Pratiques IA du FSB et LBC agentique dans la crypto
Le 15 octobre 2026, le Conseil de stabilité financière (FSB) a publié son rapport final sur les pratiques saines pour une adoption responsable de l'IA dans les services financiers. Les 12 pratiques sont non contraignantes, mais le FSB encourage explicitement les conseils d'administration et la direction générale à s'y référer pour bâtir leurs cadres de gouvernance, de gestion des risques et de contrôle de l'IA. Pour les équipes conformité et risque de la crypto, le calendrier compte : l'IA agentique déplace déjà des fonds on-chain, et le rapport du FSB cite lui-même la LBC, les contrôles KYC et les enquêtes sur la criminalité financière parmi les domaines de déploiement effectifs. La question centrale que soulève le rapport, sans y répondre entièrement, est ce qu'une entreprise doit être en mesure de démontrer lorsque l'IA fait partie de ses contrôles, et ce qu'elle doit exiger des fournisseurs de cette IA.
Une norme publiée en huit principes pour les solutions agentiques de risque on-chain, développée par Elliptic, répond précisément à cette lacune. Lue conjointement, les deux documents pointent dans la même direction. Cet article expose leurs points d'alignement, ce que chacun exige en pratique, et ce que les équipes conformité et les directeurs financiers doivent désormais demander à chaque fournisseur d'IA de leur chaîne d'approvisionnement.
Ce que le FSB exige réellement
Le FSB est l'organisme international qui coordonne les régulateurs financiers et les normalisateurs pour les membres du G20. Ses pratiques saines en matière d'IA ont du poids même sans force contraignante, car les superviseurs nationaux s'appuient sur les travaux du FSB pour concevoir leurs propres règles. Les entreprises qui démontrent leur alignement avec les 12 pratiques anticipent, de fait, la trajectoire réglementaire dans chaque grande juridiction.
Gouvernance et responsabilité
Le FSB commence par la gouvernance. Les conseils d'administration et la direction générale sont censés aligner l'adoption de l'IA sur la stratégie globale et l'appétit pour le risque, établir des rôles et responsabilités clairs, et maintenir des cadres de risque documentant chaque cas d'usage de l'IA. Le principe central est que la responsabilité juridique et réglementaire reste celle de l'institution, et non celle du fournisseur d'IA. Aucun score de modèle ni action d'agent ne transfère cette responsabilité à un tiers.
Qualité des données et explicabilité
Le FSB demande aux institutions de veiller à ce que les données alimentant les systèmes d'IA soient exactes, complètes, cohérentes, fiables et sécurisées. Il demande aussi aux entreprises de comprendre l'explicabilité des modèles qu'elles déploient, et d'adopter des approches plus transparentes ou de mettre en place des contrôles compensatoires lorsqu'un modèle ne peut expliquer ses résultats. Dans les contextes LBC et KYC, il ne s'agit pas d'une préoccupation théorique : une alerte inexplicable ne peut être défendue devant un régulateur, et un faux négatif non traçable ne peut être corrigé.
Suivi de la performance et risque lié aux tiers
Le FSB attend que la performance soit évaluée par des tests et un suivi continu, non seulement au déploiement mais de manière permanente. Il demande également aux institutions de gérer le risque lié à l'IA de tiers, y compris le risque de concentration et la continuité d'activité. Le rapport note que les pratiques propres à l'IA agentique restent naissantes au niveau des superviseurs. Cette lacune est significative, car les systèmes agentiques prennent des décisions séquentielles et autonomes, et les approches classiques de validation des modèles n'ont pas été conçues pour cette architecture.
Là où la norme en huit principes comble la lacune
La norme Elliptic traduit les attentes institutionnelles du FSB en critères qu'un acheteur peut tester auprès de tout fournisseur. Ses huit principes couvrent la couverture des données, la transparence, la validation, la reprise en main humaine, l'indépendance vis-à-vis du modèle de fondation, la formation et la mémoire institutionnelle. Chacun correspond à une ou plusieurs pratiques du FSB, et ensemble ils fournissent la liste d'évaluation des fournisseurs que le FSB ne précise pas. Pour les entreprises qui s'appuient sur une infrastructure de reporting de conformité crypto, ce type d'évaluation structurée devient une obligation au niveau du conseil, et non une simple préférence opérationnelle.
Couverture des données et attribution (principes 1 et 2)
Le principe 1 de la norme fixe un seuil de couverture d'au moins 99 % des transactions transférant de la valeur, avec une attribution à haute confiance sur l'ensemble du jeu de données et des résultats cohérents pour des entrées identiques. Lorsque la couverture est incomplète, la lacune doit être signalée explicitement, et non absorbée dans un résultat confiant. Le principe 2 exige la transparence : les résultats doivent être disponibles sous forme de verdict lisible par machine, de résumé en langage clair et de données structurées sous-jacentes, afin que les utilisateurs comme les régulateurs puissent reproduire les conclusions. Cela répond directement à l'exigence d'explicabilité du FSB et donne au personnel conformité une base pour constituer des pistes d'audit qui satisferont l'examen des superviseurs.
Validation après déploiement (principe 2, suite)
La norme exige que la validation se poursuive après le déploiement, afin de détecter la dérive des modèles et la dégradation des performances à mesure que les modèles sous-jacents sont réentraînés. C'est le domaine où les principes abstraits de gouvernance de l'IA échouent le plus souvent en pratique. Un modèle qui réussit les tests initiaux peut se détériorer discrètement à mesure que les typologies on-chain évoluent. Le suivi continu n'est pas facultatif dans un environnement où l'IA agentique traite de vraies transactions en temps réel. Les équipes qui examinent leur pile logicielle de comptabilité des actifs numériques doivent demander directement aux fournisseurs comment ils détectent et signalent la dérive après déploiement.
Supervision humaine et contrôles configurables par l'utilisateur (principes 5 et 6)
Le principe 5 laisse les décisions à conséquences à l'entreprise. Les utilisateurs fixent les seuils d'appétit pour le risque, définissent la logique d'escalade, alignent les résultats sur leurs propres procédures internes, passent outre les déterminations de l'agent et précisent ce qui constitue une correspondance. Le principe 6 considère la supervision humaine comme non négociable et précise ce dont la personne responsable d'un agent a réellement besoin pour exercer cette supervision en pratique, notamment l'accès aux pistes de raisonnement, et pas seulement aux scores.
Le principe de gouvernance du FSB porte le même message : la responsabilité reste celle de l'institution. La norme le rend opérationnel en définissant l'architecture de contrôle par laquelle cette responsabilité peut être exercée et démontrée. Les entreprises qui évaluent des logiciels de tenue de comptes crypto ou des outils LBC plus larges doivent traiter les réponses des fournisseurs à ces deux principes comme un test de seuil, et non comme un facteur de différenciation.
Mémoire institutionnelle et disponibilité (principe 7)
Le principe 7 traite de deux risques souvent négligés par les cadres de gouvernance. Premièrement, les pistes d'audit et les enregistrements des changements doivent survivre au renouvellement du personnel. La mémoire institutionnelle expliquant pourquoi un seuil a été fixé, ou pourquoi une détermination d'agent a été annulée, ne peut exister uniquement dans la tête de quelqu'un. Deuxièmement, la disponibilité doit être démontrée au-delà de 99,9 %, mesurée et déclarée plutôt qu'affirmée, avec un repli défini pour les transactions en cours. L'attente de continuité d'activité du FSB correspond directement à ces deux exigences.
Indépendance vis-à-vis du modèle de fondation (principe 4)
Le principe 4 réduit la dépendance à un modèle unique en exigeant que les systèmes agentiques soient indépendants du modèle de fondation. Cela diminue l'exposition à la défaillance ou à la dépréciation d'un seul modèle, soutient les obligations réglementaires multi-juridictionnelles qui peuvent imposer des exigences différentes sur l'usage des modèles, et permet des modèles privés ou personnalisés lorsque des données sensibles ne doivent pas quitter l'environnement de l'entreprise. Le FSB demande aux institutions de gérer le risque de concentration dans les relations d'IA avec des tiers. L'enfermement au niveau du modèle est l'une des formes les plus sous-estimées de cette concentration.
Formation (principe 8)
Le principe 8 couvre le volet humain de la gouvernance de l'IA agentique : une formation qui traite de la sécurité de l'IA, de la compréhension des typologies et de la manière d'interroger le raisonnement d'un agent plutôt que d'accepter ou d'annuler simplement un score. Le FSB insiste tout autant sur une supervision humaine efficace, mais l'efficacité exige des personnes qui comprennent ce qu'elles supervisent. L'Elliptic Institute a lancé le 20 octobre 2026 une formation gratuite de Certified AI On-Chain Risk Practitioner, couvrant la responsabilité, les mécanismes de supervision et la manière de questionner le raisonnement d'un agent. Elle est à rythme libre, dure 90 minutes et délivre un certificat à l'issue.
Implications pratiques pour les équipes conformité et les directeurs financiers
Le FSB et la norme en huit principes ne sont pas des cadres concurrents. Le FSB fixe l'attente des superviseurs au niveau institutionnel ; la norme la traduit en questions à poser à un fournisseur, avec des critères testables. Utilisés ensemble, ils donnent aux responsables conformité et aux directeurs financiers une base structurée pour la due diligence des fournisseurs, l'audit interne et le reporting au conseil sur le risque lié à l'IA.
Ce qu'il faut demander dès maintenant à chaque fournisseur d'IA
Compte tenu de l'alignement entre les deux cadres, voici les questions minimales que chaque entreprise devrait poser à tout fournisseur d'IA intervenant dans ses contrôles LBC, KYC ou de criminalité financière :
- Quel est votre taux de couverture des transactions, et comment signalez-vous les lacunes plutôt que de les masquer dans les résultats ?
- Pouvez-vous fournir des résultats sous forme lisible par machine, accompagnés d'une explication en langage clair et des données structurées sous-jacentes ?
- Comment détectez-vous et signalez-vous la dérive des modèles après déploiement ?
- Quels contrôles permettent à notre équipe de fixer des seuils, de définir la logique d'escalade et d'annuler les déterminations de l'agent sans intervention du fournisseur ?
- Quel est votre SLA de disponibilité documenté, comment est-il mesuré, et quel est le repli pour les transactions en cours lors d'une panne ?
- Vos systèmes agentiques sont-ils liés à un seul modèle de fondation, ou peuvent-ils fonctionner sur plusieurs modèles, y compris en déploiement privé ?
- Quelle formation proposez-vous au personnel qui supervisera les résultats des agents ?
Les entreprises qui ont déjà examiné leur exposition au durcissement des règles de responsabilité IA du FSB, de la HKMA et de la FCA reconnaîtront dans ces questions la direction que prennent les superviseurs internationaux. Les équipes qui ont aussi évalué comment les agents IA peuvent atteindre directement les mixeurs crypto comprendront pourquoi l'adéquation des contrôles agentiques n'est plus une question de gouvernance abstraite.
Implications comptables et d'audit
Pour les cabinets comptables et les directeurs financiers accompagnant des clients en actifs numériques, l'accent mis par le FSB sur la documentation et les pistes d'audit a une dimension bilancielle directe. Lorsque des agents IA interviennent dans la surveillance des transactions, les enregistrements qu'ils génèrent font partie de la base probante de la validation LBC. Si ces enregistrements ne peuvent être reproduits, expliqués ou attribués à une personne responsable nommée, l'équipe comptable fait face à une déficience de contrôle que les auditeurs externes et les régulateurs identifieront tous deux.
Les entreprises qui utilisent un logiciel de comptabilité crypto pour gérer des portefeuilles d'actifs numériques doivent désormais évaluer si les composants d'IA de ce logiciel, le cas échéant, peuvent satisfaire aux normes de qualité des données et d'explicabilité du FSB. Si un outil produit un score de risque ou une détermination de conformité que l'entreprise ne peut expliquer à un régulateur, cet outil crée une responsabilité plutôt que de la réduire. Les contrats fournisseurs doivent être revus pour vérifier les engagements explicites sur les taux de couverture, l'explicabilité, la disponibilité et le suivi après déploiement, et l'absence de tels engagements doit être considérée comme un signal d'alarme dans toute décision de renouvellement ou d'achat.
Le contexte réglementaire global
Les pratiques saines du FSB en matière d'IA n'existent pas isolément. Le Comité de Bâle sur le contrôle bancaire s'est également penché sur l'IA dans la surveillance des transactions. Les régulateurs nationaux de l'ensemble des juridictions du G20 publient leurs propres attentes de gouvernance de l'IA pour les institutions financières, et plusieurs se réfèrent déjà aux travaux du FSB comme référence de base. Les entreprises qui bâtissent dès maintenant leurs cadres internes, ancrés à la fois dans les pratiques du FSB et dans une norme fournisseur testable, seront en avance sur le cycle de supervision plutôt qu'en réaction.
La convergence entre un normalisateur mondial et un ensemble de principes élaborés par des praticiens est, en soi, un signal. Lorsque des organismes de régulation et des praticiens du secteur arrivent indépendamment aux mêmes exigences de gouvernance, ces exigences sont proches de devenir le standard minimal acceptable. Pour les responsables conformité, la conclusion pratique est simple : documentez votre usage de l'IA, démontrez votre supervision, testez vos fournisseurs selon des critères publiés, et assurez-vous qu'une personne nommée et de haut niveau est responsable de chaque action d'agent sur laquelle votre entreprise s'appuie.
Source : Elliptic
Questions fréquentes
Les 12 pratiques saines du FSB en matière d'IA sont-elles juridiquement contraignantes ?
Non. Le FSB les a publiées le 15 octobre 2026 comme pratiques saines volontaires. Toutefois, les superviseurs nationaux du G20 utilisent régulièrement les travaux du FSB comme référence pour concevoir des règles contraignantes ; les entreprises qui s'alignent dès maintenant sur les 12 pratiques anticipent donc la trajectoire réglementaire dans la plupart des grandes juridictions.
Que dit précisément le FSB sur l'IA agentique ?
Le FSB reconnaît que les pratiques propres à l'IA agentique restent naissantes au niveau des superviseurs. C'est cette lacune que les cadres élaborés par les praticiens, comme la norme en huit principes discutée ici, sont conçus pour combler pour les entreprises qui déploient déjà des systèmes agentiques dans les contrôles LBC et KYC.
Comment une équipe conformité doit-elle utiliser la norme en huit principes dans la due diligence des fournisseurs ?
Traitez chaque principe comme une question à poser au fournisseur, avec une réponse testable exigée. Demandez des taux de couverture documentés, des exemples de résultats lisibles par machine, des preuves de suivi après déploiement, des SLA de disponibilité fondés sur des données mesurées, et une confirmation écrite du ou des modèles sur lesquels le système fonctionne. Exigez des clauses contractuelles qui engagent le fournisseur sur ces normes, et pas seulement des affirmations marketing.
Quelles sont les implications comptables si un fournisseur d'IA ne peut démontrer l'explicabilité ?
Si un outil d'IA produit des scores de risque ou des déterminations de conformité qui ne peuvent être expliqués ou reproduits, les enregistrements sous-jacents peuvent ne pas satisfaire aux normes probantes attendues par les auditeurs externes ou les régulateurs. Cela crée une déficience de contrôle. Pour les portefeuilles d'actifs numériques en particulier, où les volumes de transactions et la complexité sont élevés, des résultats d'IA inexplicables peuvent saper l'ensemble de la piste d'audit qui soutient la validation LBC.
Où le personnel peut-il apprendre à superviser responsablablement les systèmes d'IA agentique ?
L'Elliptic Institute a lancé le 20 octobre 2026 une formation gratuite de Certified AI On-Chain Risk Practitioner. Elle est à rythme libre, dure environ 90 minutes et couvre les structures de responsabilité, les mécanismes de supervision et la manière d'interroger le raisonnement d'un agent. Les apprenants qui la terminent reçoivent un certificat. Étant donné que le FSB exige explicitement une supervision humaine efficace, disposer d'un personnel formé devient de plus en plus une nécessité de gouvernance plutôt qu'une activité de développement facultative.