Par Hakim CHERIF
Directeur - ATB | Administrateur indépendant -MPBS-
Auteur du roman professionnel " Avant l'incident "
Pendant des années, la banque a appris à contrôler ses chiffres. Elle a ainsi renforcé ses systèmes d'information, fiabilisé ses bases de données, automatisé ses reportings et multiplié les contrôles autour de ses modèles de risque.
Mais une nouvelle question est en train de s'imposer : que se passe-t-il lorsque ce n'est plus seulement la donnée qui produit le risque, mais l'algorithme qui l'interprète ?
La question n'est plus théorique. Le 9 septembre 2026, Denis Beau, Premier sous-gouverneur de la Banque de France et président désigné de l'Autorité de contrôle prudentiel et de résolution (ACPR), consacrait une intervention aux " nouvelles frontières du risque " liées à l'intelligence artificielle.
Le constat est clair : l'IA est désormais largement entrée dans le secteur financier. Une enquête conduite par l'ACPR en 2025 montrait que la quasi-totalité des banques et assureurs français disposaient déjà de cas d'usage en production.
L'enjeu n'est donc plus de savoir si les banques vont utiliser l'intelligence artificielle -elles l'utilisent déjà- mais la véritable question est désormais de savoir si elles sauront en maîtriser les conséquences. Car l'IA change progressivement la nature du risque bancaire.
Pendant longtemps, un modèle était essentiellement considéré comme un outil de calcul. Il produisait un score, une probabilité, une estimation ou une recommandation. Avec les nouveaux systèmes d'intelligence artificielle, la frontière devient plus floue.
Le modèle peut analyser davantage de données, détecter des corrélations invisibles à l'œil humain, adapter ses résultats et, avec les systèmes les plus avancés, prendre des initiatives ou interagir avec son environnement. Le gain potentiel est considérable, mais le risque l'est aussi.
▐ Lire aussi : Les 5 mutations qui vont redessiner le modèle de la banque de détail en Tunisie
Prenons l'exemple du processus crédit. Une banque peut utiliser un modèle pour évaluer la probabilité qu'un client rembourse son prêt. Le modèle peut être plus rapide, plus précis et plus performant qu'un processus traditionnel.
Mais que se passe-t-il si personne n'est réellement capable d'expliquer pourquoi deux clients présentant des profils proches obtiennent des décisions différentes ? Et si le modèle utilise indirectement une information qui devient un proxy d'une caractéristique sensible ? Et si les données historiques sur lesquelles il a été entraîné reproduisent des biais qui existaient déjà dans les décisions passées ?
Le problème ne serait alors plus simplement celui de la performance du modèle. Il deviendrait celui de l'équité de la décision bancaire. C'est précisément l'une des questions sur lesquelles les superviseurs commencent à concentrer leur attention.
L'ACPR a publié en juillet 2026 un document de réflexion consacré à l'équité algorithmique dans le secteur financier. Le sujet est particulièrement sensible dans le crédit et l'assurance, où la différenciation entre clients est nécessaire pour mesurer le risque, fixer un prix ou décider d'un octroi.
Le paradoxe est alors évident. Une banque doit différencier ses clients pour gérer correctement son risque, mais elle doit simultanément s'assurer que cette différenciation ne produit pas des traitements injustifiés ou discriminatoires.
L'algorithme doit donc être performant sans devenir arbitraire. Et c'est là que le sujet devient beaucoup plus complexe qu'une simple question informatique. Un modèle peut être techniquement performant et pourtant poser un problème de gouvernance.
Il peut également être conforme sur le papier tout en étant mal compris par ceux qui l'utilisent, car l'un des principaux risques de l'intelligence artificielle dans la banque est probablement celui de la confiance aveugle.
Lorsqu'un système produit un résultat complexe, la tentation peut être forte de considérer que ce résultat est nécessairement meilleur parce qu'il provient d'un modèle sophistiqué. Or sophistication ne signifie pas fiabilité.
▐ Lire aussi : La bataille de la donnée financière : Pourquoi le chiffre ne suffit plus aux banques tunisiennes ?
Un modèle peut être mal calibré, les données peuvent être incomplètes, les relations statistiques peuvent évoluer, le comportement des clients peut changer, l'environnement économique peut se transformer et un modèle qui fonctionnait parfaitement hier peut devenir beaucoup moins pertinent demain.
Le risque de modèle n'est donc pas nouveau mais l'intelligence artificielle peut en augmenter la complexité. C'est particulièrement important dans une banque, car les modèles ne sont pas isolés.
Ils peuvent intervenir dans l'octroi de crédit, la détection de fraude, la lutte contre le blanchiment, la gestion des risques, la relation client, la tarification ou encore l'analyse documentaire. Une erreur de modèle peut donc se propager bien au-delà de l'application dans laquelle elle est née. C'est ici que la question de l'explicabilité devient centrale.
Lorsqu'un comité des risques valide un modèle, lorsqu'un auditeur examine son fonctionnement ou lorsqu'un client conteste une décision, une question élémentaire devrait pouvoir être posée :
Pourquoi le système a-t-il produit ce résultat ?
Dans un modèle traditionnel, la réponse peut généralement être reconstruite à partir des variables utilisées, des coefficients et des règles de décision. Avec certains systèmes d'IA plus complexes, cette reconstruction devient beaucoup plus difficile. Le problème n'est pas seulement de comprendre le modèle. Il faut aussi comprendre ses limites.
Un utilisateur bancaire doit savoir dans quelles situations le modèle est fiable, dans quelles situations il peut devenir moins performant et à partir de quel moment une intervention humaine est nécessaire. Autrement dit, le véritable enjeu n'est pas de choisir entre l'homme et la machine.
Il est de construire une organisation dans laquelle la machine ne puisse pas devenir une boîte noire décisionnelle. Cette question prend une dimension supplémentaire avec l'arrivée de l'IA générative et des systèmes capables d'agir de manière plus autonome.
Jusqu'à présent, l'IA était souvent présentée comme un assistant. Elle analysait, classait, prédisait et proposait. Demain, certains systèmes pourront également exécuter des tâches, interagir avec plusieurs applications et enchaîner plusieurs opérations avec un degré croissant d'autonomie.
Pour une banque, cela change considérablement la nature du risque. Un modèle qui recommande une action n'est pas exposé au même risque qu'un système capable de l'exécuter directement. Une erreur de recommandation peut être détectée par un collaborateur alors qu'une erreur exécutée automatiquement peut se transformer immédiatement en opération réelle.
La frontière entre outil d'aide à la décision et acteur opérationnel devient alors beaucoup plus importante. Et cette frontière concerne directement la cybersécurité.
L'IA peut améliorer la détection des anomalies et renforcer les dispositifs de sécurité mais elle peut également accroître la puissance des attaquants, faciliter certaines attaques ou devenir elle-même une nouvelle porte d'entrée vers les systèmes sensibles lorsqu'elle est intégrée aux processus internes.
La banque se retrouve donc face à un paradoxe. Elle utilise l'IA pour mieux se protéger, tout en devant apprendre à se protéger contre les risques introduits par l'IA. Cette situation rappelle une réalité fondamentale de la transformation numérique :
Chaque nouvel outil de maîtrise du risque peut aussi devenir une nouvelle source de risque
Le sujet devient encore plus stratégique lorsque plusieurs établissements utilisent les mêmes technologies, les mêmes fournisseurs de modèles ou les mêmes infrastructures cloud. Le risque n'est alors plus seulement individuel.
Une dépendance excessive à quelques fournisseurs technologiques peut créer des concentrations nouvelles au sein du système financier.
Si plusieurs banques utilisent des architectures similaires, des modèles comparables ou les mêmes prestataires critiques, un incident affectant un fournisseur peut potentiellement se propager beaucoup plus largement qu'une panne informatique classique.
L'intelligence artificielle introduit donc une nouvelle dimension dans la réflexion sur le risque opérationnel et la résilience. Et c'est précisément pourquoi la réponse ne pourra pas être uniquement technologique. Il faudra de la gouvernance, des responsabilités clairement définies, des contrôles indépendants, documenter les modèles, leurs données, leurs performances, leurs limites et leurs évolutions et, également, déterminer à quel moment un humain doit pouvoir intervenir.
Un véritable contrôle humain suppose que la personne dispose du temps, des compétences et de l'information nécessaires pour contester le résultat produit par la machine. Sinon, l'humain risque de devenir simplement le dernier maillon qui valide automatiquement ce que l'algorithme a déjà décidé.
C'est probablement l'un des principaux risques de la nouvelle génération de systèmes d'IA. Et c'est également là que la réglementation européenne prend tout son sens.
Le règlement européen sur l'intelligence artificielle complète désormais les règles prudentielles et sectorielles existantes. Dans le secteur financier, certains usages sont classés à haut risque, notamment l'évaluation de la solvabilité des personnes physiques pour l'octroi de crédit ainsi que certains systèmes utilisés pour l'évaluation des risques et la tarification en assurance.
L'ACPR se prépare à jouer un rôle important dans la surveillance de ces systèmes et développe déjà des méthodologies d'évaluation portant notamment sur la gouvernance, la performance, la robustesse, la cybersécurité, l'explicabilité et l'équité.
Pour les banques tunisiennes, il ne s'agit évidemment pas de transposer mécaniquement le cadre européen mais il serait dangereux de considérer cette évolution comme un sujet exclusivement européen.
Car les technologies sont les mêmes, les fournisseurs sont souvent internationaux, les modèles circulent, les méthodes de scoring se rapprochent, et surtout, les risques fondamentaux ne connaissent pas les frontières réglementaires.
La Tunisie a déjà commencé à renforcer la gouvernance de ses données prudentielles. La prochaine étape pourrait logiquement être celle de la gouvernance des modèles qui utilisent ces données. Car une donnée fiable ne garantit pas, à elle seule, une décision fiable.
Entre la donnée et la décision, il y a désormais un nouvel acteur : l'algorithme
Et cet acteur doit lui aussi être gouverné. C'est probablement là que se trouve le véritable enjeu pour les banques tunisiennes dans les prochaines années. Il ne s'agira pas simplement de savoir quelles banques utilisent l'intelligence artificielle, il faudra savoir où elles l'utilisent, pour quelles décisions, avec quelles données, sous quelle gouvernance et avec quel niveau de contrôle humain.
Une banque qui utilise un modèle sophistiqué sans véritable dispositif de surveillance pourrait finalement se retrouver dans une situation paradoxale : disposer de davantage de technologie mais de moins de visibilité sur ses propres décisions.
Or une institution financière ne peut pas déléguer entièrement sa responsabilité à un algorithme. Le modèle peut calculer, prédire, recommander et il peut même, demain, agir. Mais la responsabilité de la décision restera celle de la banque.
C'est pourquoi la prochaine bataille réglementaire et prudentielle ne sera peut-être pas celle de l'adoption de l'IA. Elle sera celle de la capacité à démontrer que l'IA est maîtrisée.
Après avoir demandé aux banques " pouvez-vous me démontrer comment vous connaissez votre niveau de risque ? ", le superviseur pourrait demain poser une question encore plus difficile : " pouvez-vous me démontrer pourquoi votre algorithme a pris cette décision ? "
Cette analyse constitue un point de vue personnel. Elle ne prétend pas décrire l'ensemble des mécanismes internes, confidentiels ou non publics pouvant exister au sein des institutions financières tunisiennes.
Publié le 16/09/26 11:26
