Pourquoi des structures IA maîtrisées comptent davantage que de nouveaux outils.

L’avancement du développement apparaît clairement dans les chiffres. Dans l’enquête conjointe de la Banque d’Angleterre et de la FCA pour 2024, 75 % des entreprises financières interrogées ont indiqué utiliser déjà l’IA en production ; 10 % supplémentaires prévoyaient de s’y lancer dans les trois années suivantes. Le nombre médian de cas d’usage par établissement devrait plus que doubler, passant de 9 à 21. Ce n’est pas un mouvement marginal mais un glissement structurel. Et c’est précisément pourquoi il devient central de savoir dans quelles conditions ces systèmes sont introduits, validés et surveillés.

Derrière les chiffres se profile un constat désenchanté. Environ un tiers des applications IA recensées relevaient déjà de mises en œuvre par des tiers. Parallèlement, 46 % des établissements ont déclaré ne comprendre les systèmes déployés qu’en partie. Les risques actuels cités comme les plus importants étaient la qualité des données, la protection des données et la sécurité des données ; ceux en forte progression : dépendances vis-à-vis de tiers, complexité des modèles et structures de modèle difficiles à discerner. Plus un établissement déploie vite de nouvelles applications, plus les périmètres de responsabilité, les chaînes d’escalade et les mécanismes de contrôle deviennent urgents, et ce, en amont, pas après coup.

Le Conseil de stabilité financière décrit exactement ce schéma au niveau international. La disponibilité aisée des outils IA modernes, souligne le FSB, favorise une adoption rapide, mais pas dans la même mesure la mise en place d’une gouvernance et de contrôles. Le rapport recense parmi les vulnérabilités centrales le risque lié aux tiers, le risque de modèle, les faiblesses en matière de qualité des données et le manque de transparence sur les modèles, les données d’entraînement et les sources de données. Là où une gouvernance robuste fait défaut, les risques liés à une explicabilité limitée et à une qualité de données difficile à vérifier augmentent tout particulièrement.

Il importe aussi de savoir où l’IA travaille déjà. L’enquête britannique montre des applications dans les opérations, l’IT, la conformité, le reporting, la détection de fraude et le support client. 55 % des cas d’usage incluent déjà une forme d’aide à la décision automatisée ; 24 % fonctionnent en partie de manière autonome. L’enseignement décisif n’est pas l’automatisation intégrale, mais l’autonomie par paliers : les établissements matures définissent précisément où un humain contrôle, valide, escalade ou stoppe, et où ce n’est pas le cas.

Sur le plan réglementaire, l’orientation est également posée. DORA s’applique dans l’UE depuis janvier 2025 et exige une gestion des risques TIC, la maîtrise des tiers, la gestion des incidents et la surveillance des prestataires externes critiques. Le AI Act européen est en vigueur depuis août 2024 ; pour les systèmes à haut risque, il prescrit la réduction du risque, des jeux de données de grande qualité et une surveillance humaine. L’applicabilité se décline par phases : obligations de littératie IA à partir de février 2025, règles de gouvernance pour l’IA à usage général à partir d’août 2025, obligations majeures pour les systèmes à haut risque à partir d’août 2026. Qui introduit aujourd’hui l’IA dans un contexte financier n’évolue pas dans un espace sans normes. Le cadre de maîtrise se resserre pendant que les systèmes sont déjà en fonctionnement.

En Suisse, le message est tout aussi direct. La FINMA a souligné fin 2024 qu’une adoption rapide de l’IA entraîne des risques opérationnels, des risques de modèle et une dépendance croissante vis-à-vis de tiers, et que les structures de gouvernance et de gestion des risques ne sont encore en construction dans nombre d’établissements. L’enquête FINMA 2025 menée auprès d’environ 400 institutions financières montre : environ la moitié utilise déjà l’IA, environ 25 % le prévoient dans les trois ans, et 91 % des établissements utilisant l’IA travaillent déjà avec l’IA générative. La FINMA attire expressément l’attention sur une dépendance accrue aux grands fournisseurs technologiques. Les petits établissements recourent souvent exclusivement à des applications développées en externe, sans infrastructure de contrôle propre derrière elles. Les établissements citent comme risques prioritaires la qualité des données, la protection des données, l’explicabilité et l’externalisation.

Pour les sociétés de gestion, la question se déplace ainsi fondamentalement. Comment empêcher que les mêmes fournisseurs, les mêmes sources de données et les mêmes hypothèses de modèle ne pénètrent de manière invisible dans plusieurs processus critiques ? Le FMI met en garde pour les marchés de capitaux contre l’effet de troupeau, la concentration chez les fournisseurs et une explicabilité insuffisante. L’IA n’échelle pas seulement la productivité de l’équipe ; dans le pire des cas, elle échelle aussi les fausses hypothèses, les corrélations et les lacunes de contrôle.

Pour les family offices, le contexte diffère souvent ; la conclusion est pourtant souvent encore plus nette. UBS relève dans le Global Family Office Report 2025 que les family offices utilisent ou projettent d’utiliser l’IA surtout pour le reporting financier, la visualisation de données et l’analyse de textes. Campden Wealth et AlTi montrent simultanément dans le rapport Operational Excellence 2025 que seul environ un tiers des family offices a intégré largement des technologies leaders dans ses flux opérationnels, et que l’absence de règles est décrite explicitement comme un risque opérationnel. Les family offices plus jeunes travaillent souvent avec des arrangements informels. Dans un tel environnement, acheter en premier de nouveaux outils IA sans définir proprement rôles, validations, documentation et accès aux données aggrave les faiblesses structurelles au lieu de les résoudre. Le lien entre visibilité, communication et pression réglementaire fait l’objet d’un article distinct. Il traite du rôle stratégique de la communication lorsque les marchés et le cadre se resserrent.

Une structure IA maîtrisée ne commence pas par un logiciel mais par une architecture. D’abord un inventaire complet des cas d’usage, puis une classification des risques, puis une attribution claire des responsabilités. Ce n’est qu’à partir de là que viennent les validations, la documentation, les contrôles techniques, la surveillance continue. Lorsque des plateformes comme Copilot, ChatGPT ou Claude entrent en jeu, ce n’est pas l’interface qui décide, mais le fait que validations, parcours de données et supervision aient été clarifiés au préalable. Cinq questions aident à poser les bases :

Qui porte la responsabilité de fond du cas d’usage ? Qui peut valider une mise en production ? Quelles données le système peut-il voir et traiter ? Où une validation humaine est-elle obligatoire, et où ne l’est-elle pas ? Comment les écarts, erreurs, incidents et revalidations sont-ils documentés ?

84 % des établissements financiers interrogés désignent déjà une personne responsable de leur cadre IA, 72 % placent cette responsabilité au sein de la direction, 81 % utilisent des méthodes d’explicabilité. La maturité ne vient pas de l’achat d’un outil, mais de la responsabilité, de la traçabilité et d’un contrôle institutionnalisé.

L’ordre des étapes est décisif. D’abord la responsabilité, puis le processus de validation, puis la logique données et tiers, puis la supervision humaine, puis la documentation et la surveillance, et seulement ensuite la montée en charge. Le véritable goulot d’étranglement n’est pas le modèle. C’est la capacité d’une organisation à contrôler les résultats de façon vérifiable, à valider proprement les décisions et à garder les risques sous contrôle.