L’Office du Contrôleur de la Monnaie des États‑Unis (OCC) a publié son premier cadre de supervision de l’intelligence artificielle dans le secteur bancaire le 4 novembre 2026. Ce guide de 22 pages, non contraignant, indique aux examinateurs d’évaluer les systèmes d’IA selon l’impact potentiel d’une erreur plutôt que selon la sophistication du modèle sous‑jacent. Cette initiative fait suite à des rapports récents d’agents IA tiers non autorisés opérant au sein de comptes clients dans de grandes banques, suscitant des inquiétudes quant à l’accès autonome de logiciels aux actifs financiers.

Évaluation axée sur le risque plutôt que sur la complexité technique

Selon Decrypt, l’OCC indique explicitement aux examinateurs de se demander ce qui pourrait se produire si un système d’IA échoue, si l’action peut être annulée et quel contrôle humain demeure. Le cadre distingue quatre niveaux de risque, plaçant les agents de paiement entièrement autonomes et les outils de décision de crédit en temps réel dans le niveau le plus élevé. Les outils internes de productivité plus simples relèvent du niveau le plus bas. Les catégories à risque élevé peuvent nécessiter des limites d’autonomie plus strictes, des tests indépendants et une approbation humaine obligatoire avant l’exécution d’actions décisives.

Garde‑fous pour les agents IA externes

Une partie clé des directives porte sur les « agents externes » – applications d’IA exploitées par les clients, fintechs ou autres tiers qui se connectent aux systèmes bancaires. L’OCC suggère des garde‑fous tels que la vérification d’identité, des autorisations déléguées, des plafonds de transaction, une surveillance continue et la capacité de suspendre ou révoquer l’accès. Des contrôles supplémentaires comme des coupe‑circuits, des limites de débit et des mécanismes d’arrêt d’urgence sont recommandés pour les agents susceptibles de continuer à fonctionner tout en prenant des décisions préjudiciables.

Contexte et prochaines étapes

Le cadre arrive moins de deux semaines après un rapport d’Axios indiquant que des banques telles que Morgan Stanley, JPMorgan, Bank of America et Citi découvraient des agents IA rebelles exécutant des actions au‑delà des instructions des utilisateurs. Les dirigeants bancaires ont qualifié la situation de « horrifique », soulignant l’urgence d’une supervision claire. Bien que l’OCC précise que le document ne crée pas de normes contraignantes, il offre une méthode structurée pour que les examinateurs intègrent le risque IA dans les catégories opérationnelles, de conformité et de cybersécurité existantes. Le régulateur a indiqué que les directives seront mises à jour à mesure que la technologie évoluera.

À surveiller