L’OCC publie un guide pour examiner les usages de l’IA dans les banques
Le guide du 4 novembre aide les examinateurs de l’OCC à distinguer une aide à la rédaction d’un agent capable de déclencher un paiement.
L’Office of the Comptroller of the Currency a publié le 4 novembre un guide pour aider ses examinateurs à évaluer les usages de l’IA dans les banques qu’il supervise. Le bulletin 2026-54 précise la portée du document. Il donne aux examinateurs des repères pour adapter leurs contrôles. Il ne fixe pas de nouvelles exigences opposables aux établissements.
Le contrôle part de ce que l’agent peut faire
Le guide de supervision cite des usages qui vont de la rédaction interne au traitement des paiements. Pour apprécier le risque, il demande aux examinateurs de regarder les conséquences d’une action, les droits accordés à l’agent et la capacité d’une personne à intervenir. Le nombre de paramètres ou la sophistication du modèle ne suffisent pas à mesurer ce risque.
L’exemple du paiement rend cette distinction concrète. Un outil simple qui peut lancer une transaction peut présenter un risque plus élevé qu’un modèle complexe limité à des brouillons internes. Le guide invite aussi à regarder si une action peut être annulée avant qu’elle produise un préjudice. Une proposition de paiement qui attend une validation et un virement déjà envoyé ne se contrôlent pas au même moment.
Approuver une action ou surveiller son exécution
Le guide distingue la validation humaine avant une action de la surveillance d’un système qui peut agir seul. Dans le deuxième cas, la personne qui surveille doit disposer du temps et des moyens nécessaires pour interrompre l’action. Dans le premier, un clic de validation a peu de valeur si la personne ne comprend pas ce qu’elle approuve ou ne peut pas refuser.
Le document évoque la possibilité de suspendre le système et de poursuivre un service important par un autre moyen. Il cite aussi la documentation et les traces d’activité qui permettent de retrouver les actions et les approbations après un incident. Ces éléments aident à vérifier que le contrôle fonctionne en pratique.
Quatre catégories données à titre d’exemple
L’OCC illustre son approche avec quatre catégories de risque. À une extrémité, un outil de productivité interne sans accès aux données financières ou clients relève de la catégorie la plus basse dans l’exemple. À l’autre, un agent autonome qui effectue des paiements pour des clients relève de la catégorie critique. Le guide situe entre les deux des usages comme le résumé de documents ou l’aide à une décision de crédit. Le classement dépend des conditions d’utilisation.
L’OCC demande à ses examinateurs d’adapter leur travail à la taille et au profil de risque de la banque. Il précise que les risques liés à l’IA s’intègrent aux catégories existantes comme le crédit ou les opérations. Dans ce document, l’expression anglaise super intelligence reprend la terminologie administrative américaine pour l’IA. Elle ne désigne pas un niveau de capacité que les banques auraient à prouver.
Le périmètre du guide
Le bulletin concerne notamment les banques à charte nationale et certaines entités fédérales. L’OCC indique que les banques n’ont pas à utiliser ce guide pour conduire leur propre évaluation. Il s’agit d’un texte destiné à ses examinateurs. Le rapport du FSB sur les pratiques de supervision de l’IA en finance relève d’une autre démarche et présente des pratiques à l’échelle internationale.
À la lecture du guide, je commencerais par repérer le moment où une suggestion peut devenir une décision ou un mouvement d’argent. Ça permet de poser une question concrète à l’équipe qui contrôle l’agent. Qui peut encore intervenir à ce moment-là et sur quelles informations peut-elle s’appuyer ?