Responsabilité de l'IA, réglementation CFTC et FCA : tour d'horizon de la régulation crypto
En une fenêtre de deux semaines à cheval sur la fin septembre et le début octobre 2026, les régulateurs financiers les plus influents au monde ont émis un ensemble de signaux coordonnés, sinon formellement coordonnés, sur la gouvernance de l'intelligence artificielle dans les services financiers. La Banque d'Angleterre, la Banque centrale européenne, la Banque des règlements internationaux et l'Autorité monétaire de Singapour ont toutes tracé la même ligne de conduite : l'IA peut fonctionner, mais les humains doivent pouvoir reprendre le volant. Simultanément, la Commodity Futures Trading Commission (CFTC) américaine a ouvert une procédure réglementaire historique qui créerait pour la première fois un régime de surveillance dédié aux transactions de produits de base crypto au détail. Pour les cabinets d'expertise comptable, les directeurs financiers et les responsables de la conformité qui bâtissent des pratiques crypto, ces évolutions ne sont pas un bruit de fond. Elles façonnent ce que vos outils assistés par IA doivent faire, comment vous documentez leur utilisation et dans quels registres réglementaires vos clients pourraient bientôt devoir figurer.
Ce que les régulateurs mondiaux ont déclaré sur l'IA et les services financiers
Ce groupe de déclarations était frappant par son étendue géographique. En une dizaine de jours, des responsables de premier plan de quatre grandes institutions ont pris position publiquement sur la gouvernance de l'IA, chacun ajoutant une dimension différente à la même préoccupation centrale.
Banque d'Angleterre : la supervision humaine comme principe non négociable
Dans un article publié le 30 septembre, le gouverneur de la Banque d'Angleterre, Andrew Bailey, s'est concentré sur ce qu'il a appelé les systèmes d'IA récursifs et auto-renforcés, des modèles qui apprennent et agissent en boucles sans points de contrôle humains discrets. Son inquiétude était que les systèmes présentant ces caractéristiques « risquent de réduire la capacité de la société à exercer une supervision et une intervention significatives », et que plus le système est performant, plus ce risque est aigu.
Bailey s'est gardé d'appeler à une interdiction. Il a spécifiquement mis en garde contre une réglementation prématurée d'une technologie en évolution rapide et a reconnu que l'IA peut générer des gains d'efficacité significatifs, de la croissance économique et de la prospérité dans tous les secteurs. Son argument portait sur l'architecture de gouvernance : les décideurs politiques devraient se concentrer sur la garantie que les humains conservent la capacité pratique d'intervenir et de fixer des limites, plutôt que de tenter de contraindre la technologie elle-même. Le mécanisme à court terme le plus pressant identifié par la Banque d'Angleterre est la réalisation de tests rigoureux avant et après le déploiement des modèles d'IA de pointe, que le Royaume-Uni facilite déjà via un régime de test dédié. Le risque de cybersécurité, en particulier la menace que les modèles de pointe puissent saper la durabilité opérationnelle des infrastructures financières, a été signalé comme le sujet de préoccupation majeur.
Conseil de surveillance de la BCE : la clarté des responsabilités tout au long du cycle de vie de l'IA
Patrick Montagner, membre du conseil de surveillance de la BCE, a repris de nombreux thèmes de Bailey dans un discours prononcé le 1er octobre. Il a convenu que les modèles d'IA de pointe introduisent des risques de cybersécurité nouveaux et importants pour le secteur bancaire, mais a ajouté un point plus nuancé : les banques peuvent également exploiter ces mêmes capacités de pointe à des fins défensives. La détection des menaces alimentée par la même classe de modèles que les criminels pourraient exploiter est déjà un cas d'usage pratique.
Les conditions posées par Montagner pour une adoption responsable de l'IA dans la banque reposaient sur trois exigences : les responsabilités doivent être clairement attribuées, la qualité des données doit être suffisante pour étayer les décisions prises par le modèle, et la surveillance doit être maintenue tout au long de la vie opérationnelle du système. Ce dernier point, la supervision couvrant tout le cycle de vie, est souvent traité à l'heure actuelle par de nombreuses entreprises comme une activité de phase de déploiement, et non comme une activité continue.
Institut de stabilité financière de la BRI : la résilience systémique, pas seulement la gouvernance au niveau de l'entreprise
Fernando Restoy, président de l'Institut de stabilité financière de la BRI, s'exprimant en septembre, a offert la perspective la plus large. Son argument était que l'IA change non seulement la façon dont les banques opèrent en interne, mais aussi l'environnement dans lequel ces banques évoluent. Cette distinction importe pour les régulateurs, qui doivent penser le risque systémique au niveau du réseau, et pas seulement se demander si chaque entreprise individuelle dispose d'un document de politique en matière d'IA.
Restoy a noté une tension spécifique dans le contexte de la cybersécurité : l'IA permet aux banques de détecter les menaces plus rapidement et avec une plus grande précision, mais cette détection améliorée exige aussi une remédiation en temps réel plus rapide. Les cadres de résilience opérationnelle conçus pour une réponse aux incidents à vitesse humaine pourraient ne pas être équipés pour faire face à des paysages de menaces à vitesse d'IA. Selon lui, les superviseurs doivent mettre à jour leurs propres cadres pour tenir compte de ce décalage.
La MAS finalise ses lignes directrices sur la gouvernance de l'IA pour les institutions financières
Le résultat réglementaire le plus concret à court terme est venu de Singapour. Le 7 octobre, l'Autorité monétaire de Singapour a publié ses attentes de supervision finalisées pour une adoption responsable de l'IA par les institutions financières réglementées. Les lignes directrices ont été élaborées à la suite d'une consultation ouverte en novembre 2025.
Le cadre de la MAS énonce quatre attentes fondamentales pour les entreprises réglementées. Premièrement, les entreprises doivent maintenir une supervision et une responsabilité claires concernant les risques liés à l'IA. Deuxièmement, elles doivent évaluer et gérer les risques sur l'ensemble du cycle de vie de l'IA, de la sélection du modèle jusqu'au déploiement et au retrait éventuel. Troisièmement, elles doivent prendre en compte les risques liés aux tiers lorsque les systèmes d'IA proviennent de fournisseurs externes ou en dépendent. Quatrièmement, les contrôles doivent être proportionnés aux risques que présente le système d'IA.
Les lignes directrices prennent effet à partir d'octobre 2027, certaines dispositions s'appliquant à partir d'octobre 2028. Les entreprises réglementées à Singapour opérant dans le secteur crypto, ainsi que les entreprises internationales disposant d'entités agréées par la MAS, disposent désormais d'un délai défini pour bâtir des programmes de conformité. Les entreprises sans exposition à la MAS devraient néanmoins y voir un indicateur avancé : les déclarations de la Banque d'Angleterre et de la BCE suggèrent que des attentes similaires se dirigent vers une formalisation au Royaume-Uni et dans l'UE.
La CFTC ouvre la voie à un cadre dédié au marché crypto
Par ailleurs, le 5 octobre, la Commodity Futures Trading Commission américaine a publié un avis préalable de proposition de réglementation (ANPRM) exposant son intention de bâtir un cadre réglementaire complet pour les transactions de produits de base au détail impliquant des cryptoactifs. Pour les entreprises et leurs clients actifs sur les marchés crypto américains, il s'agit d'une étape procédurale importante, même si elle reste une proposition à ce stade.
Ce que l'ANPRM propose réellement
L'ANPRM contient deux propositions liées. La première, intitulée « Regulation Crypto Asset Transactions », identifie les catégories de transactions de cryptoactifs que la CFTC considère comme relevant du champ d'application du Commodity Exchange Act. Le concept clé est celui d'« offre couverte » : tout accord par lequel un client de détail peut transactionner des cryptoactifs sur une base à effet de levier, sur marge ou financée. Les entités proposant de tels produits seraient tenues de surveiller ces transactions pour détecter des indicateurs d'abus de marché.
La seconde proposition, « Regulation Crypto Asset Markets », exigerait des bourses et autres participants de marché proposant des produits couverts qu'ils s'enregistrent auprès de la CFTC en tant que Crypto Asset Markets (CAM) désignés. La proposition décrit comment la structure d'entreprise et l'intégration des services affecteraient la désignation d'une entreprise, établit des normes de cotation provisoires pour les transactions de cryptoactifs couvertes et invite le public à commenter une série de facteurs supplémentaires affectant la surveillance des CAM.
Pourquoi cela importe pour les entreprises : combler une lacune de longue date
À ce jour, les bourses de cryptoactifs proposant des contrats à terme ou d'autres produits relevant du périmètre existant de la CFTC ont pu s'enregistrer auprès de la Commission, mais aucun cadre n'a été conçu spécifiquement pour l'ensemble plus large des activités du marché crypto. Cette lacune a créé une incertitude persistante, en particulier là où les juridictions de la CFTC et de la SEC se chevauchent potentiellement. L'ANPRM comblerait cette lacune pour la première fois s'il était finalisé par une procédure réglementaire formelle.
Le calendrier est délibéré. Le Congrès n'a pas encore adopté de législation sur la structure du marché qui résoudrait la tension CFTC/SEC par la voie législative. Avec environ deux ans restants dans l'administration actuelle, les deux régulateurs semblent avancer leur réglementation de leur propre initiative plutôt que d'attendre une clarification législative. Les cabinets d'expertise comptable et les directeurs financiers conseillant des clients sur le marché crypto américain doivent suivre ce processus de près. L'enregistrement en tant que CAM, s'il devient obligatoire, comporte des obligations de tenue de registres, de reporting et de surveillance qui affecteront directement la façon dont les transactions des clients sont saisies et classées dans les logiciels de comptabilité d'actifs numériques.
Pour un contexte sur la trajectoire réglementaire plus large de la CFTC et le calendrier politique, voir notre analyse précédente du cadre crypto de la CFTC et du risque d'échéance électorale de 2028. L'interaction entre cet ANPRM et le retrait de la règle FinCEN sur le mixage des CVC est également un contexte pertinent ; les détails se trouvent dans notre article sur le retrait de la règle FinCEN sur le mixage des CVC et l'examen du cadre de détail de la CFTC.
Implications comptables et de conformité dans les différentes juridictions
Ces évolutions ne se produisent pas isolément. Elles affectent la façon dont les entreprises structurent leurs flux de travail assistés par l'IA, dont elles documentent ces flux à des fins d'audit, et les enregistrements réglementaires que leurs clients pourraient devoir anticiper.
Outils d'IA dans la comptabilité et la conformité crypto : les lacunes de gouvernance à combler dès maintenant
De nombreux cabinets d'expertise comptable et équipes de conformité utilisent déjà des outils assistés par l'IA pour la catégorisation des transactions, la surveillance on-chain et la génération de rapports. Les lignes directrices de la MAS, ainsi que le langage directionnel de la Banque d'Angleterre et de la BCE, suggèrent que les régulateurs s'attendront de plus en plus à ce que les entreprises démontrent que ces outils répondent à des normes de gouvernance définies, et pas seulement qu'ils produisent des résultats exacts.
Concrètement, cela implique plusieurs choses. La responsabilité des résultats générés par l'IA doit être attribuée à une personne ou à une fonction nommée, et non laissée à une hypothèse partagée. Les contrôles de qualité des données alimentant le système d'IA doivent être documentés et revus périodiquement. Le système doit être surveillé en continu, et pas seulement validé au moment du déploiement. Lorsque l'outil d'IA est fourni par un tiers, les entreprises ont besoin de mécanismes contractuels et opérationnels pour évaluer et gérer les risques que ce fournisseur introduit.
Pour les entreprises utilisant des logiciels de comptabilité crypto ou des logiciels de comptabilité d'actifs numériques dotés de fonctionnalités d'IA intégrées, c'est une invitation à examiner dès maintenant la documentation du fournisseur. Votre fournisseur peut-il démontrer que son modèle répond au type de normes de gouvernance que la MAS a formalisées ? Vos propres procédures internes attribuent-elles une propriété claire aux résultats assistés par l'IA avant qu'ils n'atteignent un livrable client ou un dépôt réglementaire ? Ce sont les questions que les auditeurs et les régulateurs commenceront à poser avec une fréquence accrue.
ANPRM de la CFTC : des obligations de tenue de registres et de reporting à l'horizon
Si les propositions de la CFTC se transforment en règles finales, les bourses et autres entités proposant des produits crypto à effet de levier ou sur marge à des clients de détail aux États-Unis feront face à de nouvelles obligations d'enregistrement, de surveillance et de reporting. Pour les cabinets d'expertise comptable ayant des clients bourses crypto basés aux États-Unis, le changement opérationnel est matériel. L'enregistrement CAM exigerait probablement une surveillance systématique des transactions, une tenue de registres structurée alignée sur les normes de reporting de la CFTC, et potentiellement de nouveaux cadres de contrôle interne que l'équipe d'audit devra comprendre et tester.
Les directeurs financiers des entreprises crypto devraient dès maintenant comparer leurs offres de produits à la définition d'« offre couverte ». Même au stade de l'ANPRM, le cadre proposé indique où se dirige le périmètre de conformité de la CFTC. Les entreprises qui construisent leur infrastructure opérationnelle et comptable autour de ce périmètre dès maintenant subiront moins de perturbations lorsque les règles finales arriveront.
Dimension transfrontalière : où ces cadres interagissent
Une entreprise ayant des entités à Singapour, au Royaume-Uni et aux États-Unis fait face à un paysage à trois niveaux. Les règles de gouvernance de l'IA de la MAS s'appliquent à partir d'octobre 2027. Les attentes de la Banque d'Angleterre, bien que non encore formalisées en règles contraignantes, se dirigent clairement vers des exigences similaires, et le régime de test d'IA existant au Royaume-Uni est déjà actif. Aux États-Unis, l'ANPRM de la CFTC est ouvert aux commentaires du public, et la direction prise est celle d'exigences d'enregistrement formelles pour les participants au marché des produits de base crypto.
Pour les groupes internationaux, le conseil pratique est de bâtir des programmes de gouvernance de l'IA et de conformité au marché crypto selon la norme la plus exigeante parmi les juridictions où ils opèrent, puis d'évaluer où les exigences locales divergent. Le cadre de la MAS, étant le plus détaillé et le plus défini dans le temps, constitue un modèle de départ raisonnable pour cet exercice.
Questions fréquentes
Que requiert le cadre de gouvernance de l'IA de la MAS, et quand s'applique-t-il ?
Les lignes directrices finalisées de l'Autorité monétaire de Singapour exigent des institutions financières réglementées qu'elles maintiennent une responsabilité claire concernant les risques liés à l'IA, gèrent ces risques sur l'ensemble du cycle de vie de l'IA, évaluent les risques liés à l'IA de tiers et mettent en œuvre des contrôles proportionnés. Le cadre prend effet à partir d'octobre 2027, certaines dispositions étant reportées à octobre 2028. Les entreprises disposant d'entités réglementées par la MAS devraient commencer dès maintenant des évaluations des écarts.
Les orientations de la Banque d'Angleterre sur l'IA créent-elles des obligations contraignantes pour les entreprises crypto britanniques ?
L'article du gouverneur Bailey était une déclaration de politique, non une règle contraignante. Cependant, il indique la direction des attentes de supervision de la Prudential Regulation Authority et de la Financial Conduct Authority. Les entreprises britanniques devraient traiter les principes exposés par Bailey, supervision humaine, tests rigoureux, responsabilité définie, comme la base de leurs propres cadres de gouvernance de l'IA, en amont de toute réglementation formelle.
Qu'est-ce qu'une « offre couverte » au sens de la proposition de règlement de la CFTC sur les transactions de cryptoactifs ?
Selon l'ANPRM, une offre couverte est tout accord par lequel un client de détail peut transactionner des cryptoactifs sur une base à effet de levier, sur marge ou financée. Les entités réalisant des offres couvertes seraient tenues de surveiller ces transactions pour détecter des indicateurs d'abus de marché et, en vertu de la proposition complémentaire, de s'enregistrer auprès de la CFTC en tant que Crypto Asset Markets désignés.
Comment l'ANPRM de la CFTC affecte-t-elle les entreprises qui utilisent des logiciels de comptabilité crypto pour gérer le reporting client ?
Si les propositions deviennent des règles finales, les bourses et les participants de marché soumis à l'enregistrement CAM feront face à des obligations structurées de tenue de registres et de reporting alignées sur les normes de la CFTC. Les cabinets d'expertise comptable servant ces clients devront s'assurer que leur logiciel de comptabilité d'actifs numériques peut saisir et classer les transactions dans un format compatible avec les nouvelles exigences de reporting. Évaluer cette compatibilité dès maintenant, avant la publication des règles finales, réduit le risque de mise en œuvre.
Les entreprises crypto de l'UE sont-elles concernées par ces évolutions de la gouvernance de l'IA ?
Le règlement IA de l'UE établit déjà un cadre fondé sur les risques pour les systèmes d'IA, y compris ceux utilisés dans les services financiers. Les remarques du conseil de surveillance de la BCE d'octobre 2026 suggèrent que les superviseurs prudentiels développent des attentes qui vont au-delà des exigences minimales du règlement IA, notamment en matière de surveillance du cycle de vie et de qualité des données. Les entreprises crypto de l'UE et leurs auditeurs devraient suivre les orientations de la BCE et de l'ABE sur la gouvernance de l'IA dans le secteur bancaire pour les développements susceptibles de s'étendre aux prestataires de services sur crypto-actifs.
Source : Elliptic