Le CSBS formalise l’inspection de l’IA bancaire

Le régulateur américain publie un cadre pour examiner l’IA dans les banques d’État. La Conference of State Bank Supervisors, qui représente les régulateurs financiers des 50 États, du District de Columbia et de quatre territoires, a présenté son AI Supervisory Framework le 16 septembre 2026. Le dispositif couvre les banques à charte d’État et les sociétés financières non bancaires agréées par les États. Il comprend cinq documents, dont un guide central, un programme de travail de 28 pages, un supplément pour les acteurs non bancaires et une grille de classement des risques. Le CSBS indique que les établissements peuvent l’utiliser pour évaluer leurs programmes et préparer leurs examens. Lire le cadre du CSBS.

La couverture est large : les agences d’État supervisent 3 355 des 4 233 banques et caisses d’épargne assurées par la FDIC, selon les données arrêtées au 30 juin. Cela représente 79 % des établissements concernés. Le cadre intervient quelques mois après la nouvelle doctrine fédérale publiée en avril par la Réserve fédérale, l’OCC et la FDIC. Cette doctrine a remplacé des recommandations de gestion du risque de modèle vieilles de 15 ans. Elle exclut toutefois les modèles d’IA générative et d’IA autonome de son périmètre. Le CSBS précise que son propre cadre reste un outil discrétionnaire. Chaque agence décide de son adoption et le texte ne crée pas de nouvelle obligation juridique. Consulter les données de la FDIC.

Le CSBS structure huit questions

Les premiers contrôles portent sur huit questions communes. L’examinateur cherche notamment à savoir si la banque utilise l’IA, où elle l’emploie et si elle influence des clients ou des décisions. Il vérifie aussi le recours à des fournisseurs externes, la présence d’IA intégrée dans les logiciels existants et l’usage d’IA générative. Les deux dernières questions concernent le classement des usages par risque et le passage de données sensibles dans un système d’IA. Une réponse négative ou imprécise peut conduire à comparer les déclarations avec l’inventaire des fournisseurs, les logiciels autorisés et les changements récents de plateformes. Le programme rappelle qu’un outil intégré peut ne pas être identifié comme un système distinct.

Les pièces demandées peuvent inclure les politiques d’IA, les inventaires, les rapports transmis au conseil d’administration et des exemples de contenus générés vus par les clients. Les relevés de conversations avec des chatbots figurent parmi les exemples cités. Les examinateurs peuvent également demander les clauses contractuelles concernant l’utilisation, la conservation, le partage ou l’entraînement des systèmes sur des données clients, confidentielles ou institutionnelles. Pour l’IA autonome, le programme prévoit un examen des actions autorisées, des points d’intervention humaine, de la journalisation et de la réversibilité. Il porte aussi sur la capacité à restreindre ou arrêter le système. Une enquête Wolters Kluwer auprès de 230 banquiers indique que 72 % citaient les mécanismes d’arrêt ou le signalement réglementaire des incidents parmi leurs domaines les moins préparés.

Trois niveaux encadrent les usages

La grille facultative attribue à chaque usage un niveau de risque compris entre 1 et 3. Quatre facteurs alimentent cette évaluation : l’effet sur les consommateurs, le degré de supervision humaine, les dommages possibles d’une erreur ou d’une panne et la sensibilité des données. Le niveau 3 couvre notamment les décisions directes pour les consommateurs, les données personnelles sensibles, la supervision humaine limitée et une dépendance opérationnelle importante. Les données sensibles incluent les informations liées à une classe protégée, les données biométriques et certains éléments pouvant servir de substituts à ces caractéristiques. Les contrôles augmentent avec le niveau. Le niveau 1 demande un responsable métier et une politique écrite d’usage acceptable.

Le niveau maximal ajoute une documentation sur les résultats visibles par les clients, une validation indépendante réalisée par une personne qualifiée et des procédures de réponse aux incidents propres à l’IA. Le CSBS ne fixe aucun seuil fondé sur un montant, un taux d’erreur ou un nombre de consommateurs. Il demande une adaptation à la taille, à la complexité, au profil de risque et aux usages de chaque établissement. Les mêmes huit questions, la même liste de documents et la même grille s’appliquent donc aux banques à charte d’État de toutes tailles. La doctrine fédérale d’avril vise surtout les organisations bancaires dépassant 30 milliards de dollars d’actifs. Environ 99 % des établissements à charte d’État se situent sous ce seuil.

Les prochaines décisions appartiennent aux agences de chaque État, qui choisiront la place du cadre dans leurs programmes de supervision. Le dispositif peut concerner une banque régionale comme Roxboro Savings Bank, une caisse d’épargne de Caroline du Nord disposant de deux agences et de 360,7 millions de dollars d’actifs. Il couvre aussi Goldman Sachs Bank USA, dont les actifs atteignent 758,8 milliards de dollars. Brandon Milhorn, président-directeur général du CSBS, présente cette approche comme fondée sur des principes de gouvernance. Le CSBS a publié séparément un communiqué d’annonce et un guide central pour les examinateurs.