L’avenir de la souscription de crédit sous réglementation de l’IA : implications pour l’UE et au-delà

Cette approche est toutefois sur le point d’être plus strictement encadrée, avec l’entrée en application prochaine du premier règlement européen sur l’intelligence artificielle (IA). Face à ces nouvelles règles, deux questions essentielles se posent pour les prêteurs :

1. Comment les activités de souscription de crédit seront-elles classées dans le cadre de l’AI Act proposé ?
2. De quelles nouvelles réglementations les prêteurs doivent-ils avoir connaissance une fois le texte entré en vigueur ?

Maximilian Eber, CPTO de Taktile, et Philipp Hacker, professeur de droit et technologie à l’Université européenne Viadrina de Francfort-sur-l’Oder et conseiller politique sur l’AI Act (au niveau de l’UE), ont uni leurs forces pour y répondre.

Dans cet article, ils résument l’AI Act proposé et analysent en profondeur les implications potentielles des nouvelles réglementations à venir pour les prêteurs, y compris ceux qui n’utilisent pas l’IA au sens technique strict.

Points clés à retenir

• L’AI Act s’applique à un large éventail de technologies : non seulement le machine learning avancé, mais aussi les logiciels complexes et la prise de décision
• L’AI Act classe la souscription de crédit parmi les activités « à haut risque », qui seront soumises à une réglementation supplémentaire
• Pour certaines des nouvelles règles sur l’IA, la conformité aux réglementations et lignes directrices bancaires existantes suffira ; pour d’autres, elle ne sera pas suffisante
• À l’avenir, pour rester conformes à l’AI Act, les prêteurs devront impérativement disposer d’une infrastructure de souscription solide et transparente, en particulier pour la prise de décision automatisée

Qu’est-ce que l’AI Act (règlement sur l’intelligence artificielle) ?

L’AI Act est le texte phare de l’UE encadrant le développement et le déploiement des systèmes d’IA dans de nombreux secteurs de la société, des applications professionnelles comme le scoring de crédit et l’assurance jusqu’à l’administration et aux forces de l’ordre.

Il vise à encadrer les risques propres à l’IA, tels que l’opacité, la discrimination, les comportements imprévisibles ou le manque de qualité prédictive, en soumettant les développeurs et les utilisateurs de ces modèles à plusieurs obligations juridiques spécifiques.

Le texte formalise et complète des bonnes pratiques couramment utilisées dans le secteur, en introduisant des règles précises de suivi, de transparence, de documentation, de supervision humaine et de gouvernance des données.

Il existe actuellement trois versions différentes de l’AI Act :

• En avril 2021, la première version a été proposée par la Commission européenne
• En décembre 2022, le Conseil de l’UE, qui représente les États membres, a rendu son avis, appelé orientation générale
• En juin 2023, le Parlement européen a adopté sa position

Ces trois acteurs négocient actuellement à huis clos, dans le cadre d’un processus appelé trilogue. La version finale de l’AI Act est attendue vers la fin de cette année, et la plupart de ses règles s’appliqueront à partir de la mi-2026 environ.

Toutefois, compte tenu de sa portée très large et de ses obligations étendues, les entreprises qui utilisent l’IA ou des modèles de décision complexes devraient se préparer à la conformité à l’AI Act bien plus tôt.

Comme on le verra plus loin, l’AI Act devrait s’appliquer aux développeurs et aux utilisateurs de presque tout processus de décision complexe, que ceux-ci utilisent des réseaux de neurones, de l’IA générative ou toute autre technologie avancée de machine learning.

La souscription de crédit, un cas d’usage à haut risque selon l’AI Act

L’AI Act prévoit quatre catégories de risque pour les modèles d’IA, selon les cas d’usage dans lesquels le système est déployé :

1. Usages interdits
2. Usages à haut risque
3. Usages à risque limité
4. Usages non réglementés

Le risque interdit concerne des cas d’usage tels que la « notation sociale » ou l’identification biométrique à distance dans les espaces publics (avec des exceptions limitées). La majeure partie de l’AI Act porte toutefois sur les cas d’usage à haut risque, des applications d’IA dans les contextes de migration ou de justice pénale aux cas d’usage économiques en médecine, en assurance emploi et dans le scoring de crédit.

Tout autre système d’IA interagissant avec des personnes est considéré comme à risque limité ; l’obligation principale est alors d’informer les interlocuteurs humains qu’ils ont affaire à un système d’IA.

Le scoring de crédit fait partie des principaux cas d’usage économiques désignés comme à haut risque dans le cadre de l’AI Act.

Deux exceptions sont toutefois envisagées, dans lesquelles le scoring de crédit ne serait pas considéré comme à haut risque. La proposition initiale de la Commission et la version du Conseil exempteraient les PME lorsqu’elles utilisent le modèle de scoring de crédit pour leur propre activité. Le Parlement européen, lui, ne souhaite pas épargner les PME ; il entend en revanche exempter les systèmes utilisés pour la détection de la fraude financière. Il est donc essentiel de suivre de près la version finale de l’AI Act pour savoir quelles exemptions, le cas échéant, ont été ajoutées au scoring de crédit.

Quand l’AI Act s’applique-t-il au scoring de crédit ?

Point important : l’AI Act ne s’applique que si le modèle de scoring de crédit relève de la définition de l’IA.

La définition large de l’IA retenue par l’AI Act inclut non seulement le machine learning avancé, comme le deep learning de l’IA générative, mais aussi les modèles statistiques, tels qu’on les utilise généralement dans le scoring de crédit. Les systèmes de décision automatisée, composés de scores externes, de modèles statistiques internes, d’heuristiques et de règles, relèvent aussi très probablement de la définition de l’IA de l’AI Act.

Pour reprendre l’exemple de l’introduction, imaginez à nouveau que, pour parvenir à une décision de crédit, une banque utilise un score de crédit externe, l’enrichisse de quelques indicateurs qui lui sont propres, et recoure à de la modélisation statistique, à des heuristiques ou à des règles. Cela revient-il à utiliser de l’IA au sens de l’AI Act ? Très probablement, oui.

La définition de l’IA n’est pas encore arrêtée et son sens fait l’objet de désaccords importants. Toutefois, la proposition de la Commission et la version du Conseil incluent actuellement les « techniques statistiques d’apprentissage et d’inférence […] et les méthodes de recherche et d’optimisation ».

Fait notable, le Parlement européen souhaite couvrir les « approches fondées sur les connaissances, l’estimation bayésienne ou les arbres de décision » en plus des procédés classiques de machine learning. Dans ce cas, l’AI Act pourrait presque s’appeler le « règlement sur la prise de décision complexe ».

Il faut aussi noter qu’être établi hors de l’UE n’exonère pas les entreprises visées par l’AI Act. Comme le RGPD, le texte s’appliquera dès lors que des services « fondés sur l’IA » sont proposés, ou que des modèles sont utilisés, à l’égard d’un client de l’UE. Il suffit même que le résultat du système soit utilisé dans l’UE pour relever de l’AI Act.

Comment l’AI Act affectera-t-il la souscription de crédit à l’avenir ?

Bien que l’AI Act renvoie souvent à la réglementation bancaire existante à divers endroits, plusieurs articles et obligations supplémentaires sont proposés.

Voici un bref aperçu des principales dispositions de l’AI Act que les prêteurs fintech et les établissements financiers doivent connaître.

Principales dispositions de l’AI Act affectant la souscription de crédit

Vous trouverez plus de détails sur ces dispositions ici (voir informations complémentaires).

Gouvernance des données : une disposition essentielle pour la souscription de crédit

Les fournisseurs de systèmes d’IA devront mettre en place un régime de gouvernance des données garantissant des données d’entraînement de haute qualité, non discriminatoires et représentatives.

Pour les prêteurs, cela signifie que les données doivent être nettoyées et représentatives des segments de clientèle. Ils doivent aussi pouvoir certifier que leurs données respectent ces nouvelles normes, le tout s’ajoutant à la réglementation bancaire existante.

Par ailleurs, les prêteurs devront mettre en place des procédures de documentation et de conservation des traces très étendues. Les modèles devront être suffisamment transparents et exploités sous supervision humaine. Surtout, ils devront respecter des exigences élevées en matière de performance, de robustesse et de cybersécurité.

Ces obligations sont indépendantes de la réglementation bancaire existante, et s’y ajoutent. Si le Parlement européen a introduit dans l’AI Act certaines formulations visant à renforcer le recours à la réglementation sectorielle existante, comme le droit bancaire, on ignore dans quelle mesure ces renvois figureront dans la version finale.

Les opportunités pour les prêteurs avec la réglementation de l’IA

Une fois l’AI Act en vigueur, les prêteurs disposeront d’une certaine sécurité juridique quant à la manière d’opérer lorsqu’ils utilisent des systèmes reposant sur l’IA.

Ils auront aussi la possibilité de bâtir une confiance accrue avec leurs clients.

Pour les établissements de crédit réglementés, une procédure d’évaluation de la conformité à l’AI Act sera intégrée à la procédure de contrôle et d’évaluation prudentiels prévue par le droit bancaire. Les prêteurs pourront en outre demander eux-mêmes une certification qui confirme à leurs clients qu’ils opèrent avec un niveau de sécurité et d’expertise « conforme à l’AI Act » pour le stockage et l’utilisation des données.

À quoi s’attendre ensuite

L’AI Act sera finalisé dans les mois à venir, vraisemblablement d’ici la fin de 2023. L’un des points cruciaux que les négociateurs doivent encore trancher est la période de transition entre la publication de l’AI Act au Journal officiel de l’UE et son application au secteur.

Se préparer dès maintenant garantira une conformité réussie à l’avenir

Pour le scoring de crédit, l’AI Act devrait entrer en vigueur deux ans après sa publication, vers la mi-2026.

Cependant, les systèmes de modélisation, de conformité et de gestion doivent être mis à jour dès maintenant afin de garantir la mise en œuvre dans les délais de fonctionnalités conformes à l’AI Act. Quelle que soit la version finale, disposer d’une infrastructure robuste et agile, en particulier en matière de gouvernance des données, pour prendre des décisions de crédit automatisées sera plus important que jamais.

L’agilité facilitera l’adaptation à l’évolution de la réglementation

La Commission européenne recevra également le mandat de mettre à jour l’AI Act régulièrement et lorsqu’elle le juge opportun. Cela concernera probablement surtout la liste des cas d’usage à haut risque, qui pourrait être étendue. Point important : les PME (définies comme les entreprises de moins de 250 salariés dont le chiffre d’affaires est inférieur à 50 millions d’euros ou le total du bilan inférieur à 43 millions d’euros) pourraient être exemptées de certaines obligations liées au haut risque, selon l’issue des négociations du trilogue.

Pour l’UE, l’AI Act restera un sujet d’intérêt majeur pour les législateurs, et l’on peut s’attendre à des mises à jour rapides en cas de nouveaux développements technologiques ou politiques.

La normalisation est un domaine important à suivre. Plusieurs des termes assez vagues de l’AI Act, comme la représentativité et l’absence d’erreur mentionnées au titre de la gouvernance des données, seront définis plus précisément dans des normes en cours d’élaboration par les organismes de normalisation.

Ces normes offriront, espérons-le, une certaine protection aux entreprises qui utilisent l’IA ou prennent des décisions complexes, si elles parviennent à les traduire dans leurs modèles et leurs procédures de scoring de crédit. Tout processus de souscription de crédit tourné vers l’avenir devrait donc suivre de près les évolutions de l’AI Act de l’UE et de ses travaux de normalisation.

Questions fréquentes (FAQ)