Le 18 décembre 2024, l'Autorité fédérale de surveillance des marchés financiers (FINMA) a publié la communication FINMA sur la surveillance 08/2024 relative à la gouvernance et à la gestion des risques lors de l'utilisation de l'intelligence artificielle. Il n'existe pas en Suisse de loi sur les marchés financiers spécifique à l'IA. La FINMA s'appuie sur les exigences existantes, neutres sur le plan technologique et fondées sur des principes, relatives à une gouvernance efficace et à une gestion des risques adéquate.
Les communications sur la surveillance ne sont pas des ordonnances. Elles montrent quels risques la FINMA observe et ce qu'elle attend et examine chez les établissements assujettis. Cette communication ne s'applique pas aux entreprises en dehors du secteur financier. Toutefois, quiconque fournit des solutions d'IA à des banques, des assurances ou des gestionnaires de fortune devrait la connaître, car les établissements transmettent ces attentes à leurs fournisseurs.
Message central
Les établissements qui utilisent l'IA doivent prendre activement en compte les répercussions sur leur profil de risque et adapter en conséquence leur gouvernance, leur gestion des risques et leurs systèmes de contrôle. Les critères déterminants sont la taille, la complexité, la structure et le profil de risque de l'établissement, l'importance de chaque application concernée et la probabilité de survenance des risques.
Risques observés par la FINMA
Selon la FINMA, les risques résident principalement dans :
- les risques opérationnels, notamment les risques de modèle tels que le manque de robustesse, d'exactitude, les biais et le manque d'explicabilité ;
- les risques informatiques et cyber ;
- la dépendance croissante envers des tiers (matériel, modèles, cloud) dans un marché concentré ;
- les risques juridiques et de réputation ;
- les responsabilités peu claires, lorsque les systèmes sont développés de manière décentralisée ou sont difficilement explicables.
Ce que la FINMA examine dans le cadre de la surveillance (sélection)
Gouvernance
Pilotage centralisé, responsabilités clairement définies pour le développement, la mise en œuvre, la surveillance et l'utilisation, exigences en matière de tests et de documentation ainsi que de formations. Pour les solutions externalisées, s'ajoutent : tests et contrôles, règles contractuelles relatives à la responsabilité et à la responsabilité civile, ainsi qu'une vérification que le prestataire dispose des compétences nécessaires.
Inventaire et classification des risques
Une définition suffisamment large de l'IA, un inventaire complet et des critères uniformes permettant d'identifier les applications importantes nécessitant une attention particulière. La FINMA a constaté que certains établissements définissent l'IA de manière si restrictive que seule une partie des applications et des risques est couverte.
Qualité des données
Exigences et contrôles portant sur l'exhaustivité, l'exactitude et l'intégrité des données ainsi que sur leur disponibilité et leur accès. Pour les solutions achetées, les établissements n'ont souvent aucune influence sur les données d'entraînement ; ce risque doit être connu et maîtrisé.
Tests et surveillance continue
Tests portant sur l'exactitude, la robustesse, la stabilité et, le cas échéant, les biais ; indicateurs de performance définis au préalable ; détection des changements dans les données (dérive des données) ; analyse des cas dans lesquels les résultats ont été corrigés manuellement ou n'ont pas été utilisés ; réflexions concernant les solutions de repli en cas de défaillance (fallback).
Documentation et explicabilité
Pour les applications importantes : finalité, choix des données, choix du modèle, mesures de performance, hypothèses, limites, tests, contrôles et solutions de repli. Pour les décisions importantes, les résultats doivent être traçables et pouvoir être justifiés de manière plausible.
Contrôle indépendant
Pour les applications importantes : une évaluation objective, compétente et impartiale visant à déterminer si l'application est appropriée et fiable, réalisée par des personnes n'ayant pas participé à son développement.
Ce que les établissements financiers veulent savoir de leurs fournisseurs
Même si vous n'êtes pas vous-même assujetti à la surveillance de la FINMA, les établissements financiers, en tant que clients, posent généralement les questions suivantes :
- Existe-t-il un inventaire de l'IA avec une classification des risques ?
- Qui est responsable du modèle, des données et de l'exploitation ?
- Quels tests et seuils de surveillance sont documentés ?
- Comment les risques liés aux fournisseurs tiers (par ex. LLM cloud, API) sont-ils couverts sur le plan contractuel et opérationnel ?
- Les résultats peuvent-ils être expliqués à la clientèle, à la société d'audit et à l'autorité de surveillance ?
Les lois sur les marchés financiers et les circulaires applicables à l'établissement concerné, par exemple en matière d'externalisation et de risques opérationnels, demeurent déterminantes. La communication sur la surveillance montre comment la FINMA applique ces exigences dans le contexte de l'utilisation de l'IA.