Comment la régulation de l'IA fonctionne réellement sur les marchés fintech

Un même modèle de credit scoring, vendu par le même fournisseur, déployé par trois banques différentes, déclenche trois régimes réglementaires complètement différents. Dans l'UE, il est « à haut risque » au titre de l'AI Act et exige une évaluation de conformité avant même de toucher un client. Aux États-Unis, il relève de la directive SR 11-7 de la Réserve fédérale et impose une validation continue du modèle. À Singapour, il est évalué à l'aune des principes FEAT de la MAS, un ensemble d'attentes de soft law plutôt que de règles contraignantes. Même algorithme, trois corpus de règles, trois volumes de paperasse et de responsabilité différents. Si vous ne savez pas quel régime gouverne votre déploiement, vous l'apprendrez de la manière la plus coûteuse : lors d'un audit, d'une enquête réglementaire, ou pire, d'un échec public.

Cette leçon cartographie les trois grands régimes pour que vous puissiez classer votre propre cas d'usage avant de construire.

Pourquoi le credit scoring est le cas test idéal

Le credit scoring (décider qui obtient un prêt, une carte de crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →édit ou un crédit immobilier, et à quel prix) se situe au cœur de presque tous les cadres réglementaires sur l'IA. Il affecte directement l'inclusion financière, il a une longue histoire de contentieux pour discrimination, et il est facile à auditer sur les biais (on peut vérifier les taux d'acceptation par groupe démographique). Cela en fait un prisme utile : si vous comprenez comment les régulateurs traitent le credit scoring, vous comprenez la logique de l'ensemble du régime.

L'AI Act européen : niveaux de risque et obligations contraignantes

L'AI Act européen (formellement en vigueur depuis août 2024, avec des obligations échelonnées jusqu'en 2026-2027) classe les systèmes d'IA en quatre niveaux de risque : inacceptable, haut risque, risque limité et risque minimal.

Le credit scoring et l'évaluation de la solvabilité sont explicitement nommés comme cas d'usage à haut risque (Annexe III). Cela déclenche des obligations concrètes avant le déploiement :

• Un système documenté de gestion des risques couvrant tout le cycle de vie du modèle.
• Des exigences de data governancedata governanceLa data governance est l'ensemble des politiques, rôles et processus qui garantissent que les données sont exactes, sécurisées, bien définies et utilisées de façon responsable dans toute l'organisation.Voir la définition complète → : les données d'entraînement doivent être vérifiées quant aux biais et à la représentativité.
• Une documentation technique et une journalisation automatique (audit trails) suffisantes pour qu'un régulateur puisse reconstituer une décision.
• Une supervision humaine : une personne doit pouvoir réexaminer ou outrepasser la sortie du modèle.
• Une évaluation de conformité (une vérification formelle que le système satisfait ces exigences) avant la mise sur le marché.

Les sanctions en cas de non-conformité peuvent atteindre 7 % du chiffre d'affaires annuel mondial pour les violations les plus graves (pratiques interdites), avec des plafonds plus bas pour les autres manquements, chiffres fixés dans le règlement lui-même en 2024.

La logique européenne est ex ante et prescriptive : définir les règles dans la loi, imposer la conformité avant le lancement.

SR 11-7 aux États-Unis : pas de loi spécifique à l'IA, juste du model risk management

Les États-Unis n'ont pas de loi fédérale unique sur l'IA comparable à l'AI Act européen. Pour les banques, le document opérant reste SR 11-7, une lettre de supervision de 2011 de la Réserve fédérale (rejointe par l'OCC, l'Office of the Comptroller of the Currency) sur le « Model Risk Management ».

SR 11-7 est antérieure au machine learning moderne mais s'est révélée suffisamment souple pour que les régulateurs l'appliquent aujourd'hui aux modèles de crédit fondés sur l'IA. Elle exige :

• Une validation indépendante : une équipe distincte des développeurs du modèle doit le tester avant et pendant son utilisation.
• Un monitoring continu : la performance doit être suivie dans le temps (un modèle qui obtenait de bons résultats en 2023 peut dériver d'ici 2026 à mesure que les conditions économiques changent).
• La documentation des hypothèses et des limites : ce que le modèle ne peut pas faire compte autant que ce qu'il peut faire.

Par ailleurs, les modèles de crédit doivent aussi respecter l'Equal Credit Opportunity Act (ECOA) et le Fair Housing Act, appliqués par le CFPB (Consumer Financial Protection Bureau) et d'autres agences, qui interdisent la discrimination sur des caractéristiques protégées, que l'IA soit impliquée ou non.

La logique américaine est fondée sur des principes et sectorielle : pas de texte dédié à l'IA, mais des cadres de supervision existants et le droit de la non-discrimination étirés pour couvrir l'IA. Cela signifie que les obligations dépendent fortement de *qui* vous êtes (une banque supervisée par la Fed n'est pas dans la même situation qu'un prêteur fintech qui ne l'est pas).

MAS FEAT : de la soft law, mais pas optionnelle en pratique

L'autorité monétaire de Singapour (MAS) a publié les principes FEAT (Fairness, Ethics, Accountability, Transparency) à partir de 2018, aux côtés de l'initiative Veritas qui aide les banques à les opérationnaliser.

FEAT n'est pas une loi contraignante comme l'est l'AI Act européen. C'est de la guidance de supervision : la MAS attend des institutions qu'elles démontrent leur alignement avec FEAT, et les examinateurs poseront des questions à ce sujet, mais aucun barème de sanctions légales n'est attaché à FEAT en tant que tel.

Attentes principales pour un déploiement de credit scoring :

• Fairness : les décisions ne doivent pas désavantager systématiquement des groupes protégés sans justification.
• Ethics : l'usage de l'IA doit s'aligner sur les standards éthiques plus larges de l'institution, pas seulement sur les minimums légaux.
• Accountability : la direction générale, et pas seulement les data scientists, est propriétaire des résultats.
• Transparency : les clients doivent pouvoir comprendre, à un niveau raisonnable, pourquoi une décision a été prise.

La logique singapourienne est fondée sur des principes et collaborative : régulateur et industrie co-construisent les attentes (Veritas inclut des banques comme DBS et des consortiums sectoriels), puis la supervision vérifie l'alignement lors des examens réguliers plutôt que par une certification unique.

Côte à côte : même modèle, trois postures

L'enseignement pratique : une fintech opérant dans les trois juridictions ne peut pas constituer un seul dossier de conformité et le réutiliser. L'UE veut un certificat avant le lancement. Les États-Unis veulent une fonction de validation continue. Singapour veut que vous puissiez dérouler vos tests d'équité devant des examinateurs à la demande.

Garde-fousGarde-fousRègles et contrôles qui maintiennent un système d'IA dans des limites sûres, légales et conformes à la marque, en bloquant les sorties et actions hors cadre.Voir la définition complète → à mettre en place avant le déploiement, quelle que soit la juridiction

Même sans connaître chaque nuance locale, quelques vérifications se transposent bien aux trois régimes :

1. Test d'impact disparate. Comparez les taux d'acceptation et les taux d'intérêt moyens entre groupes démographiques (là où la collecte de ces données est légalement permise ; notez que l'UE et les États-Unis diffèrent sur ce point). Un seuil couramment cité dans la pratique américaine du fair lending est la « règle des quatre cinquièmes » (un taux d'acceptation inférieur à 80 % de celui du groupe le plus élevé déclenche un réexamen), une règle empirique d'application, pas une garantie de légalité.
2. Couche d'explicabilité. Des outils comme SHAP (SHapley Additive exPlanations) permettent de générer un code motif pour chaque décision, utile simultanément pour les obligations de transparence de l'article 13 européen, les exigences américaines de notification d'adverse action au titre de l'ECOA, et les attentes de transparence de la MAS.
3. Point de contrôle human-in-the-loop. Construisez une étape de revue manuelle pour les cas limites et les refus proches du seuil, ce qui satisfait les règles européennes de supervision humaine et donne à votre équipe de validation américaine un point d'audit.
4. Monitoring de la dérive. Suivez le population stability index du modèle (une métrique courante mesurant l'ampleur du déplacement de la distribution des données d'entrée) sur un rythme mensuel, aligné sur l'attente de monitoring continu de SR 11-7.

Un contrôle minimal de dérive en pratique :

# Contrôle simplifié du population stability index (PSI)
import numpy as np

def psi(expected, actual, bins=10):
    e_perc, _ = np.histogram(expected, bins=bins)
    a_perc, _ = np.histogram(actual, bins=bins)
    e_perc = e_perc / len(expected) + 1e-6
    a_perc = a_perc / len(actual) + 1e-6
    return np.sum((a_perc - e_perc) * np.log(a_perc / e_perc))

# PSI < 0.1 : stable | 0.1-0.25 : dérive modérée | > 0.25 : dérive significative, réexamen du réentraînement

🎬 [VIDEO: "The EU AI Act Explained" - youtube.com/@EUAIAct - un parcours des niveaux de risque et du fonctionnement de la classification à haut risque, utile en complément visuel de cette section]

Points clés

• Le même modèle de credit scoring fait face à trois régimes distincts : l'AI Act européen (contraignant, certification avant lancement), SR 11-7 plus ECOA aux États-Unis (validation supervisée, droit de la non-discrimination), MAS FEAT (soft law, attentes d'équité vérifiées lors des examens).
• Classez d'abord votre cas d'usage : dans l'UE, demandez s'il est « à haut risque » au titre de l'Annexe III ; aux États-Unis, demandez quel superviseur vous gouverne et si l'ECOA s'applique ; à Singapour, demandez si la MAS attend une démonstration FEAT.
• Construisez des garde-fous qui satisfont plusieurs régimes à la fois : test d'impact disparate, couche d'explicabilité (par ex. SHAP), point de contrôle de revue humaine et monitoring continu de la dérive.
• La posture réglementaire diffère par nature, pas seulement par degré : l'UE légifère les règles à l'avance, les États-Unis supervisent via des cadres existants, Singapour co-construit des principes et vérifie l'alignement lors des examens.
• Rien de tout ceci ne constitue un conseil juridique ; consultez un conseil qualifié dans chaque juridiction avant tout déploiement, les réglementations évoluent vite jusqu'en 2026 et au-delà.