisation spécifique ne peut être déterminé sans y avoir regardé.
Un établissement disposant d'un cadre de risque de modèle mature suppose parfois que l'IA y est couverte. La gestion du risque de modèle est construite sur des modèles statistiques avec des entrées et sorties fixes. Un modèle de langage qui résume des questions de clients, un outil qui génère un texte provisoire pour une lettre de conseil, ou un système qui parcourt des contrats, n'entre pas toujours dans cette définition et échappe ainsi à la maille existante du filet. La question de gouvernance n'est donc pas seulement de savoir quels modèles existent, mais aussi quels outils sont reconnus comme de l'IA et lesquels ne le sont pas.
Par ailleurs, le rôle de l'IA dans le processus est déterminant. Un outil qui assiste un conseiller dans l'élaboration d'un avis est différent d'un outil qui génère l'avis lui-même ou influence une décision d'acceptation. La même technologie peut être un outil d'assistance dans une application et un maillon touchant directement une décision vis-à-vis d'un client dans une autre. Une classification selon le rôle et le niveau de risque est donc nécessaire avant qu'un établissement puisse déterminer quel niveau de supervision convient à quelle application.
La liste informatique des applications approuvées n'est pas ce qui est effectivement utilisé. Les collaborateurs des services financiers travaillent avec des dossiers clients, des données de transaction et des informations de conseil confidentielles, et c'est précisément ce groupe qui n'est pas immunisé contre le fait de coller un texte dans une fenêtre de chat gratuite pour obtenir plus rapidement un résumé ou une réponse provisoire. La manière dont ce risque se manifeste concrètement et ce qu'il est possible d'y faire est décrit dans l'approche contre les données d'entreprise dans une fenêtre de chat gratuite.
La raison pour laquelle cet usage reste invisible est rarement de la mauvaise volonté. Elle résulte plus souvent d'un manque de clarté sur ce qui est permis ou non, combiné à la pression du temps. Qui veut savoir ce qui est réellement utilisé doit le demander directement, et cela ne fonctionne que si les collaborateurs n'ont pas peur d'une sanction en réponse à leur réponse. Une approche qui en tient compte est expliquée sur la page consacrée à la mise en lumière des outils que personne n'a approuvés.
Ce qui distingue aussi les services financiers, c'est l'habitude de rendre des comptes. Un gestionnaire des risques ou un General Counsel dans ce secteur est habitué à pouvoir montrer à un régulateur ou au conseil de surveillance comment un risque a été évalué et quelles mesures en découlent. Pour l'IA, cela signifie qu'un inventaire ne peut pas exister indépendamment du cadre de risque existant ; il doit s'y intégrer, avec la même classification en catégories de risque et les mêmes lignes de reporting que celles déjà en vigueur pour les autres catégories de risque. Un ensemble de gouvernance placé à côté du cadre existant plutôt qu'intégré dans celui-ci génère, au prochain cycle d'audit, un travail supplémentaire plutôt qu'un repère.
Le contenu des règles applicables à l'IA évolue et est maintenu à jour ailleurs. Cette page décrit le mécanisme : inventorier ce qui fonctionne, classer selon le rôle et le risque, et intégrer le résultat dans les structures de gouvernance existantes, afin qu'un établissement dispose, face à une question d'un régulateur ou du conseil d'administration, d'une réponse cohérente avec la manière dont le risque est déjà géré.
La tension entre la supervision existante et le nouvel usage de l'IA n'est pas propre aux services financiers. Des schémas comparables se retrouvent dans la façon dont la gouvernance de l'IA est organisée dans le secteur de l'énergie, dans la manière dont le secteur de la construction gère les applications d'IA sur le terrain et dans le processus de conception, et dans la façon dont le secteur immobilier envisage l'IA dans l'évaluation et la gestion. Ce qui diffère, ce n'est pas le mécanisme, mais l'endroit où le risque atterrit : chez une banque ou un assureur, il s'agit souvent d'une décision qui touche directement un client.
Un inventaire de l'utilisation de l'IA et la classification des risques correspondante montrent ce qui fonctionne et sous quelle supervision cela devrait relever. Ils ne montrent pas ce que cet usage signifie pour la répartition du travail lui-même : quelle partie d'une tâche, comme la rédaction d'un rapport de conseil, l'examen d'un dossier ou le résumé d'un entretien client, se prête à être reprise par l'IA et quelle partie reste du ressort d'un collaborateur. Cette question dépasse le cadre d'une analyse de gouvernance et trouve sa réponse dans l'analyse de charge de travail de FTE TO AI, qui calcule, tâche par tâche, quelle partie du travail peut être transférée à l'IA.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.