MCO soumet l’IA des RIA au contrôle réglementaire

MCO recommande aux registered investment advisers, ou RIA, de traiter l’intelligence artificielle comme tout système intervenant dans une activité réglementée. L’organisation a présenté cette approche avec Jilbert El-Zmetr, directeur général de Siepe MSP, dans une discussion consacrée à la conformité. Le cadre couvre le choix des cas d’usage, le déploiement contrôlé et les pratiques attendues par les autorités et les clients. MCO estime qu’un programme de conformité doit pouvoir démontrer le contrôle, la supervision et la responsabilité associés à chaque outil. Cette recommandation figure dans une analyse publiée le 14 septembre 2026 par FinTech Global.

Trois textes structurent cette supervision, selon MCO. La recommandation SR 11-7 de la Réserve fédérale sert de base à la gestion des risques liés aux modèles. Elle prévoit notamment un inventaire, un propriétaire, une validation et des contrôles de gouvernance. L’avis réglementaire 24-09 de la FINRA rend les entreprises responsables des résultats produits par l’IA dans la surveillance des opérations, la rédaction des communications et les synthèses d’enquête. La règle 206(4)-7 de la SEC s’applique aussi aux outils liés aux conflits d’intérêts, aux informations communiquées et aux contrôles de supervision. Le cadre existant reste donc le point de départ opérationnel.

MCO articule deux cadres de contrôle

Deux approches se complètent dans le dispositif proposé. La gestion des risques liés aux modèles vérifie que le modèle fonctionne correctement. Elle repose sur une méthode documentée, une validation indépendante et des contrôles de gouvernance. L’IA responsable examine plutôt la fiabilité des résultats. MCO retient six principes pour cette approche : équité, explicabilité, responsabilité, robustesse, gouvernance des données et auditabilité. Les deux cadres demandent toutefois des preuves similaires. L’entreprise doit pouvoir montrer ce que l’outil a fait, qui a contrôlé le résultat et quelles données ont contribué à la décision. MCO détaille cette méthode dans son webinaire consacré aux RIA.

La supervision humaine reste obligatoire dans les exemples cités. Pour la surveillance des communications électroniques, l’IA peut repérer des messages probablement indésirables et réduire les faux positifs. Un collaborateur doit cependant qualifier chaque alerte. Les signaux de négociation produits par l’IA doivent être transmis à un gestionnaire de portefeuille ou à un responsable des risques. Ils ne doivent pas déclencher une exécution autonome. Cette étape humaine limite le risque lié à une décision difficile à expliquer. MCO recommande également de résoudre la qualité, l’étiquetage et la propriété des données avant l’intégration d’un outil dans un flux de travail réglementé.

Les petits RIA peuvent proportionner les contrôles

La gouvernance des données doit inclure la séparation ou le masquage des informations sensibles. Les entreprises doivent aussi documenter la traçabilité des données et aligner leur durée de conservation sur les obligations réglementaires de conservation des documents. Pour les RIA de petite taille, MCO n’exige pas une infrastructure comparable à celle d’une banque mondiale. Une approche proportionnée et fondée sur le risque peut reposer sur un inventaire simple des usages de l’IA, une revue humaine documentée, une évaluation des fournisseurs et des vérifications périodiques des résultats. Les entreprises capables de produire une piste d’audit à la demande sont mieux placées pour répondre aux attentes actuelles, selon MCO.