.webp)
Un organisme de régulation vous demande ce que votre IA a répondu à un client au sujet d'une commission il y a trois mois, et d'où provenait cette information. Si la réponse honnête est « nous ne pouvons pas reconstituer cela », cela signifie que le déploiement n'était pas encore prêt.
La gouvernance de l'IA dans le secteur des services financiers désigne l'ensemble des contrôles, des mécanismes de traçabilité et de responsabilité qui permettent à un établissement de prouver ce qu'a dit à un client son système d'IA en contact avec la clientèle, et pourquoi, que ce soit par voix, par chat ou via la fonction de recherche.
Le CFPB et la loi européenne sur l'IA s'alignent sur les mêmes critères, et aucun contrôleur n'accepte l'argument « c'est ce qu'indique le modèle ». La gouvernance doit être intégrée dès la conception, et non pas ajoutée après coup.
Points clés à retenir
- Dans le secteur des services financiers, la gouvernance de l'IA implique que chaque réponse générée par l'IA à destination d'un client soit traçable jusqu'à une source soumise à des règles de gouvernance, explicable auprès d'un organisme de régulation et défendable en cas d'audit.
- Les réglementations américaines et européennes convergent vers la même exigence : les interactions avec les consommateurs influencées par l'IA doivent être précises, exactes et explicables, et certaines utilisations de l'IA dans le domaine des services financiers s'accompagnent d'obligations accrues et à haut risque.
- La « sécurité » et la « vérifiabilité » sont deux normes distinctes. Les services financiers réglementés doivent être vérifiables.
- La gouvernance doit être intégrée au processus par lequel l'IA génère des réponses, et non ajoutée a posteriori sous la forme d'une couche d'explicabilité.
- Pour découvrir comment « auditable » s'intègre à vos propres contrôles, prenez rendez-vous pour une démonstration.
Qu'est-ce que la gouvernance de l'IA dans le secteur des services financiers ?
La gouvernance de l'IA dans le secteur des services financiers consiste à pouvoir prouver ce que votre IA a dit à un client et pourquoi. Les acheteurs ont tendance à confondre ces deux niveaux.
Le premier concerne la gouvernance des risques liés aux modèles internes : les modèles de crédit, de lutte contre la fraude et de négociation qui sous-tendent les décisions et relèvent d'exigences prudentielles établies de longue date, telles que la norme SR 11-7.
Le deuxième axe concerne la gouvernance des interactions avec la clientèle : l'IA qui répond aux questions au sein du centre de contact, via le chat et dans le moteur de recherche.
Cette page traite de la deuxième couche. Les mêmes principes d'auditabilité s'appliquent, mais le contexte est différent. Un cadre de gestion des risques liés aux modèles vise à déterminer si un modèle est solide.
La gouvernance des interactions consiste à déterminer si vous êtes en mesure de reconstituer et de justifier une réponse spécifique, orale ou écrite, qu’un client a reçue.
À mesure que l'IA en contact avec la clientèle prend en charge un nombre croissant d'interactions, cette deuxième question revient directement aux responsables du risque, de la conformité, de la sécurité des systèmes d'information et du service de conformité, qui en assument la responsabilité.
Pourquoi l'IA en contact avec la clientèle implique un fardeau particulier en matière de gouvernance
Le centre de contact relève désormais de la gouvernance. Toute réponse fournie par l'IA, qu'elle soit orale ou écrite, concernant des frais, un litige, une divulgation ou une opération sur un compte, constitue une communication soumise à la réglementation et un document susceptible d'être soumis à une procédure de divulgation.
Une « boîte noire » probabiliste qui reformule la même information de manière différente lors de trois appels distincts expose l'entreprise à des risques dans les trois cas. Des communications incohérentes, des réponses que personne ne peut expliquer et l'absence de piste justifiable ne constituent pas des cas marginaux.
Ce sont les conséquences prévisibles d'une IA en contact avec la clientèle et non contrôlée.
À l'attention de ceux qui assument les risques : si votre RSSI, votre directeur des risques, votre directeur de la conformité ou votre responsable de la conformité ne parvient pas à obtenir une réponse claire à la question « Qu'est-ce que l'IA a dit exactement à ce client, et d'où provenait cette information ? », le déploiement n'est pas prêt pour un compte soumis à une réglementation.
Leur droit de veto n'est pas une formalité administrative, c'est la dernière étape avant une décision.
Ce que le CFPB attend de l'IA dans le domaine du crédit à la consommation
Commencez par le principe de durabilité, car la position adoptée en matière d'application de ce principe ne cesse d'évoluer. Le CFPB a toujours soutenu qu'il n'existait aucune dérogation particulière aux lois sur la protection financière des consommateurs pour les nouvelles technologies.
Les règles en vigueur s'appliquent aux interactions influencées par l'IA de la même manière qu'elles s'appliquent à celles générées par des humains. L'exigence relative aux mesures défavorables en est l'illustration la plus concrète.
Lorsqu'un créancier prend une mesure défavorable, il doit en exposer les motifs de manière précise et détaillée, et ne peut se contenter d'invoquer des motifs génériques tirés d'une liste type qui ne reflètent pas les fondements réels de sa décision.
En pratique, les principes fondamentaux d’une IA orientée client sont la cohérence et la précision : les interactions avec les consommateurs influencées par l’IA doivent être précises, exactes et explicables, plutôt que génériques, et les informations communiquées doivent être cohérentes sur tous les canaux.
L'approche en matière d'application de la réglementation évolue en 2026, le Bureau procédant à une réorientation de certains aspects de son programme de crédit équitable ; il convient donc de considérer ces détails comme des attentes des autorités de régulation en pleine évolution plutôt que comme des règles figées.
Ceci ne constitue pas un avis juridique ; vous devez vérifier la conformité de toute exigence spécifique aux directives actuelles du CFPB avant de vous y fier.
Ce qu'exige la loi européenne sur l'IA en matière d'IA appliquée aux services financiers
La loi européenne sur l'IA s'applique aux entreprises qui fournissent des services à des clients de l'UE, et pas uniquement à celles qui sont établies dans l'UE ; par conséquent, les institutions américaines qui exercent des activités dans l'UE ou proposent des services destinés à l'UE relèvent de son champ d'application.
La loi classe certaines utilisations dans le domaine des services financiers comme présentant un risque élevé, notamment l'évaluation de la solvabilité et la notation de crédit des particuliers, ainsi que l'évaluation des risques et la tarification dans le domaine de l'assurance vie et de l'assurance maladie. Vous pouvez consulter ces dispositions à l'annexe III de la loi elle-même.
Lorsqu'une utilisation présente un risque élevé, les obligations portent notamment sur la gestion des risques, la gouvernance des données, la documentation technique, la transparence, le contrôle humain, l'exactitude et la surveillance continue.
Le calendrier est ici un élément crucial, et la situation est véritablement en pleine évolution. Les obligations liées aux risques élevés devaient s'appliquer à compter du 2 août 2026, mais les institutions de l'UE sont parvenues à un accord provisoire en 2026 visant à reporter à 2027 la mise en œuvre de ces obligations liées à l'utilisation.
Ce report ne prendra effet juridiquement qu'après son adoption officielle ; d'ici là, la date d'août 2026 reste donc d'actualité. Suivez l'évolution de la situation via les sources officielles de l'UE plutôt que par le biais de résumés de seconde main.
Même lorsqu'un assistant en contact avec la clientèle ne constitue pas en soi un système à haut risque, les attentes en matière de transparence — à savoir que les utilisateurs soient informés lorsqu'ils interagissent avec une IA — ainsi que les exigences plus générales en matière de gouvernance continuent d'influencer la manière dont un établissement soumis à une réglementation peut le déployer.
Pourquoi une IA « sûre » n'est pas la même chose qu'une IA « vérifiable »
Voici la distinction à garder à l'esprit lors de toute réunion avec un fournisseur. « Sûr » signifie que l'IA ne causera aucun préjudice. « Vérifiable » signifie que vous pouvez prouver à une autorité de régulation ce qui s'est passé et pourquoi.
La plupart des fournisseurs se contentent de la sécurité, car celle-ci est plus facile à démontrer et à commercialiser. Dans le secteur des services financiers, la vérifiabilité est un critère d'achat incontournable, et non un simple atout supplémentaire.
On ne peut pas défendre lors d'un examen ce qu'on ne peut pas reconstituer, et un système qui se contente d'être sûr ne permet pas de reconstituer quoi que ce soit, il n'apporte qu'un sentiment de sécurité.
C'est pourquoi un module complémentaire de journalisation ne constitue pas une mesure de gouvernance. Le simple fait d'enregistrer qu'une « boîte noire » a généré une réponse ne permet pas de savoir pourquoi elle a généré cette réponse ni quelle source approuvée l'a validée.
La traçabilité doit être une caractéristique intrinsèque du processus de génération de la réponse, ce qui déplace le débat du domaine des politiques vers celui de l'architecture.
L'architecture à la base d'une IA orientée client et vérifiable
Il existe deux façons de développer une IA destinée aux clients, et une seule d'entre elles est vérifiable de par sa conception.
La première consiste en la génération de type « boîte noire » avec une couche d'explicabilité a posteriori : le modèle élabore la réponse de manière probabiliste, puis une technique distincte propose une explication approximative a posteriori.
L'explication est une hypothèse sur les raisons de ce phénomène, formulée a posteriori.
Le deuxième est une « boîte de verre » architecturale. Le contenu est pré-traité en intentions régulées, liées à leur source grâce à l'ingénierie des connaissances et à l'intelligence programmée ; ainsi, le parcours décisionnel correspond à l'architecture elle-même.
L'assistant renvoie une réponse validée, issue d'une source approuvée, et le modèle linguistique sert uniquement à la formuler.
C'est grâce à cette conception axée sur les connaissances, où l'utilisation d'un LLM est facultative, qu'Inbenta Encore atteint une précision supérieure à 98 % dès le premier jour, avec un taux de réponses inventées quasi nul, et que la réponse reçue par un client peut être rattachée avec précision à la source qui l'a générée.
La gouvernance de l'IA dans la pratique : commande vocale, chat et recherche
Traduire cette architecture en canaux réellement utilisés par une équipe chargée de l'expérience client et de la gestion des risques dans le secteur des services financiers :
Voix
Des journaux d'appels vérifiables et des informations communiquées à l'oral de manière cohérente dans l'ensemble du centre de contact, afin que la même question relative aux frais reçoive à chaque fois la même réponse approuvée.
Chat
Des échanges écrits traçables et défendables en cas de contrôle, la source de chaque réponse étant consignée.
Search
Des réponses en libre-service contrôlées, issues de sources validées, et non de suppositions reformulées.
C'est la cohérence des informations fournies sur l'ensemble des trois canaux, associée à un transfert complet du contexte vers un conseiller en direct, qui permet de transformer la gouvernance d'un simple document de politique en une réalité opérationnelle.
Encore gère ces canaux à partir d'une seule couche de connaissances centralisée, ce qui explique pourquoi la réponse reste la même lorsque le client passe du chat au téléphone.
Pour découvrir les principales références dans le secteur des services financiers, découvrez comment BBVA a amélioré son service client grâce à Inbenta; OPPLUS a quant à lui réduit de 84 % les escalades au service client en appliquant la même approche au niveau opérationnel.
Quelles sont les exigences à poser à une plateforme d'IA contrôlable ?
Posez-vous ces questions lors de toute évaluation :
- Chaque réponse destinée aux clients peut-elle être rattachée à une source contrôlée ?
- Êtes-vous capable de retracer et de justifier le raisonnement qui a conduit à une décision dans le cadre d'un audit ?
- Les informations fournies sont-elles cohérentes entre les services vocaux, le chat et la recherche ?
- Cette précision est-elle maintenue après le lancement, ou s'altère-t-elle à mesure que les connaissances évoluent ?
- Prend-il en charge vos régions de déploiement et vos langues, y compris en environnement sur site ou dans un cloud privé si nécessaire ?
Privilégiez vos propres contrôles plutôt que le scénario idéal proposé par un fournisseur lorsque vous évaluez un système.
Comment Encore propose une IA régie et vérifiable
Encore est une plateforme d'IA agentique unifiée, et non un ensemble de produits autonomes.
Il s'agit également d'une catégorie distincte des outils de RPA tels que UiPath et Automation Anywhere, ainsi que des générateurs « low-code » comme Zapier et Make, que certaines équipes utilisent déjà. Ces outils traitent les données selon des règles fixes et ne peuvent pas tenir compte de ce qui a été dit à un client ni des raisons qui ont motivé cette réponse.
La gouvernance n'est pas une fonctionnalité intégrée à Encore ; c'est la manière même dont la plateforme génère des réponses : axée sur la connaissance, transparente et traçable jusqu'à la source dès sa conception.
La couche de maintenance autonome assure la mise à jour des connaissances gérées après le lancement, ce qui permet de garantir leur exactitude et leur traçabilité dans le temps. En voici les preuves :
- Une précision de +98 % dès le premier jour
- +35 % d'amélioration du taux de résolution dès le premier contact
- Amélioration de +30 % du taux de satisfaction client (CSAT)
- Déploiement +75 % plus rapide
Cette approche a valu à Inbenta Encore le « TSIA Star Award » dans la catégorie « Innovateur de l'année en matière de réussite client numérique ».
Pour un directeur des risques, un responsable de la conformité ou un RSSI qui doit décider s'il convient de laisser l'IA communiquer avec les clients dans le cadre d'un compte soumis à une réglementation, le facteur déterminant est de savoir s'il est possible de prouver ce qu'elle a dit. Avec une architecture de type « glass box », c'est possible.
Prenez rendez-vous pour une démonstration afin de voir si ce produit répond à vos besoins.
Foire aux questions
Quelles sont les exigences du CFPB concernant l'utilisation de l'IA dans le service client ?
Le CFPB applique les lois existantes en matière de protection des consommateurs à l'IA, sans exception liée à la technologie. Dans la pratique, cela signifie que les interactions influencées par l'IA doivent être précises, exactes et explicables, et s'accompagner d'informations cohérentes. L'approche en matière d'application de la réglementation évoluera en 2026 ; il convient donc de vérifier les détails à la lumière des directives actuelles.
La loi européenne sur l'IA s'applique-t-elle aux établissements financiers américains ?
Oui, s'ils fournissent des services à des clients de l'UE ou proposent des services destinés à l'UE. La loi s'applique aux prestataires et aux opérateurs, quel que soit leur lieu d'implantation. Certaines utilisations, telles que l'évaluation de la solvabilité et la tarification des assurances, sont considérées comme présentant un risque élevé et entraînent des obligations supplémentaires.
En quoi une IA vérifiable diffère-t-elle d'une IA sûre ?
« Sûr » signifie que l’IA ne causera aucun préjudice. « Vérifiable » signifie que vous pouvez prouver à une autorité de régulation ce qu’elle a dit et pourquoi. « Sûr » est une garantie ; « vérifiable » est une reconstitution. Les services financiers réglementés ont besoin de cette dernière, car on ne peut pas se défendre lors d’un contrôle face à ce qu’on ne peut pas reconstituer.
En quoi une architecture axée sur la connaissance favorise-t-elle la conformité ?
Il relie chaque réponse à une source contrôlée avant même que le client ne pose sa question, de sorte que le parcours décisionnel est intégré dès le départ plutôt que déterminé a posteriori. Le modèle linguistique formule la réponse, il ne l'invente pas, ce qui garantit que les réponses sont précises, cohérentes et traçables en cas d'audit.
L'IA destinée aux clients peut-elle répondre aux exigences de la norme SR 11-7 ?
La norme SR 11-7 régit le risque lié aux modèles internes, qui constitue un niveau distinct des interactions avec la clientèle. Les mêmes principes – traçabilité et responsabilité – s’appliquent ici aussi. Une architecture transparente, dont les sources sont clairement identifiées, facilite considérablement la documentation et la justification de la manière dont une réponse destinée à un client a été élaborée.
Articles connexes
