Le Trésor américain publie un guide sur les risques liés à l'IA pour les institutions financières
Le Trésor américain a publié un cadre de gestion des risques liés à l'IA spécifiquement conçu pour le secteur des services financiers. Baptisé FS AI RMF (Financial Services AI Risk Management Framework), ce document de référence s'accompagne d'un guide pratique détaillant son application concrète. Il marque une étape importante dans la structuration de la gouvernance de l'IA au sein des institutions bancaires et financières américaines.
L'initiative répond à un besoin réel : les cadres généraux de gestion des risques technologiques — comme le NIST AI Risk Management Framework — ne suffisent pas à couvrir les spécificités du secteur financier. Les institutions opèrent dans un environnement très réglementé, confronté à des risques propres à l'IA : biais algorithmiques, manque de transparence dans les prises de décision, vulnérabilités cybernétiques et dépendances complexes entre systèmes. Les grands modèles de langage (LLM) posent un défi particulier, leur comportement étant difficile à prédire, contrairement aux logiciels traditionnels déterministes.
Le cadre a été élaboré en collaboration avec plus de 100 institutions financières et organisations professionnelles, avec la contribution de régulateurs et d'organismes techniques. Il s'articule autour de 230 objectifs de contrôle répartis selon quatre fonctions issues du NIST : gouverner, cartographier, mesurer et gérer. Une grille d'évaluation de la maturité IA classe les organisations en quatre stades d'adoption — initial, minimal, évolutif et intégré — permettant à chaque institution de calibrer les contrôles à mettre en place selon son niveau réel d'exposition.
Le FS AI RMF se positionne explicitement comme une extension sectorielle du cadre NIST, avec des contrôles et des lignes directrices adaptés aux pratiques et aux attentes réglementaires propres à la finance. Il vise à uniformiser les pratiques responsables tout en laissant aux institutions la latitude d'innover. Son adoption devrait progressivement devenir un référentiel de facto pour les régulateurs évaluant la maturité IA des acteurs du secteur.
Le secteur financier européen dispose déjà de l'AI Act et de DORA comme cadres réglementaires, mais ce framework américain pourrait servir de référence complémentaire pour les institutions financières européennes dans leur gestion des risques IA.
