ACPR et IA bancaire 2026 : les nouvelles recommandations et leurs implications pour les établissements
L'Autorité de Contrôle Prudentiel et de Résolution publie ses premières recommandations sur l'usage de l'intelligence artificielle dans le secteur bancaire depuis l'entrée en vigueur de l'AI Act européen. Les textes couvrent l'explicabilité des modèles de scoring crédit, les interdictions d'usage discriminatoire, et posent des obligations d'audit périodique avec des délais de mise en conformité.
Longtemps attendues, les recommandations de l'ACPR sur l'IA dans le secteur bancaire comblent un vide réglementaire. Elles s'articulent avec les exigences de l'AI Act européen, dont les premières obligations sectorielles sont entrées en vigueur au 1er janvier 2026, et précisent leurs modalités d'application pour les établissements de crédit et les PSP.
Explicabilité des modèles de scoring crédit
C'est le point le plus structurant. L'ACPR exige que tout modèle d'IA utilisé dans une décision de crédit soit explicable au niveau individuel : le client doit pouvoir obtenir les principales variables ayant conduit à la décision. Les modèles boîte noire (deep learning dense, transformers non instrumentés) doivent être accompagnés d'outils XAI (SHAP, LIME ou équivalent) documentés et auditables.
Usages interdits ou soumis à restriction
- Interdits : profilage comportemental conduisant à une discrimination fondée sur un attribut protégé (origine, genre, religion), même indirect
- Restreints : scoring basé sur des données comportementales réseaux sociaux sans consentement explicite
- Soumis à approbation préalable : modèles de détection de fraude utilisant la biométrie comportementale
Ce qu'il faut retenir
- Obligation d'explicabilité individuelle pour tout scoring crédit IA dès le 1er juillet 2026
- Audit obligatoire des modèles IA à haut risque tous les 18 mois
- Documentation obligatoire des données d'entraînement et des tests de biais
- Délai de mise en conformité : 6 mois pour les modèles existants (avant 2025), 3 mois pour les nouveaux
- Sanctions : amendes jusqu'à 2% du chiffre d'affaires + injonction de cesser l'usage
Audit des modèles : ce que ça implique concrètement
L'audit obligatoire tous les 18 mois doit être réalisé par une équipe indépendante de l'équipe de développement. Il couvre : la performance du modèle sur données récentes, la détection de dérive (drift), les tests de robustesse adversariale, et la vérification de l'absence de discrimination. Un rapport d'audit est transmis à l'ACPR sur demande.
Impact sur les modèles legacy
De nombreux établissements utilisent des modèles de scoring développés avant 2023, souvent des forêts aléatoires ou des réseaux de neurones non instrumentés. La mise en conformité XAI sur des modèles existants peut nécessiter une refactorisation significative — anticipez 3 à 6 mois de travail pour les modèles les plus anciens.