Hors périmètre n'est pas hors risque : la réforme 2026 du risque de modèle a laissé de côté les modèles que les banques déploient réellement

Quinze ans de doctrine du risque de modèle ont été réécrits en avril, et le paragraphe le plus lourd de conséquences est celui qui dit ce que les orientations ne couvrent pas. Le 17 avril 2026, la Réserve fédérale, l'OCC et la FDIC ont publié des orientations prudentielles révisées sur la gestion du risque de modèle, remplaçant le cadre de 2011 autour duquel le secteur s'est organisé pendant quinze ans. La révision est soignée, fondée sur le risque et globalement bienvenue. Elle énonce aussi, en toutes lettres, que les modèles d'IA générative et d'IA agentique n'entrent pas dans son périmètre — un appel à contributions devant suivre. Les banques se trouvent donc dans un intervalle : elles déploient les modèles que le cadre exclut, sous un cadre qui n'a pas encore été écrit.

Synthèse pour dirigeants

Le compromis de 2011 est retiré. SR 26-2 et OCC Bulletin 2026-13, tous deux datés du 17 avril 2026, remplacent les orientations de 2011 et leur complément de 2021. L'architecture à trois piliers — développement solide, contestation effective, surveillance continue — est maintenue.

La proportionnalité devient explicite. Les agences indiquent que les orientations sont censées concerner au premier chef les organisations bancaires détenant plus de 30 milliards de dollars d'actifs totaux, tout en restant pertinentes pour les établissements plus petits exposés à un risque de modèle significatif. C'est un déplacement d'accent réel, pas une dérogation.

La question de l'IA a été différée, pas tranchée. L'IA générative et agentique est exclue de ces orientations, un appel à contributions devant suivre sur la gestion du risque de modèle en général et sur l'usage de l'IA par les banques en particulier.

Différer n'est pas autoriser. La lecture correcte est que les agences n'ont pas encore décidé comment superviser ces modèles — ce qui diffère substantiellement de décider qu'ils n'ont besoin d'aucune gouvernance.

Ce que les agences ont réellement changé

Écartez les commentaires : la révision d'avril fait trois choses.

Elle retire le compromis de 2011. Les orientations révisées remplacent les orientations sur le risque de modèle publiées en 2011 et leur complément de 2021, refermant un chapitre de quinze ans durant lequel SR 11-7 est devenu la référence mondiale de fait en matière de gouvernance des modèles, bien au-delà des établissements qu'il liait.

Elle rend la proportionnalité explicite. Les orientations sont censées concerner au premier chef les organisations bancaires détenant plus de 30 milliards de dollars d'actifs totaux, et restent pertinentes pour les organisations plus petites fortement exposées au risque de modèle en raison du nombre et de la complexité de leurs modèles ou d'activités sortant de la banque de proximité traditionnelle. Le degré de sophistication doit suivre la taille, la complexité et le profil de risque.

Elle conserve l'architecture. La solidité conceptuelle au stade du développement, la contestation effective par revue indépendante et la surveillance continue au regard de seuils documentés survivent toutes. Les établissements qui ont bien bâti sur le cadre de 2011 ne repartent pas de zéro.

Tableau 1 : ce qui change et ce qui est maintenu

Élément	Cadre de 2011	Orientations révisées de 2026
Statut	SR 11-7 et son complément de 2021	Remplacés, le 17 avril 2026
Architecture centrale	Développement, validation, gouvernance	Maintenue pour l'essentiel
Proportionnalité	Implicite, appliquée par la supervision	Explicite : calibrée sur la taille, la complexité et le profil de risque
Pertinence affichée	Large	Surtout au-delà de 30 milliards de dollars d'actifs totaux ; toujours pertinente en deçà lorsque le risque de modèle est significatif
IA générative et agentique	Antérieur à la question	Expressément hors périmètre, un appel à contributions devant suivre

La phrase qui compte

L'essentiel de la révision relève de l'évolution. Un passage, non :

Les modèles d'IA générative et d'IA agentique sont nouveaux et évoluent rapidement. À ce titre, ils n'entrent pas dans le périmètre des présentes orientations.

Lu avec l'engagement de lancer un appel à contributions sur la gestion du risque de modèle en général et sur l'usage de l'IA par les banques, IA générative et agentique comprises, en particulier, le sens est assez clair. Les agences ne disent pas que ces systèmes présentent un risque faible. Elles disent qu'elles n'ont pas arrêté la manière de les superviser, et qu'elles préfèrent consulter plutôt que légiférer un cadre qu'une technologie rapide dépasserait en un cycle.

C'est un travail réglementaire défendable. C'est aussi une position inconfortable pour une banque qui a déjà de l'IA générative en production.

Car la question pratique que pose un comité des risques n'est pas « cela entre-t-il dans le périmètre des orientations d'avril ? » C'est « si cela tourne mal, que nous demandera-t-on ? » Et la réponse à la seconde question n'a pas changé.

Hors périmètre n'est pas hors risque

L'erreur de lecture la plus coûteuse en 2026 consiste à croire que l'exclusion des orientations sur le risque de modèle vaut exclusion de la supervision. Il n'en est rien. Un modèle qui sort de ce cadre précis reste pleinement à l'intérieur de plusieurs autres.

Tableau 2 : où atterrit malgré tout un système d'IA générative hors périmètre

Ce que fait le modèle	Cadre auquel il répond quand même	La question qui vous sera posée
Il s'appuie sur un modèle de fondation d'un fournisseur	Risque lié aux tiers et à l'externalisation	Pouvez-vous prouver la diligence raisonnable, la stratégie de sortie et l'analyse de concentration sur le prestataire ?
Il touche une décision de crédit ou de tarification	Protection des consommateurs et équité de l'octroi de crédit	Pouvez-vous démontrer que le résultat n'était pas discriminatoire et reconstituer comment il a été obtenu ?
Il s'insère dans un processus opérationnel ou en contact client	Risque opérationnel et résilience	Que se passe-t-il lorsqu'il se dégrade, et qui s'en aperçoit ?
Il produit des sorties sur lesquelles le personnel s'appuie	Gouvernance et responsabilité des dirigeants	Qui est propriétaire de ce système, et que lui a-t-on dit de ses limites ?
Il est déployé dans l'UE ou au Royaume-Uni	EU AI Act ; PRA SS1/23	La réponse de périmètre y est différente — voir plus bas

Aucune de ces obligations n'est nouvelle. C'est précisément le point : les orientations d'avril ont restreint ce que ces orientations couvrent, et n'ont rien retiré d'ailleurs.

Il existe aussi une asymétrie d'attentes prudentielles qu'il faut nommer clairement. Quand un cadre se tait, les examinateurs, eux, ne se taisent pas. Ils reviennent aux attentes générales de sécurité et de solidité, plus larges et moins prévisibles qu'une norme écrite de risque de modèle. Être hors périmètre d'une règle précise revient souvent à être jugé au regard d'une règle plus floue.

La fracture transatlantique qu'un groupe bancaire doit désormais gérer

Pour un établissement présent des deux côtés de l'Atlantique, la décision d'avril crée une divergence active.

La déclaration prudentielle britannique sur les principes de gestion du risque de modèle pour les banques, SS1/23, est entrée en vigueur le 17 mai 2024. Elle repose sur cinq principes — identification et inventaire des modèles, gouvernance, développement, mise en œuvre et utilisation, validation indépendante, et mesures d'atténuation pour les modèles déficients — et elle est délibérément neutre sur le plan technologique. L'intelligence artificielle et l'apprentissage automatique n'en sont pas exclus ; ils y sont envisagés.

Le même modèle génératif, déployé dans le même groupe, dans la même ligne métier, se trouve donc dans le périmètre britannique du risque de modèle et hors du périmètre américain nouvellement révisé. Ajoutez les obligations de l'EU AI Act pour un déploiement européen et il y a trois réponses, pas deux.

Les établissements disposent d'exactement deux réponses cohérentes.

Exploiter un cadre unique aligné sur la norme la plus stricte. Gouverner l'IA générative comme si elle entrait dans le périmètre partout, parce qu'elle y entre quelque part et y entrera plus largement une fois l'appel à contributions clos. Cela coûte plus cher aujourd'hui et se défend dans toutes les juridictions.

Exploiter des périmètres réellement séparés. Juridiquement possible, opérationnellement pénible. Cela suppose deux inventaires, deux normes de validation et deux jeux de preuves pour un seul modèle — plus l'exposition réputationnelle liée au fait d'expliquer, après un incident, que la version du contrôle qui l'aurait détecté était celle appliquée dans l'autre juridiction.

La première est la bonne réponse pour presque tout établissement assez grand pour que la question se pose. La seconde est ce qui advient par défaut quand personne ne tranche.

Que faire de l'intervalle

L'appel à contributions arrive. La fenêtre entre aujourd'hui et un cadre stabilisé est la partie qu'il faut piloter délibérément, car c'est la période où le déploiement continue et la documentation, non.

Trois engagements rendent cet intervalle tenable.

Inventoriez maintenant, classez plus tard. L'artefact le plus utile est un registre complet de l'endroit où tournent réellement les systèmes génératifs et agentiques — y compris ceux acquis comme fonctionnalités à l'intérieur de produits SaaS, là où la plupart se dissimulent. Savoir si chacun constitue formellement un « modèle » au sens d'une définition future est une question à laquelle vous pourrez répondre une fois que vous saurez qu'ils existent. On ne classe pas ce qu'on n'a pas trouvé.

Rédigez l'approche de validation que vous défendriez. Le contrôle a posteriori (backtesting) classique ne se transpose pas proprement à un système non déterministe, ce qui explique précisément le report des agences. Ce n'est pas une raison pour n'avoir aucune approche. Les tests de génération sur des cas retenus hors échantillon, le suivi des réfutations humaines, l'analyse parallèle des résultats face au processus en place et des seuils d'acceptation documentés sont tous disponibles aujourd'hui et tous lisibles pour un superviseur.

Répondez à l'appel à contributions. Un établissement qui a construit une approche opérationnelle pendant l'intervalle a quelque chose de concret à dire, et c'est dans la consultation que la norme finale se façonne. Les acteurs qui restent silencieux héritent de ce que les autres auront négocié.

Le manuel opérationnel

Recalibrez dès maintenant au regard des orientations révisées. Vérifiez lesquels de vos modèles existants basculent sous la formulation explicite de proportionnalité, dans les deux sens. Certains en demanderont moins ; d'autres, plus.
Ne retirez rien de l'inventaire des modèles au motif de l'exclusion de l'IA. Un retrait est une décision qui se lira très mal rétrospectivement, et redécouvrir coûte plus cher que conserver.
Marquez chaque système génératif et agentique de l'inventaire comme « en attente de classement ». Rendez l'intervalle visible dans le registre plutôt qu'absent de celui-ci.
Rattachez chacun aux cadres auxquels il répond bel et bien — tiers, opérationnel, protection des consommateurs, équité de l'octroi de crédit — et confirmez que chacun dispose d'un propriétaire nommé à ce titre.
Adoptez la norme transatlantique la plus stricte comme politique de groupe. Un inventaire, un seuil de validation, un dossier de preuves.
Préparez une réponse à l'appel à contributions. C'est le moyen le moins coûteux d'influer sur la norme au regard de laquelle vous serez examiné.

Les agences ont fait quelque chose de raisonnable en avril : elles ont refusé d'écrire une règle pour une technologie qu'elles ne comprennent pas encore assez bien pour la borner. L'acte raisonnable correspondant, pour une banque, consiste à refuser d'y voir une autorisation.

Foire aux questions

Les orientations d'avril 2026 signifient-elles que l'IA générative n'est pas régulée dans la banque américaine ?
Non. Elles signifient que les modèles d'IA générative et agentique sont hors du périmètre de ces orientations précises. Ces systèmes restent soumis à la gestion du risque lié aux tiers, au risque opérationnel, à la protection des consommateurs, à l'équité de l'octroi de crédit et aux attentes générales de sécurité et de solidité. Les agences se sont en outre engagées à lancer un appel à contributions sur l'usage de l'IA par les banques, IA générative et agentique comprises.

Qu'est-ce qui a exactement été remplacé ?
Les orientations révisées, publiées le 17 avril 2026 par la Réserve fédérale, l'OCC et la FDIC, remplacent les orientations de 2011 sur la gestion du risque de modèle et leur complément de 2021. L'architecture centrale — développement solide, contestation effective, surveillance continue — est maintenue.

Le seuil de 30 milliards de dollars signifie-t-il que les banques plus petites peuvent ignorer le sujet ?
Non. Les orientations indiquent qu'elles sont censées concerner au premier chef les organisations au-dessus de cette taille, et ajoutent qu'elles peuvent aussi concerner des organisations plus petites fortement exposées au risque de modèle en raison du nombre et de la complexité de leurs modèles, ou d'activités sortant de la banque de proximité traditionnelle. C'est un énoncé de proportionnalité, pas une ligne d'exemption.

Comment cela s'articule-t-il avec la SS1/23 britannique ?
Cela en diverge. La SS1/23, en vigueur depuis le 17 mai 2024, est neutre sur le plan technologique et n'exclut ni l'IA ni l'apprentissage automatique. Un groupe bancaire exploitant le même modèle dans les deux juridictions fait désormais face à des réponses de périmètre différentes, raison pour laquelle gouverner selon la norme la plus stricte est la voie pratique.

Faut-il retirer les outils d'IA générative de notre inventaire des modèles maintenant qu'ils sont hors périmètre ?
Non — et c'est la décision la plus susceptible d'être regrettée. L'exhaustivité de l'inventaire coûte peu à entretenir et cher à reconstituer. Marquez plutôt ces systèmes comme en attente de classement, afin que le registre reflète ce qui est réellement déployé quand le cadre arrivera.

Références

Board of Governors of the Federal Reserve System, 2026. SR 26-2: Revised Guidance on Model Risk Management. Washington, DC : Federal Reserve. Disponible à l'adresse : Board of Governors of the Federal Reserve System, 2026..
Office of the Comptroller of the Currency, 2026. OCC Bulletin 2026-13, Model Risk Management: Revised Guidance. Washington, DC : OCC. Disponible à l'adresse : Office of the Comptroller of the Currency, 2026..
Prudential Regulation Authority, 2023. SS1/23, Model risk management principles for banks. Londres : Bank of England. Disponible à l'adresse : Prudential Regulation Authority, 2023..
Parlement européen et Conseil de l'Union européenne, 2024. Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle (règlement sur l'intelligence artificielle). Bruxelles : Journal officiel de l'Union européenne. Disponible à l'adresse : Parlement européen et Conseil de l'Union européenne, 2024..

Dernière révision 2026-08-08.

Republier cet article

Hors périmètre n'est pas hors risque : la réforme du risque de modèle — Sebastien Rousseau

La réforme du risque de modèle d'avril 2026 place l'IA générative et agentique hors périmètre. Hors périmètre n'est pas hors risque, et le Royaume-Uni diverge.

Cet article est sous licence Creative Commons Attribution 4.0 International. La republication nécessite l'attribution à l'URL canonique.

Hors périmètre n'est pas hors risque : la réforme du risque de modèle — Sebastien Rousseau

La réforme du risque de modèle d'avril 2026 place l'IA générative et agentique hors périmètre. Hors périmètre n'est pas hors risque, et le Royaume-Uni diverge.

Originally published at https://sebastienrousseau.com/fr/2026-07-30-model-risk-management-generative-ai-out-of-scope-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FONDATEUR · INGÉNIEUR