EBA 2024 : IA et DLT sous le microscope du régulateur

Focus — EBA 2024 : IA et DLT sous le microscope du régulateur bancaire

L'Autorité Bancaire Européenne (EBA) a officiellement lancé, le 20 mars 2024, un appel à contributions pour son 11ème 'Policy Research Workshop' qui se tiendra les 28 et 29 novembre 2024 à Paris. Cet événement majeur réunira universitaires, chercheurs et régulateurs pour débattre d'un sujet au cœur des transformations actuelles du secteur financier : 'Les nouvelles technologies dans le secteur bancaire et leur impact sur les modèles d'affaires et la supervision'.

Cette initiative n'est pas anodine. Elle signale une volonté claire de l'EBA de passer d'une posture d'observation à une approche proactive pour encadrer les innovations de rupture telles que l'intelligence artificielle (IA) et les technologies de registres distribués (DLT). L'enjeu principal est d'anticiper les risques émergents pour la stabilité financière et d'adapter en conséquence les cadres de supervision, de risque et de conformité.

💡 Sujet/Concept clé : de quoi parle-t-on ?

Le périmètre de cet appel à contributions couvre l'ensemble des technologies transformant le secteur bancaire européen. Au premier plan, on retrouve l'intelligence artificielle et le Machine Learning (ML), qui redéfinissent déjà des fonctions clés comme l'octroi de crédit, la détection de la fraude ou la gestion de la relation client. Sont également concernées les technologies de registres distribués (DLT), incluant la blockchain, qui promettent de révolutionner les infrastructures de marché, les services de paiement et la tokenisation d'actifs.

Historiquement, les régulateurs ont souvent légiféré en réaction aux crises ou aux dérives technologiques. Aujourd'hui, l'EBA cherche à inverser cette tendance. Dans un contexte marqué par l'entrée en vigueur imminente de textes structurants comme le Digital Operational Resilience Act (DORA), le règlement Markets in Crypto-Assets (MiCA) et l'AI Act, l'autorité cherche à s'appuyer sur la recherche académique pour construire un cadre de supervision 'by design', capable d'accompagner l'innovation tout en maîtrisant ses risques inhérents. Il s'agit de comprendre les impacts profonds sur la rentabilité des banques, la concurrence, mais aussi sur la protection des consommateurs et l'intégrité des marchés.

La base légale et réglementaire

Bien que ce workshop vise à éclairer la politique future, il s'ancre dans un corpus réglementaire européen en pleine expansion. Les contributions devront nécessairement dialoguer avec plusieurs textes fondamentaux. Le règlement DORA (UE 2022/2554) est central : il impose des exigences strictes en matière de gestion des risques liés aux technologies de l'information et de la communication (TIC), de tests de résilience et de surveillance des prestataires tiers critiques, notamment les fournisseurs de cloud et de solutions d'IA.

S'y ajoute le règlement MiCA (UE 2023/1114), qui établit le premier cadre harmonisé pour les crypto-actifs, directement concernés par les applications de la DLT. Enfin, le futur AI Act, avec son approche basée sur les risques, aura des implications directes pour les systèmes d'IA utilisés dans les services financiers, classés en grande partie comme 'à haut risque'. L'EBA, en tant qu'autorité de surveillance, sera chargée de rédiger de nombreuses normes techniques (RTS/ITS) pour préciser l'application de ces textes au secteur bancaire. Ce workshop est donc une étape clé pour nourrir la doctrine du régulateur.

L'EBA en quête d'éclairages sur l'impact des technologies de rupture

Le choix des thèmes par l'EBA est révélateur des préoccupations du superviseur. L'appel à contributions s'articule autour de quatre axes majeurs : l'impact de l'IA et de la DLT sur les modèles économiques des banques, les risques et opportunités associés, les défis pour la supervision (SupTech), et le rôle de la technologie dans le renforcement de la stabilité financière. En clair, l'EBA ne se contente plus d'analyser les bénéfices en termes d'efficacité opérationnelle ; elle veut quantifier et qualifier les nouveaux risques systémiques.

Parmi les questions sous-jacentes, on devine la crainte d'une concentration du marché autour de quelques 'Big Tech' fournissant des services d'IA ou de cloud, le risque de biais algorithmiques discriminatoires dans les décisions de crédit, ou encore l'opacité des modèles de 'boîte noire' (black box) qui défie les méthodes d'audit traditionnelles. La montée en puissance de la finance décentralisée (DeFi), portée par la DLT, pose également des questions inédites en matière de gouvernance et de responsabilité.

Cette démarche illustre un changement de paradigme : le régulateur devient un acteur de l'écosystème d'innovation. En favorisant le dialogue entre le monde académique et les superviseurs, l'EBA cherche à acquérir l'expertise nécessaire pour ne pas être dépassée. Pour les établissements financiers, le message est clair : l'ère de l'expérimentation non encadrée est révolue. La maîtrise des risques technologiques devient un pilier central de la conformité et de la performance durable.

Ce que ça change opérationnellement (Plan d'action)

Pour un Compliance Officer, cet appel à contributions est un signal avancé des futures exigences. Voici un plan d'action pragmatique pour s'y préparer :

• 1. Mettre en place une veille stratégique ciblée : Suivre activement les thématiques du workshop (IA, DLT, SupTech). Les conclusions et les documents de recherche publiés à l'issue de l'événement fin 2024 ou début 2025 fourniront des indications précieuses sur les futures orientations de l'EBA.
• 
  
• 2. Réévaluer la cartographie des risques technologiques : Aller au-delà des risques informatiques classiques. Intégrer de manière spécifique les risques liés aux modèles d'IA (biais, explicabilité, robustesse) et à la DLT (sécurité des smart contracts, gouvernance, interopérabilité). Cet exercice doit être aligné avec les exigences de la cartographie des risques TIC de DORA.
• 
  
• 3. Renforcer la gouvernance des modèles et des données : Si ce n'est pas déjà fait, formaliser un comité de validation des modèles qui inclut des expertises en data science, éthique et conformité. La documentation des modèles d'IA doit être renforcée pour répondre aux futures exigences de transparence de l'AI Act.
• 
  
• 4. Auditer et développer les compétences internes : Les équipes Conformité, Risques et Audit doivent monter en compétence pour pouvoir évaluer et challenger efficacement les projets technologiques. Lancer un plan de formation sur l'IA, la DLT et la cybersécurité est devenu indispensable.
• 
  
• 5. Durcir la due diligence des prestataires technologiques : Examiner à la loupe les contrats avec les fournisseurs de solutions d'IA et de services cloud. Les clauses de réversibilité, d'auditabilité, de sécurité et de conformité à DORA et à l'AI Act doivent être au cœur des négociations.
• 
  
• 6. Anticiper les futurs reportings : Commencer à définir et collecter des indicateurs de performance et de risque (KPI/KRI) sur l'utilisation des nouvelles technologies. Le superviseur demandera demain des données précises sur l'exposition aux risques algorithmiques ou aux protocoles DLT.

Sources

• 📎 EBA — The EBA launches call for papers for its 2024 Policy Research Workshop