Le Conseil de stabilité financière (FSB) a publié le 15 octobre 2026 la version finale de son rapport Sound Practices for Responsible Adoption of Artificial Intelligence, qui énonce 12 pratiques pour les institutions financières du monde entier et encourage vivement les conseils d'administration et les directions à confronter leur gouvernance de l'IA, leur gestion des risques et leurs dispositifs de contrôle à cette liste. La version finale fait suite à une version consultative publiée en juin 2026, et le FSB a publié le même jour la synthèse des réponses à la consultation.
Pas une nouvelle loi, mais un étalon que les superviseurs nationaux peuvent reprendre
Le FSB coordonne les autorités financières de 24 pays et juridictions et ne fait pas appliquer les règles lui-même ; les 12 pratiques ne constituent pas non plus une norme internationale contraignante. Officiellement, il s'agit d'une boîte à outils pratique que chaque institution peut adapter à sa taille et à son profil de risque et intégrer à ses cadres existants, y compris ceux du risque cyber et du risque de tiers. Leur poids tient à qui siège autour de la table : un superviseur national peut reprendre la liste point par point lors d'une inspection ou d'un échange avec un conseil d'administration. Ne pas s'y conformer n'expose aujourd'hui à aucune amende du FSB, mais peut laisser une institution sans réponse face à son propre régulateur. Le texte se distingue aussi des lignes directrices sur la gestion des risques liés à l'IA finalisées par la MAS de Singapour le 7 octobre 2026 : il s'agit là des lignes directrices d'une seule juridiction pour ses propres institutions, alors que le texte du FSB est mondial, couvre banques, assureurs et autres institutions financières et ne fixe aucune échéance de conformité unique.
Quatre pratiques interpellent le conseil, huit gouvernent tout le cycle de vie
Le premier groupe de quatre pratiques concerne la gouvernance à l'échelle de l'institution : le conseil et la direction doivent aligner l'adoption de l'IA sur le modèle d'affaires, l'appétence au risque et la stratégie ; les rôles et responsabilités de gouvernance doivent être clairement définis ; les risques liés à l'IA doivent être intégrés au cadre existant de gestion des risques, avec une documentation effective des usages de l'IA ; et l'organisation doit continuer d'apprendre et de s'adapter à mesure que la technologie évolue. Le second groupe de huit pratiques suit chaque cas d'usage de sa conception à son retrait : évaluer systématiquement la matérialité et les risques au départ puis par la suite ; choisir des technologies adaptées à la tâche ; gouverner les données pour que les données d'entraînement, de test et de production restent exactes, complètes, fiables et sûres ; lorsque l'explicabilité est limitée, envisager des approches plus explicables ou des contrôles compensatoires ; évaluer la performance, tester et surveiller en proportion du risque ; maintenir une supervision humaine appropriée et effective ; gérer les risques cyber et informatiques liés à l'IA ; et gérer les dépendances envers des fournisseurs tiers d'IA, y compris la performance, la transparence, la qualité des données, la concentration de la chaîne d'approvisionnement et la continuité d'activité.
Le changement le plus net de la version finale : une porte d'approbation pour les agents
Selon la couverture de Reuters consacrée aux orientations finales, le FSB a renforcé la partie sur l'IA agentique après la consultation de juin : plus le risque d'un cas d'usage est élevé, plus la supervision humaine doit être intensive, et les institutions devraient définir à l'avance des déclencheurs clairs, fondés sur le risque, précisant quelles actions un agent ne peut exécuter qu'après approbation humaine. La version finale abandonne aussi l'idée de traiter l'IA comme des « employés synthétiques » et rappelle que les agents d'IA ne raisonnent pas comme des humains et peuvent interpréter des objectifs prédéfinis de manière inattendue. La logique est directe : pour des systèmes capables d'agir seuls, les limites d'autorisation ne peuvent pas rester dans des principes ; elles doivent être écrites sous forme de déclencheurs d'approbation concrets.
Quatre chantiers à ouvrir dès maintenant pour les institutions financières
D'abord, l'inventaire : enregistrer chaque cas d'usage de l'IA, ses sources de données et ses dépendances envers des tiers, et combler les lacunes de documentation que visent les pratiques. Ensuite, la gradation des agents : décider, selon la matérialité et le risque, quelles actions peuvent s'exécuter automatiquement et lesquelles exigent un feu vert humain, et inscrire les déclencheurs dans la configuration des systèmes plutôt que dans des comptes rendus de réunion. Troisièmement, la dette d'explicabilité : pour les modèles à haut risque dont le fonctionnement ne peut pas être expliqué, passer à une approche plus explicable ou ajouter des contrôles compensatoires comme la revue humaine et des limites d'exposition, avec une transparence adaptée à chaque public. Enfin, traiter le risque de tiers comme le sien : revoir régulièrement la performance des fournisseurs, la qualité de leurs données et leur concentration, et prévoir dans les contrats des clauses d'audit et de sortie. Les fournisseurs qui vendent des produits d'IA aux banques et aux assureurs doivent aussi s'y préparer : les questionnaires de due diligence des clients s'allongeront vraisemblablement le long de ces 12 pratiques, et les contrats resteront bloqués à l'étape de conformité si les questions sur la gouvernance des données et la supervision humaine restent sans réponse.
