IA, lutte contre le blanchiment d'argent 10 min de lecture
L'IA dans la lutte contre la criminalité liée au blanchiment d'argent : comprendre les nouvelles exigences en matière de risque lié aux modèles pour les banques et les fintechs
Par Dustin Eaton, responsable de la lutte contre la fraude et du lutte contre le blanchiment d'argent chez Taktile
Il s'agit de la première partie d'une série en deux volets destinée à aider les établissements financiers à s'adapter aux exigences en matière de risque de modèle applicables aux systèmes de lutte contre le blanchiment d'argent basés sur l'IA.
Introduction : L'IA améliore les performances de la lutte contre le blanchiment d'argent et suscite une prise de conscience au niveau réglementaire
Le secteur des services financiers connaît actuellement une profonde transformation dans la manière dont les institutions détectent et préviennent le blanchiment d’argent et la criminalité financière. Les technologies d’intelligence artificielle (IA) et d’apprentissage automatique (ML) se sont rapidement généralisées dans les fonctions de lutte contre le blanchiment d’argent (AML), redéfinissant en profondeur les capacités de surveillance des transactions, de gestion des dossiers et de filtrage des sanctions. Dans le présent document, le terme « IA » est utilisé au sens large pour englober à la fois les modèles classiques d’apprentissage automatique (par exemple, la notation des transactions, la détection des anomalies) et les systèmes d’IA générative plus récents, notamment les grands modèles linguistiques (LLM) et les modèles de base tiers utilisés pour des tâches telles que la synthèse, la génération de récits et l’aide à l’enquête.
Des recherches récentes montrent que les systèmes de lutte contre le blanchiment d’argent basés sur l’IA peuvent réduire les faux positifs de 70 % tout en améliorant de 30 % la détection des événements à haut risque— ce qui représente une avancée spectaculaire par rapport aux approches traditionnelles basées sur des règles. Même dans le domaine complexe des sanctions, un rapport récent du Conseil de la Réserve fédérale a constaté une réduction pouvant atteindre 92 % des faux positifs et une augmentation de 11 % du taux de détection réelle.
Pourtant, cette révolution technologique a déclenché une prise de conscience réglementaire parallèle. Ce qui a commencé par des cadres de gestion des risques liés aux modèles (MRM) pour les modèles de risque de crédit et de marché est désormais systématiquement étendu aux systèmes d’IA déployés au sein des fonctions de conformité. Cette convergence n’est ni fortuite ni facultative : les régulateurs considèrent de plus en plus les systèmes sophistiqués d’IA utilisés dans la lutte contre le blanchiment d’argent comme des modèles soumis aux mêmes normes rigoureuses de validation, de gouvernance et de documentation que celles traditionnellement réservées aux systèmes quantitatifs ayant une incidence sur les fonds propres.
La thèse de cet article est simple mais lourde de conséquences : les banques et les fintechs doivent désormais traiter les systèmes d’IA de lutte contre le blanchiment d’argent avec la même rigueur, les mêmes normes de documentation et la même validation indépendante que celles appliquées aux modèles de crédit. Ce changement ne se résume pas à une simple case à cocher en matière de conformité, mais constitue une refonte fondamentale de la manière dont les institutions développent, valident et régissent l’IA dans leurs fonctions de conformité les plus critiques. Les organisations qui prendront conscience rapidement de cette nécessité et mettront en place des cadres solides de gestion des risques liés aux modèles autour de l’IA anti-blanchiment bénéficieront d’avantages concurrentiels significatifs en termes de rapidité de déploiement, de confiance des autorités réglementaires et de résultats opérationnels.
Bien que de nombreux exemples présentés dans cet article se concentrent sur les modèles prédictifs et de notation couramment utilisés dans la surveillance des transactions anti-blanchiment, les mêmes principes de gestion des risques liés aux modèles s’appliquent aux systèmes d’IA générative et agentique de plus en plus intégrés dans les flux de travail anti-blanchiment.
La norme SR 11-7 s'applique désormais à la LMA : comment son champ d'application s'est élargi et pourquoi la pression réglementaire s'intensifie
Le cadre réglementaire relatif à la gestion du risque de modèle a été mis en place en 2011, lorsque la Réserve fédérale et le Bureau du contrôleur de la monnaie (OCC) ont publié conjointement la circulaire SR 11-7, intitulée «Directives de surveillance relatives à la gestion du risque de modèle ». Ces directives ont introduit un cadre reposant sur trois piliers, définissant le risque de modèle comme « le risque de conséquences négatives résultant de décisions fondées sur des résultats et des rapports de modèles incorrects ou mal utilisés ».
Il est important de noter que la norme SR 11-7 définissait un « modèle » au sens large comme « une méthode, un système ou une approche quantitative qui applique des théories, des techniques et des hypothèses statistiques, économiques, financières ou mathématiques afin de transformer des données d’entrée en estimations quantitatives ». Cette définition large était intentionnelle, conçue pour englober tout outil décisionnel quantitatif, indépendamment de sa sophistication technologique ou de sa mise en œuvre. Pendant plus d’une décennie, les établissements ont principalement appliqué ce cadre aux modèles de risque traditionnels, tels que les calculs de valeur à risque (VaR), les scorecards de crédit, les modèles de risque de taux d’intérêt et les moteurs de tests de résistance.
Le paysage réglementaire a connu un tournant décisif en 2021 lorsque les autorités bancaires fédérales ont publié une «Déclaration interinstitutionnelle sur la gestion des risques liés aux modèles pour les systèmes bancaires assurant la conformité à la loi sur le secret bancaire et à la lutte contre le blanchiment d’argent », confirmant explicitement que les principes de la gestion des risques liés aux modèles (MRM) s’appliquent aux systèmes de lutte contre le blanchiment d’argent. Cette déclaration a précisé que les systèmes de surveillance des transactions, les outils de filtrage des sanctions et les plateformes de conformité basées sur l’intelligence artificielle répondent à la définition du terme « modèle » au sens de la norme SR 11-7, ce qui les soumet aux mêmes exigences en matière de validation, de gouvernance et de contrôle.
Cette question revêt aujourd’hui une importance particulière, car les contrôles réglementaires se sont intensifiés.La Division des contrôles de la SEC a identifié la gouvernance de l’IA comme une priorité d’inspection pour 2025, ce qui laisse présager un examen plus minutieux de la manière dont les entreprises développent, valident et surveillent leurs systèmes d’IA. De même, le Département des services financiers de New York (NYDFS) et le Bureau de protection financière des consommateurs (CFPB) ont démontré, par le biais de mesures coercitives et de directives d’inspection, que la gouvernance de l’IA au sein des fonctions de conformité fera l’objet d’un examen aussi rigoureux que les modèles de sécurité et de solidité financière.
Le principe fondamental qui sous-tend cette convergence est simple : toute méthode quantitative ayant une influence significative sur les décisions en matière de risque — y compris les décisions de conformité — constitue un modèle soumis à des normes de validation. La sophistication technologique des systèmes modernes d’IA et d’apprentissage automatique ne les dispense pas de ces exigences ; au contraire, leur complexité et leur potentiel de prise de décision opaque renforcent la nécessité d’une gestion rigoureuse des risques liés aux modèles (MRM).
Les trois piliers de la norme SR 11-7 : comment s'appliquent-ils aux modèles d'IA utilisés dans la lutte contre le blanchiment d'argent ?
Pilier 1 : Élaboration, mise en œuvre et utilisation des modèles
Le premier pilier de la norme SR 11-7 traite de la manière dont les modèles sont développés, déployés et mis en œuvre. Pour les systèmes d'IA destinés à la lutte contre le blanchiment d'argent, ce pilier soulève des défis techniques et de documentation spécifiques qui diffèrent sensiblement de ceux des modèles traditionnels de risque de crédit ou de marché.
Exigences en matière de documentation pour les modèles d'IA utilisés dans la lutte contre le blanchiment d'argent
Une gestion rigoureuse des risques liés aux modèles commence par une documentation exhaustive de la traçabilité des données, des décisions relatives à l'ingénierie des caractéristiques et des méthodologies d'apprentissage des modèles. L'exhaustivité et l'intégrité des données constituent le fondement de ce processus : les données d'entrée doivent être « exactes, complètes, cohérentes avec l'objectif et la conception du modèle, et de la meilleure qualité possible ». Pour les applications de lutte contre le blanchiment d'argent (AML), cela nécessite une documentation claire concernant :
- Traçabilité des données : traçabilité complète depuis les systèmes sources jusqu'aux entrées des modèles, en passant par les pipelines de transformation, y compris les éventuels substituts de données, agrégations ou processus d'enrichissement.
- Ingénierie des caractéristiques : documentation claire indiquant quels attributs de transaction, caractéristiques des clients et modèles de comportement ont été sélectionnés comme caractéristiques du modèle, ainsi que les raisons justifiant leur inclusion ou leur exclusion.
- Approches de formation : que le modèle repose sur l'apprentissage supervisé, le regroupement non supervisé, l'apprentissage par renforcement ou des approches hybrides, avec une documentation explicite concernant la sélection des données, le réglage des hyperparamètres et les stratégies de validation.
Le manuel de gestion des risques liés aux modèles de l’OCC souligne que la documentation doit être « suffisamment détaillée pour permettre à des personnes ne connaissant pas le modèle de comprendre son fonctionnement, ses limites et ses principales hypothèses ». Cette norme s’avère particulièrement exigeante pour les modèles complexes d’apprentissage automatique, dans lesquels les interactions entre les caractéristiques et les seuils de décision peuvent être non linéaires et difficiles à expliquer.
Défis liés au développement de modèles spécifiques à la LMA
Trois défis techniques distinguent le développement de modèles AML des applications de modélisation plus traditionnelles :
- Étiquettes de référence : Contrairement aux modèles de crédit, où les cas de défaut constituent une référence claire, les modèles de lutte contre le blanchiment d’argent sont confrontés à une ambiguïté fondamentale. Ce qui constitue un « véritable » blanchiment d’argent reste intrinsèquement ambigu. Les déclarations d’opérations suspectes (DOS) reflètent des soupçons institutionnels, et non une activité criminelle confirmée. Cela pose des défis pour l’entraînement et la validation des modèles, car la « référence » elle-même reflète une appréciation subjective plutôt qu’un résultat objectif. Les modèles doivent donc être entraînés et validés en tenant compte de cette incertitude inhérente à l’étiquetage.
- Déséquilibre de classe : le blanchiment d’argent et le financement du terrorisme constituent des cas extrêmement marginaux au sein des ensembles de transactions — souvent, moins de 1 % des transactions justifient l’ouverture d’une enquête. Ce déséquilibre de classe important pose un défi aux algorithmes traditionnels d’apprentissage automatique, qui sont optimisés pour des ensembles de données équilibrés. Les modèles doivent être spécialement conçus et ajustés pour détecter des signaux rares sans générer de taux de faux positifs prohibitifs.
- Couverture des typologies : les typologies de blanchiment d’argent évoluent en permanence, les criminels s’adaptant aux contrôles de détection. Les modèles de lutte contre le blanchiment d’argent doivent couvrir l’ensemble des typologies connues (par exemple, le blanchiment par le commerce, le « smurfing », le « layering ») tout en conservant la capacité à détecter de nouveaux schémas. Cela nécessite une surveillance continue des modèles et des cycles de réentraînement plus rapides que les cycles de mise à jour habituels des modèles de crédit.
Indicateurs de performance au-delà de la précision dans la lutte contre le blanchiment d'argent
La précision — c'est-à-dire la proportion de classifications correctes — s'avère insuffisante en tant qu'indicateur de performance principal pour les modèles de lutte contre le blanchiment d'argent (AML) en raison d'un déséquilibre important entre les classes. Un modèle qui classe 99,9 % des transactions comme légitimes atteint une précision de 99,9 %, tout en ne détectant aucun cas de blanchiment d'argent. La validation des modèles AML doit donc privilégier des indicateurs tels que :
- Précision et rappel : la précision mesure la proportion d'alertes générées qui correspondent à de véritables activités suspectes (souvent représentée par le taux de conversion en déclarations d'opérations suspectes, ou SAR), tandis que le rappel mesure la proportion d'activités suspectes réelles détectées par le modèle. Le compromis entre ces deux indicateurs définit le point de fonctionnement du modèle.
- PRAUC (Precision-Recall Area Under Curve) : contrairement aux indicateurs ROC-AUC traditionnels, qui peuvent induire en erreur dans le cas d’ensembles de données déséquilibrés, le PRAUC offre une évaluation plus réaliste des performances du modèle en mesurant la précision par rapport au rappel pour tous les seuils de décision. Des études démontrent que le PRAUC « reflète mieux la réalité opérationnelle que les alternatives traditionnelles » dans des contextes tels que la lutte contre le blanchiment d’argent, où les cas positifs sont extrêmement rares.
- Réduction des faux positifs : étant donné que les systèmes traditionnels de lutte contre la criminalité organisée génèrent environ 90 à 95 % d'alertes faussement positives, la mesure de la réduction des taux de faux positifs tout en préservant les capacités de détection constitue un indicateur de réussite essentiel.
Indicateurs de performance pour l'IA générative et les cas d'utilisation de la lutte contre le blanchiment d'argent (AML) basés sur les modèles de langage à grande échelle (LLM)
Pour les cas d'utilisation de l'IA générative — tels que la synthèse des transactions, la synthèse des éléments de preuve ou la rédaction de rapports d'activité suspecte (SAR) —, les indicateurs de classification traditionnels (par exemple, la précision, le rappel ou le PRAUC) ne sont pas applicables. Ces systèmes ne « prédisent » pas les activités suspectes, mais génèrent du contenu destiné à étayer le jugement humain.
Pour ces applications d'IA, les indicateurs statistiques traditionnels de performance ne suffisent pas. Les institutions doivent donc s'appuyer sur d'autres critères de validation, notamment :
- Contrôle qualité avec intervention humaine (précision, exhaustivité, cohérence factuelle des résultats générés)
- Notes attribuées dans le cadre d'évaluations structurées par des personnes (par exemple : utilité, clarté, conformité réglementaire)
- Suivi des erreurs et des hallucinations (fréquence des faits erronés, des déductions non fondées)
- Indicateurs de résultats en aval (gain de temps pour les chercheurs, amélioration de la qualité des rapports d'anomalies, taux de retouches)
Contrôles de mise en œuvre pour les modèles d'IA destinés à la lutte contre le blanchiment d'argent
Des contrôles de mise en œuvre rigoureux permettent de distinguer les modèles d’IA de lutte contre le blanchiment d’argent prêts à être déployés en production des prototypes expérimentaux. La norme SR 11-7 souligne que « la gestion des risques liés aux modèles repose sur des investissements importants dans des systèmes d’appui visant à garantir l’intégrité des données et des rapports, ainsi que sur des contrôles et des tests destinés à assurer la mise en œuvre correcte des modèles, une intégration efficace des systèmes et une utilisation appropriée ». Les contrôles de mise en œuvre essentiels comprennent :
- Contrôle de version : l'ensemble du code des modèles, des fichiers de configuration, des instantanés des données d'entraînement et des hyperparamètres doit faire l'objet d'un contrôle de version et être traçable afin de garantir la reproductibilité et la traçabilité.
- Tests A/B : les nouvelles versions des modèles doivent être évaluées par rapport aux modèles existants à l'aide de données de test identiques afin de démontrer une amélioration des performances avant leur déploiement en production.
- Déploiement de nœuds « fantômes » : avant de remplacer les systèmes opérationnels, les nouveaux modèles doivent fonctionner en parallèle en « mode fantôme », c’est-à-dire que les résultats sont générés mais ne donnent lieu à aucune action, ce qui permet de valider leurs performances sur des flux de données réels avant qu’ils n’aient un impact sur l’activité.
Pilier 2 : Validation indépendante des modèles
La validation indépendante constitue la pierre angulaire de la gestion des risques liés aux modèles ; elle apporte l’assurance objective que les modèles fonctionnent comme prévu et répondent à leurs objectifs de conception. Le « Model Risk Management Handbook » (Guide de gestion des risques liés aux modèles) de l’OCC stipule sans équivoque que « la validation doit être effectuée par des personnes qui ne sont pas responsables du développement ou de l’utilisation du modèle et qui n’ont aucun intérêt direct à ce qu’un modèle soit jugé valide ».
Exigences en matière de validation indépendante
La question de savoir qui est habilité à valider les systèmes d’IA utilisés dans la lutte contre le blanchiment d’argent nécessite d’examiner attentivement à la fois l’indépendance organisationnelle et l’expertise technique. Le modèle des « trois lignes de défense » fournit le cadre de référence :
- Première ligne (unités opérationnelles) : les développeurs de modèles et les équipes chargées des opérations de lutte contre le blanchiment d'argent sont responsables de la performance des modèles, mais ne peuvent pas en assurer la validation de manière indépendante.
- Deuxième ligne (gestion indépendante des risques) : les fonctions de gestion des risques, indépendantes des lignes métier, assurent généralement des missions de validation et rendent compte aux comités des risques du conseil d'administration.
- Troisième ligne (audit interne) : les fonctions d'audit évaluent l'efficacité globale du cadre de gestion des risques (MRM) lui-même.
- Validation externe : des organismes de validation tiers peuvent compléter la validation interne, notamment lorsque des compétences spécialisées en IA et en apprentissage automatique sont requises.
Pour les banques locales et les petites entreprises de technologie financière, l'accès à une véritable indépendance peut nécessiter le recours à des ressources externes de validation, car l'expertise technique requise pour la validation des modèles d'IA n'existe souvent pas en dehors des équipes de développement.
Portée de la validation du modèle
La validation complète d'un modèle d'IA dédié à la lutte contre le blanchiment d'argent (AML) comprend trois éléments fondamentaux prescrits par la norme SR 11-7 :
- Solidité conceptuelle : vérification que le fondement théorique du modèle, son approche mathématique et ses choix algorithmiques sont adaptés à la détection des typologies de blanchiment d'argent. Cela implique notamment d'évaluer si les caractéristiques sélectionnées présentent des liens logiques avec le risque de blanchiment d'argent et si l'architecture du modèle (réseau neuronal, forêt aléatoire, gradient boosting, etc.) est adaptée à la structure du problème.
- Analyse des résultats : comparaison des résultats du modèle avec les résultats observés au fil du temps. Pour les modèles de lutte contre la criminalité financière, cela consiste notamment à analyser les taux de conversion des alertes générées par le modèle en signalements (SAR), à évaluer si les transactions ayant obtenu un score élevé présentaient effectivement des caractéristiques suspectes, et à identifier les typologies non détectées ou les faux négatifs.
- Suivi continu : évaluation permanente des performances du modèle à mesure que les schémas de transactions, les profils de clientèle et les typologies de blanchiment d’argent évoluent. Le manuel de l’OCC souligne que « le suivi continu est essentiel pour déterminer si les changements intervenus au niveau des produits, des expositions, des activités, des clients ou des conditions de marché nécessitent un ajustement, une refonte ou un remplacement du modèle ».
Les défis liés à la validation des modèles spécifiques à la LMA
Deux défis techniques compliquent tout particulièrement la validation des modèles d'IA appliqués à la lutte contre le blanchiment d'argent :
- Validation de la détection de typologies inconnues : la validation traditionnelle des modèles part du principe que le phénomène ciblé (par exemple, le défaut de paiement) est bien défini et observable. Les modèles de lutte contre le blanchiment d’argent doivent détecter des typologies futures inconnues, c’est-à-dire des méthodes de blanchiment qui n’existent pas encore dans les données d’apprentissage. La validation doit donc évaluer la capacité du modèle à détecter des anomalies et à reconnaître des schémas au-delà des exemples historiques, et non pas simplement sa précision sur des typologies connues.
- Tests dans différentes juridictions : les méthodes de blanchiment d’argent, les exigences réglementaires et les schémas de transactions habituels varient considérablement d’une juridiction à l’autre. Un modèle validé pour les transactions nationales aux États-Unis peut s’avérer inefficace lorsqu’il est appliqué à des paiements transfrontaliers impliquant des marchés émergents. La validation doit tester explicitement les performances du modèle sur l’ensemble de la zone géographique dans laquelle il sera déployé, avec des seuils et un calibrage spécifiques à chaque juridiction, si nécessaire.
Exigences en matière de back-testing et de validation des résultats
Alors que le back-testing traditionnel — qui consiste à comparer les prévisions d’un modèle aux résultats observés — s’avère difficile à mettre en œuvre pour les modèles de lutte contre le blanchiment d’argent (il n’existe pas de base de données exhaustive répertoriant « tous les cas de blanchiment d’argent qui se sont produits »), il existe d’autres approches de validation des résultats, notamment :
- Indicateurs de qualité des SAR : analyse de la qualité, de l'exhaustivité et de la conformité réglementaire des SAR générés à partir d'alertes de modèle.
- Taux de conversion des alertes en SAR : suivi du pourcentage d'alertes générées par le modèle qui aboutissent, au terme de l'enquête, au dépôt d'un SAR.
- Tests « au-dessus de la ligne » / « en dessous de la ligne » : échantillonnage des transactions pour lesquelles le modèle a déclenché une alerte (au-dessus de la ligne) afin de valider les vrais positifs, et des transactions pour lesquelles le modèle n'a pas déclenché d'alerte (en dessous de la ligne) afin d'identifier les faux négatifs.
Le manuel 2021 de l'OCC sur la gestion des risques liés aux modèles fournit des conseils pratiques soulignant que « les tests rétrospectifs traditionnels ne constituent peut-être pas la meilleure forme d'analyse des résultats pour les modèles BSA/AML » et préconisant ces autres approches de validation.
Pilier 3 : Gouvernance et contrôles
Le troisième pilier porte sur le cadre organisationnel, les politiques et les processus de contrôle qui garantissent le bon fonctionnement de la gestion des risques liés aux modèles à l'échelle de l'entreprise.
Exigences relatives à l'inventaire des modèles
Une bonne gouvernance commence par la connaissance des modèles existants au sein de l'entreprise. La norme SR 11-7 stipule que « les banques doivent disposer d'un ensemble complet d'informations sur les modèles mis en œuvre, en cours de développement en vue d'une mise en œuvre ou récemment retirés de service ». Pour les systèmes d'IA destinés à la lutte contre le blanchiment d'argent, cela implique au minimum de répertorier :
- Modèles de surveillance des transactions (basés sur des règles et sur l'IA/l'apprentissage automatique)
- Modèles de vérification des noms et de filtrage des sanctions
- Modèles d'évaluation du risque client utilisés dans les processus KYC/CDD
- Modèles de hiérarchisation des dossiers et de déroulement des enquêtes
- Modèles d'analyse de réseaux et de résolution d'entités
- Modèles d'évaluation des alertes et de triage
L'inventaire doit recenser non seulement l'existence de chaque modèle, mais également son niveau de risque, son statut de validation, ses limites identifiées, le personnel en charge ainsi que ses dépendances vis-à-vis d'autres modèles ou sources de données. De nombreuses institutions constatent, lors de leurs exercices d'inventaire, que les composants d'IA et d'apprentissage automatique se sont multipliés au sein des fonctions de lutte contre le blanchiment d'argent sans faire l'objet d'un suivi centralisé — une lacune en matière de gouvernance qui engendre à la fois un risque de non-conformité et une inefficacité opérationnelle.
Classification des risques par niveau
Tous les modèles ne nécessitent pas le même niveau de rigueur en matière de validation. Le manuel de l’OCC précise que « le risque lié aux modèles augmente avec la complexité de ceux-ci, le degré d’incertitude concernant les données d’entrée et les hypothèses, l’étendue de leur utilisation et l’ampleur de leur impact potentiel ». Les cadres de classification des risques par niveau classent les modèles en trois catégories (risque élevé, modéré ou faible) en fonction de facteurs tels que :
- Importance de l'impact : les modèles qui déterminent directement les décisions relatives au dépôt des rapports SAR ou qui influent sur les déclarations réglementaires présentent un risque plus élevé que les modèles consultatifs qui viennent étayer le jugement des analystes.
- Degré d'automatisation : les modèles qui génèrent ou exécutent automatiquement des mesures de conformité (par exemple, des alertes, des remontées hiérarchiques, des recommandations relatives aux déclarations d'opérations suspectes ou des actions à mener par les clients) présentent un risque plus élevé que les modèles d'aide à la décision qui assistent les enquêteurs et nécessitent un examen humain documenté avant toute mesure réglementaire.
- Complexité : les modèles d'apprentissage profond comportant des millions de paramètres et des frontières de décision non linéaires posent davantage de difficultés de validation que les modèles de notation linéaires.
- Qualité des données : les modèles reposant sur des sources de données incomplètes ou approximatives présentent un risque accru
- Sensibilité réglementaire : les modèles portant sur l'équité en matière de crédit, le respect des sanctions ou le calcul des fonds propres justifient une classification de risque plus élevée.
Dans la pratique, de nombreux cas d’utilisation émergents de l’IA dans la lutte contre le blanchiment d’argent — tels que la synthèse des transactions, la hiérarchisation des enquêtes, l’agrégation des preuves et la rédaction des rapports d’opérations suspectes (SAR) — s’inscrivent dans une logique d’aide à la décision. Lorsque des enquêteurs expérimentés conservent toute autorité pour accepter, modifier ou rejeter les résultats fournis par l’IA, le risque global lié au modèle est considérablement réduit. Les régulateurs considèrent généralement ces systèmes « avec intervention humaine » comme des applications à moindre risque, justifiant une validation et une gouvernance proportionnées plutôt que la rigueur totale requise pour les modèles de prise de décision automatisés. Un risque moindre n’implique toutefois pas une exclusion des inventaires de modèles ni des exigences de surveillance. Cette distinction est particulièrement importante pour les applications basées sur des modèles de langage à grande échelle (LLM), où les résultats sont informatifs plutôt que déterminants, et où les enquêteurs conservent l’autorité totale sur les jugements réglementaires.
L'illustration suivante montre comment le degré d'automatisation influe généralement, dans la pratique, sur la classification des risques des modèles d'IA utilisés dans la lutte contre le blanchiment d'argent (AML), en supposant que d'autres facteurs de risque, tels que la qualité des données, la complexité et la sensibilité réglementaire, restent constants.
- Risque élevé
- Génération ou suppression entièrement automatisée des alertes
- Recommandations de dépôt de SAR générées par l'IA, sans examen humain obligatoire
- Actions autonomes du client (blocage, fermeture, gel)
- Attentes de l'évaluateur : validation complète de la norme SR 11-7, examen annuel, visibilité auprès du conseil d'administration
- Risque modéré
- Évaluation ou hiérarchisation des alertes basée sur l'IA, influençant la charge de travail et l'attention
- Recommandations concernant le traitement ou la remontée des dossiers
- Attentes de l'évaluateur : validation formelle, évaluation des résultats, suivi
- Risque moindre
- Outils de productivité pour les analystes :
- Résumé des transactions
- Visualisation des relations entre entités
- Rédaction du rapport SAR
- Compilation des éléments de preuve
- Résultats vérifiés et validés par des personnes
- Attentes de l'évaluateur : intégration dans l'inventaire des modèles, justification documentée, examen de la cohérence conceptuelle de base, surveillance des biais ou des dérives
- Outils de productivité pour les analystes :
Les modèles à haut risque nécessitent une validation plus fréquente (au moins une fois par an), une documentation plus complète et l'implication de la direction dans les processus d'approbation et de contrôle.
Contrôle du conseil d'administration et de la direction
La norme SR 11-7 définit clairement les responsabilités du conseil d'administration : « Les membres du conseil d'administration doivent s'assurer que le niveau de risque lié aux modèles reste dans les limites de leur tolérance et ordonner des changements le cas échéant. » En ce qui concerne plus particulièrement l'IA appliquée à la lutte contre le blanchiment d'argent, cela signifie que les dirigeants doivent comprendre et approuver :
- L'approche globale de l'établissement en matière d'IA dans le cadre de la conformité aux obligations de lutte contre le blanchiment d'argent
- Appétit pour le risque lié à la génération d'alertes basée sur des modèles et à la prise de décision en matière de déclarations d'opérations suspectes (SAR)
- Allocation des ressources pour la validation du modèle et le suivi continu
- Limites importantes du modèle et contrôles compensatoires
- Indicateurs de performance du modèle et tendances au fil du temps
Les conseils d'administration n'ont pas besoin de comprendre les subtilités mathématiques des algorithmes de « gradient boosting », mais ils doivent savoir quelles fonctions de lutte contre le blanchiment d'argent (AML) s'appuient sur l'IA, quels risques ces modèles comportent et comment ces risques sont gérés. Les rapports destinés à la direction devraient inclure des indicateurs tels que les modèles dont la validation est en retard, les modèles fonctionnant en mode d'exception, les tendances en matière de faux positifs et les taux de conversion des déclarations d'opérations suspectes (SAR).
Risque lié aux modèles de tiers
De nombreuses banques et entreprises de technologie financière s'appuient sur des plateformes tierces pour bénéficier de capacités d'IA en matière de lutte contre le blanchiment d'argent, qu'il s'agisse de systèmes de surveillance spécialisés, de services d'enrichissement des données ou de plateformes de conformité de bout en bout. La norme SR 11-7 traite explicitement des modèles tiers : « Les produits tiers doivent néanmoins être intégrés dans le cadre plus large de gestion des risques liés aux modèles de la banque, selon les mêmes principes que ceux appliqués aux modèles internes. »
La vérification préalable du fournisseur doit porter sur :
- Méthodologie de développement des modèles et documentation relative à la validation
- Sources des données et contrôles de qualité
- Processus de mise à jour et de gestion des versions des modèles
- Possibilités et limites de personnalisation
- Historique de conformité réglementaire
- Dispositions contractuelles relatives à l'accès aux informations aux fins d'examen réglementaire
Ces défis sont encore plus marqués pour les modèles de base tiers et les API de grands modèles de langage (LLM) utilisés pour l’aide à la décision en matière de lutte contre le blanchiment d’argent. Les établissements doivent s’attendre à une transparence limitée sur le fonctionnement interne des modèles, à un accès inexistant à la documentation traditionnelle relative au développement des modèles, et à devoir se fier aux assurances fournies par les prestataires plutôt qu’à des rapports indépendants sur les modèles. Par conséquent, la validation doit se concentrer davantage sur la délimitation contrôlée des cas d’utilisation, les tests des résultats, les processus de révision humaine et la gouvernance contractuelle plutôt que sur les mécanismes des modèles. En outre, une gouvernance efficace des cas d’utilisation de la lutte contre le blanchiment d’argent (AML) basés sur les LLM devrait inclure des contrôles tels que :
- Des limites claires en matière de cas d'utilisation (ce à quoi le LLM peut et ne peut pas servir)
- Gouvernance, gestion des versions et contrôle des modifications en temps réel
- Contrôle des résultats et prélèvements périodiques effectués par des opérateurs pour l'assurance qualité
Les établissements ne peuvent pas déléguer la responsabilité liée au risque de modèle. Même lorsqu’elles utilisent des modèles fournis par des prestataires, les banques restent tenues de vérifier que ces modèles fonctionnent correctement dans leur environnement opérationnel spécifique, avec leur clientèle et leurs schémas de transactions. La documentation de validation fournie par le prestataire apporte des informations, mais ne remplace pas les exigences de validation propres à l’établissement.
Normes de documentation relatives au risque de modèle
Ce cadre de gouvernance s'articule autour de normes de documentation garantissant la transparence, la vérifiabilité et la continuité. Les documents requis sont les suivants :
- Politique relative au risque de modèle : politique approuvée par le conseil d'administration qui définit le cadre de gestion du risque de modèle (MRM) de l'établissement, les rôles et responsabilités, les normes de validation et l'appétit pour le risque.
- Rapports de validation : rapports de validation formels pour chaque modèle, présentant les évaluations de la validité conceptuelle, les conclusions de l'analyse des résultats, les limites identifiées et les recommandations de validation.
- Rapports de suivi continu : rapports réguliers (généralement trimestriels) sur les indicateurs de performance des modèles, les dépassements de seuils et les problèmes émergents.
- Suivi des problèmes : suivi formel des problèmes liés aux modèles, des réponses de la direction et des délais de résolution.
Conclusion : Du cadre réglementaire à la mise en œuvre concrète
Les responsables de la lutte contre le blanchiment d'argent qui consacreront du temps à acquérir une bonne compréhension pratique de la norme SR 11-7 et de son application à la gestion des risques liés aux modèles d'IA dans le domaine de la lutte contre le blanchiment d'argent constitueront des atouts essentiels dans ce nouveau contexte. Cependant, la compréhension de ce mandat n'est qu'une première étape.
La deuxième partie de cette série présente les étapes concrètes à suivre pour mettre en place des capacités de gestion des risques de blanchiment (MRM) conformes aux réglementations, depuis la réalisation d'un inventaire complet des technologies d'IA utilisées dans les fonctions de lutte contre le blanchiment d'argent jusqu'à la mise en œuvre de cadres standardisés de documentation et de surveillance. Elle examine également ce que les établissements doivent attendre des autorités de régulation à l'avenir et explore comment la MRM peut devenir un avantage concurrentiel plutôt qu'une charge supplémentaire.
