Des normes unifiées d’adoption de l’IA grâce à la collaboration du secteur
L’IA évolue rapidement. La réglementation ? Pas tant que cela. Le secteur financier fait donc ce qu’il fait toujours lorsque les choses deviennent trop complexes : il élabore ses propres règles. Les banques et les grandes entreprises technologiques collaborent désormais à l’élaboration de normes unifiées et ouvertes pour l’utilisation de l’IA. Ces normes sont importantes car, sans elles, nous nous retrouvons avec un fouillis de pratiques incohérentes qui ralentissent les choses et augmentent les risques.
Ce n’est pas la première fois que le secteur est confronté à ce problème. Citi a déjà mené avec succès une campagne de rationalisation des protocoles pour l’infrastructure cloud, comme les contrôles de conformité et de sécurité, lorsque le cloud public a commencé à prendre de l’ampleur. Cet effort a permis de créer des cadres réutilisables sur lesquels des milliers d’institutions s’appuient encore aujourd’hui. Aujourd’hui, avec l’IA qui présente une toute nouvelle catégorie de défis, c’est la même histoire : n’attendez pas les régulateurs, construisez quelque chose qui fonctionne réellement à l’échelle, maintenant.
FINOS (Fintech Open Source Foundation) est au cœur de ce projet. En octobre 2023, elle a publié les Common Cloud Controls, des normes open-source conçues avec la contribution à la fois des banques et des principaux fournisseurs de technologies. Ce cadre a unifié la manière dont les entreprises définissent et gèrent les risques dans les systèmes cloud. Le modèle a fait ses preuves et il est désormais adapté à l’IA.
Ce type de collaboration permet aux dirigeants d’aller plus vite sans augmenter les risques. Les solutions propriétaires peuvent sembler plus faciles à court terme, mais dans un espace réglementé comme les services financiers, la fragmentation est une dette opérationnelle. Les normes industrielles ouvertes réduisent l’incertitude, améliorent l’interopérabilité et permettent aux équipes de mettre à l’échelle des solutions d’IA qui n’auront pas besoin d’être retravaillées lorsque la réglementation officielle arrivera un jour.
Les dirigeants qui considèrent la conformité comme une dernière étape, ou qui attendent la clarté du gouvernement, vont prendre du retard. En revanche, les dirigeants qui s’engagent dans l’élaboration et l’adoption de ces normes ouvertes peuvent devancer les perturbations et mettre plus rapidement sur le marché des solutions d’IA fiables. Il s’agit d’aligner la croissance technologique sur des mesures de protection pratiques, quelque chose d’évolutif.
L’adoption de l’IA met l’accent sur la cybersécurité et la conformité
À mesure que les outils d’IA sont intégrés dans les opérations financières, la principale préoccupation est la sécurité. Les mauvais acteurs n’attendent pas. Ils s’adaptent plus rapidement que la réglementation. C’est pourquoi le département du Trésor des États-Unis est intervenu en publiant un rapport en mars 2024, qui met l’accent sur les cyberrisques liés à l’IA et rappelant aux institutions financières de rester alignées sur les cadres réglementaires existants.
Le message est clair : quelles que soient les avancées technologiques, la responsabilité de protéger les données, les systèmes et les obligations de conformité reste la même. L’IA ne remplace pas le besoin de gouvernance, elle l’amplifie. Des domaines tels que la confidentialité des données, la surveillance des transactions et le risque opérationnel ne disparaissent pas avec l’automatisation ; ils deviennent plus complexes et la non-conformité devient plus coûteuse.
Ce qui importe ici pour les dirigeants, c’est que la plupart des éléments nécessaires à la gestion des risques liés à l’IA existent déjà dans votre organisation. Les cadres, les contrôles et les politiques construits pour les technologies précédentes comme le cloud et l’onboarding numérique peuvent être adaptés. Ce qui importe maintenant, c’est la rapidité et l’intention. Les systèmes d’IA doivent être testés en termes de performance et de fiabilité en fonction des attentes réglementaires. Cela signifie qu’ils doivent être soumis à des tests de résistance en fonction des mêmes règles que celles que vous appliquez à la prise de décision humaine et aux logiciels existants.
Le Trésor ne crée pas encore de nouvelles règles, mais il les surveille de près. Il souhaite que les institutions agissent avec discipline, même en l’absence de nouvelles lois radicales. L’initiative précédente du Trésor, le Cloud Services Steering Group annoncé en mai 2023, a créé un langage commun et des feuilles de route sur les risques pour la migration des systèmes financiers vers le cloud. La même approche disciplinée est maintenant appliquée aux déploiements de l’IA.
Les dirigeants ne doivent pas sous-estimer l’importance de ces mesures. Si votre stratégie d’IA ne tient pas compte de la résilience, de la surveillance ou de l’auditabilité, vous ouvrez la porte à un risque juridique et à des répercussions opérationnelles potentielles. En revanche, si vous prenez la conformité au sérieux, vos programmes d’IA disposeront des bases nécessaires pour fonctionner à grande échelle sans dérailler.
Position politique sur la réglementation de l’IA et ses implications opérationnelles
À l’heure actuelle, le gouvernement fédéral américain joue un rôle passif en matière de réglementation de l’IA. Sous l’influence de l’administration Trump, une proposition a été introduite pour empêcher les États de créer leurs propres règles en matière d’IA au cours des dix prochaines années. Ce moratoire a été adopté de justesse par la Chambre des représentants le mois dernier et a franchi une étape procédurale clé au Sénat.
Cette approche envoie un message clair aux entreprises : la réglementation ne viendra pas d’en haut de sitôt. Pour l’IA, en particulier dans les secteurs réglementés comme la finance, cela crée à la fois de la liberté et des risques. D’une part, les entreprises peuvent innover sans être ralenties par des politiques concurrentes d’un État à l’autre. D’autre part, l’absence d’un cadre juridique normalisé signifie que les entreprises sont désormais responsables de l’établissement de leurs propres limites internes. Cela inclut la manière dont l’IA est testée, dont les décisions sont vérifiées et dont les biais ou les échecs sont traités.
Les dirigeants ne doivent pas considérer cette pause réglementaire comme un blanc-seing. Il s’agit d’un changement de responsabilité. Dans un climat politique fragmenté, le risque n’est pas l’absence de réglementation, mais une application inégale et un examen rétroactif. En particulier dans les services financiers, où la confiance est fondamentale, l’IA utilisée sans surveillance peut créer des responsabilités qui n’apparaissent que lorsqu’il est trop tard pour y remédier facilement.
Il y a également une implication concurrentielle. Si votre organisation peut mettre au point des systèmes d’IA fiables et explicables pendant que d’autres attendent des signaux politiques, vous serez le premier à tirer parti de la situation. À l’heure actuelle, les leaders du marché ne se contentent pas d’innover, ils définissent les normes que tous les autres suivront. En élaborant dès maintenant des modèles de gouvernance interne alignés sur des cadres tels que ceux mis en place par FINOS, vous pouvez faire évoluer l’IA plus rapidement sans sacrifier le contrôle.
Principaux enseignements pour les dirigeants
- Les normes industrielles constituent un avantage stratégique : Les banques et les grandes entreprises technologiques créent des normes de gouvernance de l’IA en source ouverte pour combler les lacunes réglementaires. Les dirigeants devraient se joindre à ces efforts ou s’y aligner très tôt pour mettre à l’échelle les solutions d’IA en toute sécurité et maintenir l’interopérabilité entre les systèmes.
- La cybersécurité et la conformité ne peuvent pas être à la traîne de l’innovation en matière d’IA : Le Trésor américain prévient que l’intégration de l’IA amplifie les cyber-risques existants dans la finance. Les dirigeants doivent donner la priorité à l’adaptation des cadres de conformité actuels pour s’assurer que les déploiements de l’IA restent dans les limites réglementaires et répondent aux attentes en matière de résilience.
- L’inaction réglementaire transfère la responsabilité au secteur privé : Avec un moratoire de 10 ans sur les lois sur l’IA au niveau de l’État qui progresse au Congrès, la gouvernance incombe aux acteurs de l’industrie. Les décideurs devraient mettre en œuvre de manière proactive des modèles de contrôle interne de l’IA afin d’éviter tout risque juridique et opérationnel à l’avenir.
