Le cadre réglementaire de l'audit algorithmique financier en Suisse et en Europe : obligations, lacunes et tendances
Le cadre réglementaire applicable à l'audit des biais dans les systèmes d'IA financière repose sur plusieurs couches de textes aux portées différentes, avec des interactions complexes entre droit suisse et droit européen.
L'IA Act européen et sa classification des systèmes à haut risque
L'IA Act européen classe explicitement les systèmes d'IA utilisés pour l'évaluation de la solvabilité et le scoring de crédit comme systèmes à haut risque, soumis à des obligations spécifiques. Ces obligations incluent une documentation technique détaillée, une évaluation de conformité avant déploiement, et une surveillance post-déploiement. Pour les institutions suisses, la portée extraterritoriale potentielle de l'IA Act via leurs relations avec des partenaires européens crée une pression indirecte d'alignement, même en l'absence d'obligation légale directe. Les détails d'implémentation, notamment les méthodes acceptées pour l'évaluation des biais, sont encore en cours de précision par les autorités compétentes.
Le RGPD et le droit à l'explication dans les décisions automatisées
L'article 22 du RGPD établit un droit à ne pas faire l'objet d'une décision basée uniquement sur un traitement automatisé produisant des effets juridiques significatifs. Ce droit implique, en pratique, une obligation d'explicabilité pour les refus de crédit algorithmiques touchant des résidents de l'Espace économique européen. Les institutions suisses traitant des données de résidents européens sont directement soumises à cette obligation. Sa mise en œuvre pratique a stimulé le développement de méthodes d'explicabilité locale, mais la qualité et la pertinence des explications fournies font l'objet de débats académiques et de contentieux croissants.
La loi fédérale suisse sur la protection des données révisée
La révision de la loi fédérale suisse sur la protection des données, entrée en vigueur en septembre 2023, renforce les obligations de transparence sur les traitements automatisés de données personnelles. Elle n'établit pas d'obligations spécifiques d'audit des biais algorithmiques, mais ses exigences de documentation et de transparence créent un cadre dans lequel de tels audits s'inscrivent naturellement. Les régulateurs suisses observent l'évolution du cadre européen et pourraient introduire des obligations plus spécifiques dans les années à venir, notamment pour les institutions financières sous supervision de la FINMA.
Les lignes directrices FINMA sur les risques liés aux modèles
La FINMA, l'autorité de surveillance des marchés financiers en Suisse, a publié des circulaires sur la gestion des risques liés aux modèles qui s'appliquent aux institutions financières sous sa supervision. Ces textes abordent la validation des modèles et la gestion de leur cycle de vie, mais ne contiennent pas encore d'obligations explicites relatives à l'équité algorithmique et à l'audit des biais discriminatoires. L'interprétation des obligations existantes de gestion des risques opérationnels comme incluant les risques de biais algorithmique est une question ouverte que les praticiens de la conformité suisse examinent activement.
Les standards ISO et IEEE en émergence sur l'IA équitable
Plusieurs initiatives de standardisation internationale, notamment au sein de l'ISO et de l'IEEE, développent des standards techniques pour l'audit des biais et l'équité algorithmique. Ces standards, bien que non contraignants, jouent un rôle croissant comme référentiel de bonnes pratiques pour les institutions qui souhaitent démontrer leur diligence en matière d'équité algorithmique. Leur adoption volontaire peut constituer un élément de défense en cas de contentieux réglementaire et facilite la communication avec des partenaires internationaux soumis à des obligations formelles.
Les lacunes réglementaires actuelles et leurs conséquences pratiques
Malgré ces développements, des lacunes importantes subsistent. Aucun texte n'impose encore de méthode spécifique d'audit des biais, laissant les institutions libres de choisir des approches dont la rigueur varie considérablement. L'absence de définition réglementaire standardisée de l'équité algorithmique ouvre la porte à des rapports d'audit qui satisfont formellement aux exigences sans en capturer l'esprit. Et les mécanismes de contrôle effectif — qui vérifie que les audits sont réellement réalisés et que leurs recommandations sont suivies — restent insuffisamment développés dans la plupart des juridictions.
Le cadre réglementaire de l'audit algorithmique financier est en construction rapide mais encore fragmenté. Les institutions qui s'y préparent sérieusement aujourd'hui auront un avantage significatif lorsque les obligations deviendront plus précises et contraignantes.