Le FSB, la HKMA et la FCA durcissent la responsabilité en matière d'IA
Trois des régulateurs financiers les plus influents au monde ont publié des lignes directrices sur la gouvernance de l'IA à quelques jours d'intervalle en octobre 2026, et le message est constant : les entreprises réglementées qui déploient l'intelligence artificielle sans une surveillance solide au niveau du conseil d'administration, des cas d'usage documentés et un véritable contrôle humain prennent des risques réglementaires et opérationnels qu'elles n'ont peut-être pas entièrement intégrés. Pour les entreprises natives du secteur crypto et les équipes comptables et de conformité qui les accompagnent, ces cadres arrivent à un moment où le KYC, la surveillance des transactions et les outils de risque on-chain assistés par l'IA deviennent des équipements standards. Les éditeurs de logiciels de comptabilité crypto et les entreprises qui s'appuient sur eux devront comprendre ce que ces nouvelles attentes signifient concrètement.
Les douze pratiques saines du FSB : une base mondiale
Le 15 octobre 2026, le Conseil de stabilité financière (FSB) a publié son rapport sur la gouvernance de l'IA pour le secteur financier, s'appuyant sur une consultation publique tenue plus tôt dans l'année. Le FSB opère sous l'égide du G20 et de la Banque des règlements internationaux, ce qui confère à ses productions un poids considérable même lorsqu'elles ne sont pas formellement contraignantes, comme c'est le cas ici.
Le rapport identifie douze pratiques saines réparties en deux grandes catégories.
Gouvernance de l'IA à l'échelle de l'organisation
Le FSB attend des conseils d'administration et des dirigeants qu'ils prennent directement la responsabilité de la stratégie IA, et non qu'ils la délèguent entièrement aux équipes technologiques. Les entreprises devraient établir des structures de gouvernance formelles pour les systèmes d'IA, documenter chaque cas d'usage et en réaliser une évaluation des risques, puis réexaminer ces dispositifs à mesure que leur déploiement de l'IA évolue. Une gouvernance adéquate lorsqu'une entreprise exploitait un seul modèle étroit de détection de fraude peut devenir insuffisante dès lors qu'une IA agentique a accès aux données clients, aux rails de paiement ou aux décisions de crédit.
Gestion du cycle de vie de l'IA
La deuxième catégorie traite d'un mode de défaillance que le FSB a observé à plusieurs reprises : les entreprises considérant la gouvernance de l'IA comme un exercice ponctuel achevé au moment du déploiement. Le FSB souhaite au contraire que les entreprises maintiennent une surveillance tout au long du cycle de vie, de la conception initiale à la surveillance en production jusqu'au décommissionnement. Cela inclut la gouvernance de la qualité des données, des tests et une validation continus, ainsi que des mécanismes qui maintiennent réellement l'humain dans la boucle plutôt qu'une responsabilité nominale. Le rapport pointe spécifiquement l'IA agentique, c'est-à-dire les systèmes capables d'actions autonomes dans des environnements connectés, comme une préoccupation particulière, notant que des niveaux élevés d'autonomie « peuvent créer ou amplifier certains risques, qui peuvent se matérialiser à grande vitesse ». Les risques cités comprennent les actions non autorisées ou erronées, les violations de données, les perturbations des systèmes connectés et l'érosion d'une surveillance humaine effective.
Parce que les pratiques du FSB sont volontaires, certaines entreprises pourraient être tentées d'adopter une posture d'attente. Ce serait une erreur. Lorsque le FSB érige quelque chose en norme mondiale, les régulateurs nationaux des juridictions du G20 ont tendance à suivre avec des règles contraignantes. Les publications de la HKMA et de la FCA parues le même mois illustrent exactement ce schéma.
Le cadre ART de la HKMA : des obligations contraignantes à Hong Kong
L'Autorité monétaire de Hong Kong (HKMA) a lancé son cadre Accountability, Resilience, and Trust (ART) le jour même où le FSB publiait son rapport, et la version de la HKMA a des dents. Le cadre s'applique aux institutions supervisées par la HKMA, ce qui couvre les banques et les entités agréées opérant dans le système financier de Hong Kong, y compris celles qui traitent des actifs numériques et des activités de stablecoins.
Trois initiatives concrètes
La HKMA avance simultanément sur trois fronts. Premièrement, elle a publié des orientations de surveillance actualisées qui énoncent des obligations précises : les conseils d'administration et les dirigeants doivent approuver et superviser les stratégies IA ; chaque cas d'usage d'IA doit avoir un responsable désigné ; la surveillance humaine de chaque système est obligatoire ; et les tests et la validation doivent avoir lieu avant et pendant le déploiement. Ce ne sont pas des principes aspirationnels, ce sont des exigences de conformité.
Deuxièmement, la HKMA met en place une plateforme de partage de données d'entraînement pour l'IA afin de soutenir la gouvernance de la qualité des données dans tout le secteur. Des données d'entraînement de mauvaise qualité sont l'une des causes profondes des hallucinations et des biais des sorties d'IA, et le régulateur se positionne pour aider les entreprises à y remédier au niveau sectoriel plutôt que de laisser chaque institution résoudre le problème seule.
Troisièmement, la HKMA exploite un GenAI Sandbox++ pour tester des applications d'IA agentique dans le secteur bancaire. Les enseignements de ce bac à sable alimenteront un projet de cadre réglementaire spécifiquement dédié à la gouvernance de l'IA agentique. Pour les entreprises opérant ou prévoyant d'opérer à Hong Kong, c'est le signal le plus clair à ce jour qu'un corpus de règles dédié à l'IA agentique arrive, et que les observations du bac à sable le façonneront.
Les entreprises qui utilisent l'IA dans leurs workflows AML, KYC ou de surveillance des transactions à Hong Kong devraient considérer les orientations ART comme immédiatement pertinentes pour leur prochain cycle d'audit interne. L'obligation de nommer un responsable pour chaque cas d'usage d'IA a notamment des implications directes sur la façon dont les équipes de conformité et de technologie structurent la responsabilité.
Observations de la FCA : à quoi ressemblent les bonnes et les mauvaises pratiques
Le 19 octobre 2026, l'Autorité de conduite financière du Royaume-Uni (FCA) a publié ses conclusions sur les pratiques d'IA dans les services financiers, issues de ses initiatives AI Lab, dont le Supercharged Sandbox. L'approche de la FCA est ici de surveillance plutôt que normative, mais les implications pratiques sont réelles : les entreprises dont les pratiques d'IA ressemblent aux exemples de « mauvaises pratiques » de la FCA s'exposent à un risque plus élevé de contrôle réglementaire.
Caractéristiques des bonnes pratiques
La FCA a identifié plusieurs marqueurs d'entreprises gérant l'IA de manière responsable. Il s'agit notamment de concevoir et de tester en continu des contrôles pour remédier aux risques tels que les biais et les inexactitudes ; de restreindre les systèmes d'IA à des sources approuvées et de haute qualité pour réduire le risque d'hallucination ; d'intégrer des processus d'approbation fondés sur le risque avant le déploiement ; et d'offrir au personnel une formation significative pour soutenir une véritable surveillance humaine plutôt qu'une validation superficielle.
Caractéristiques des mauvaises pratiques
Les conclusions sur les mauvaises pratiques sont tout aussi instructives car elles décrivent des modes de défaillance que les équipes de conformité peuvent vérifier dès maintenant. La FCA a observé des dispositifs de gouvernance faibles ou réactifs, définis après l'apparition des problèmes plutôt qu'avant. Elle a également constaté une dépendance excessive au personnel pour détecter les erreurs d'IA sans que ce personnel dispose des outils, de la formation ou du temps nécessaires, combinée à des tests de modèles inadéquats. Un manque de clarté sur la personne responsable de tel ou tel système d'IA est apparu à plusieurs reprises.
Pour les entreprises réglementées au Royaume-Uni dans le secteur crypto et des actifs numériques, les observations de la FCA fonctionnent comme une liste de contrôle d'inspection officieuse. Une entreprise qui ne peut pas nommer clairement qui possède chaque système d'IA, qui l'a approuvé et quels tests ont été menés avant la mise en production est déjà à la traîne.
Règles de l'OCC sur les stablecoins : un développement connexe
Parallèlement aux publications sur la gouvernance de l'IA, l'Office of the Comptroller of the Currency (OCC) des États-Unis a publié une proposition de règle de 721 pages mettant en oeuvre le régime des stablecoins de la loi GENIUS, actuellement prévue pour entrer en vigueur le 18 janvier 2027. La règle énonce des obligations pour les émetteurs de stablecoins de paiement autorisés (PPSI), couvrant les banques nationales, les associations d'épargne fédérales, les émetteurs étrangers de stablecoins de paiement, certains émetteurs qualifiés au niveau étatique et les entités non bancaires cherchant une approbation pour émettre des stablecoins de paiement.
La question du rendement reste non résolue
Un point que la proposition de règle de l'OCC n'a pas tranché est de savoir si les intermédiaires de marché tels que les plateformes d'échange crypto peuvent verser des intérêts à leurs clients sur les stablecoins qu'ils détiennent. La loi GENIUS interdit aux émetteurs de verser un rendement aux détenteurs, mais reste silencieuse sur les intermédiaires. Le secteur bancaire a soutenu que le Congrès devrait combler cette lacune pour protéger les banques communautaires et l'activité de prêt, tandis que le secteur crypto estime que les consommateurs devraient avoir accès au rendement. Ce débat reste vif et influencera probablement la règle finale.
L'angle des stablecoins se rattache directement au fil de la gouvernance de l'IA : les émetteurs de stablecoins et les plateformes d'échange qui les distribuent sont précisément les entreprises qui utilisent l'IA à grande échelle pour le KYC, le filtrage des sanctions et la surveillance des transactions. Une entreprise qui se prépare à la conformité à la loi GENIUS tout en déployant une IA agentique dans sa pile de conformité doit satisfaire simultanément les deux ensembles d'exigences, et les obligations de gouvernance du FSB, de la HKMA et de la FCA éclaireront la manière dont les régulateurs américains aborderont finalement ce même terrain.
Implications pratiques pour les équipes comptables et de conformité
La convergence des attentes en matière de gouvernance de l'IA entre le FSB, la HKMA et la FCA crée un ensemble clair d'actions à court terme pour les professionnels de la finance et de la conformité, en particulier ceux qui travaillent dans des entreprises utilisant l'IA dans leurs opérations d'actifs numériques ou qui les conseillent.
Pour les cabinets comptables et les directeurs financiers (B2B)
Les conseils d'administration ont besoin d'une politique formelle de gouvernance de l'IA et d'une trace de son approbation. Ce document devrait cartographier chaque système d'IA utilisé, nommer un responsable, décrire l'évaluation des risques menée et définir le processus de test et de validation. Les entreprises qui utilisent un logiciel de comptabilité crypto ou un logiciel de comptabilité d'actifs numériques doté de fonctions de catégorisation, de rapprochement ou de reporting assistées par l'IA devraient confirmer si ces fonctions entrent dans le périmètre et les documenter en conséquence. Les comités d'audit demanderont de plus en plus souvent des comptes sur le risque lié à l'IA dans le cadre de leur revue des risques technologiques, et disposer dès maintenant d'un registre de gouvernance réduit la probabilité d'une course réactive plus tard.
La dimension AML et KYC est particulièrement aiguë. La surveillance des transactions pilotée par l'IA est désormais standard dans la conformité des actifs numériques, et le FSB comme la HKMA citent explicitement les workflows KYC comme un cas d'usage nécessitant une gouvernance solide. Une entreprise qui s'appuie sur un outil de filtrage IA sans validation documentée, sans responsabilité désignée ni voie d'escalade humaine porte un risque de conformité qui n'est peut-être pas encore visible sur son registre des risques.
Pour les déclarants individuels et les entreprises proches du détail (B2C)
Si vous utilisez une plateforme ou un service qui applique l'IA pour classer vos transactions crypto, signaler des activités suspectes ou préparer des déclarations fiscales, vous disposez désormais d'une base raisonnable pour demander au fournisseur quelle gouvernance sous-tend cette IA. Les conclusions de la FCA suggèrent que certaines entreprises du marché ne testent pas adéquatement les modèles qu'elles déploient. Les erreurs dans la catégorisation des transactions générée par l'IA peuvent se répercuter directement sur des déclarations fiscales erronées, et la responsabilité d'une déclaration mal remplie incombe au contribuable, pas à l'éditeur du logiciel. Connaître la posture de gouvernance de votre outil n'est plus une préoccupation de niche.
Les entreprises opérant dans l'UE devraient également noter que ces développements s'ajoutent aux obligations existantes de MiCAR et aux orientations AML/CFT à venir de l'AMLA. Pour comprendre comment ces cadres interagissent avec les exigences de conformité opérationnelle, consultez notre couverture de la fin de la période transitoire de MiCAR et les orientations AML/CFT de l'AMLA pour les CASP. Du côté des stablecoins, la proposition de règle de l'OCC mettant en oeuvre la loi GENIUS s'inscrit dans un schéma mondial plus large examiné dans notre article sur la surveillance réglementaire des stablecoins et la dynamique du lobbying.
Questions fréquentes
Les douze pratiques saines du FSB en matière d'IA sont-elles juridiquement contraignantes ?
Non. Le FSB publie des orientations et des recommandations plutôt que des règles applicables. Toutefois, les productions du FSB ont un poids considérable auprès des régulateurs nationaux des juridictions du G20, et nombre de ses recommandations finissent par être intégrées dans des règles nationales ou régionales contraignantes. Les traiter comme aspirationnelles plutôt que directionnelles serait une erreur stratégique.
Quelles entreprises sont directement soumises au cadre ART de la HKMA ?
Le cadre ART s'applique aux institutions supervisées par l'Autorité monétaire de Hong Kong. Cela couvre les banques et les institutions financières agréées opérant à Hong Kong, y compris celles impliquées dans des activités d'actifs numériques sous la supervision de la HKMA. Si votre entreprise détient une autorisation ou une licence de la HKMA, vous devriez traiter les orientations de surveillance actualisées comme une obligation de conformité plutôt que comme des orientations volontaires.
Que signifie la revue de l'IA de la FCA pour les entreprises crypto britanniques ?
La FCA a publié ses conclusions sous forme d'observations de surveillance plutôt que de nouvelles règles, mais elles signalent effectivement ce que la FCA considère comme des pratiques adéquates et inadéquates. Les entreprises d'actifs crypto enregistrées au Royaume-Uni qui utilisent l'IA dans des fonctions orientées client ou de conformité devraient comparer leurs dispositifs internes aux marqueurs de bonnes pratiques de la FCA : responsabilité désignée du système, tests avant déploiement, contrôles de qualité des données et véritable formation du personnel à la surveillance humaine.
Quel est le lien entre la gouvernance de l'IA et la conformité des logiciels de comptabilité crypto ?
De nombreux outils de tenue de livres crypto et de logiciels de comptabilité d'actifs numériques intègrent désormais l'IA pour la classification des transactions, le rapprochement ou la détection d'anomalies. Selon les cadres émergents du FSB, de la HKMA et de la FCA, les entreprises réglementées qui utilisent ces outils doivent comprendre les composants d'IA, les documenter comme cas d'usage, évaluer les risques associés et garantir une revue humaine des sorties. Les entreprises ne peuvent pas externaliser vers un fournisseur la responsabilité des sorties générées par l'IA.
Que doivent faire les entreprises dès maintenant avant l'échéance des stablecoins de la loi GENIUS ?
Les entreprises entrant dans le périmètre de la proposition de règle de l'OCC mettant en oeuvre la loi GENIUS, qui vise une date d'entrée en vigueur en janvier 2027, devraient commencer à examiner dès maintenant le projet de 721 pages. Les principales étapes à court terme consistent à déterminer si l'entreprise est admissible comme émetteur de stablecoins de paiement autorisé ou comme intermédiaire couvert, à comparer les outils de conformité existants pilotés par l'IA aux nouvelles attentes de gouvernance, et à suivre le débat non résolu sur le rendement des stablecoins, car la règle finale sur ce point pourrait affecter à la fois la conception des produits et le traitement comptable.
Source : Elliptic