Des usages largement déployés, des garde-fous encore insuffisants
La généralisation des outils d'intelligence artificielle au sein des banques européennes contraste avec leur capacité à en assurer la gouvernance. Selon une enquête McKinsey conduite auprès d'une trentaine d'établissements, moins de 30 % ont formellement intégré leurs modèles d'IA générative et agentique dans leur dispositif de maîtrise du risque modèle. Parallèlement, la Banque centrale européenne (BCE) relève que plus de 85 % des banques supervisées utilisent déjà des solutions d'IA.
Un modèle prudentiel héritier qui peine à s'adapter
La maîtrise du risque modèle (model risk management) est une fonction désormais bien implantée dans le secteur bancaire européen : elle repose sur une séparation des rôles entre concepteurs et validateurs, et sur des cycles de revalidation périodiques. Cette fonction s'est construite sur trois vagues — des modèles réglementaires aux applications opérationnelles, puis aux techniques d'apprentissage automatique — et a été accompagnée par les superviseurs, notamment la Prudential Regulation Authority (Royaume-Uni) et, plus récemment, la BCE, qui a actualisé son guide sur les modèles internes en juillet 2025.
IA générative : une rupture méthodologique et opérationnelle
Les caractéristiques intrinsèques de l'IA générative remettent en cause les fondements mêmes du dispositif de validation :
- l'identification claire d'un modèle lié à un usage ;
- la stabilité suffisante permettant une validation datée ;
- la possibilité d'un examen périodique figé jusqu'à la prochaine réévaluation.
Ces outils évoluent continûment et peuvent se comporter de manière non déterministe, ce qui complique la production d'un audit fiable et reproductible.
Un calendrier réglementaire assoupli mais toujours exigeant
Le calendrier de l'AI Act a été repoussé de seize mois pour la catégorie des usages dits « à haut risque », parmi lesquels figurent la notation de crédit. Ce décalage élargit la fenêtre pour élaborer des réponses opérationnelles sans diminuer pour autant l'intensité des obligations futures : les exigences de sécurité, d'explicabilité et de gouvernance restent inchangées.
| Indicateur | Chiffre |
|---|---|
| Banques utilisant l'IA (BCE) | 85 % |
| Banques ayant intégré l'IA générative au MRMM (McKinsey) | <30 % |
| Report du calendrier AI Act (usages haut risque) | +16 mois |
Conséquences pour les banques françaises et l'économie
Pour les établissements français, ces constats imposent plusieurs priorités : renforcer les fonctions de validation indépendantes, développer des méthodes de surveillance continue des modèles et investir dans des preuves d'auditabilité et d'explicabilité. Le report de l'AI Act offre un délai utile pour déployer ces dispositifs, mais il n'atténue pas le risque opérationnel et réputationnel associé à un usage mal gouverné — en particulier dans les processus de crédit, fonds propres et conformité.
Vers une normalisation des pratiques de gouvernance
Les superviseurs européens ont déjà intégré des exigences spécifiques à l'apprentissage automatique dans leurs cadres. Les banques qui saisiront le potentiel d'une gouvernance modernisée — alliant validation humaine, tests automatisés et surveillance en continu — transformeront cet impératif réglementaire en avantage compétitif. En revanche, celles qui tarderont feront peser sur leurs bilans des risques accrus, susceptibles d'entraîner des interventions réglementaires plus contraignantes à terme.
