Singapour fixe des règles de gestion des risques liés à l’IA pour les acteurs financiers, avec des échéances en 2027 et 2028

Deux échéances inscrivent la supervision de l’IA à l’ordre du jour du secteur financier

Les institutions financières de Singapour ont jusqu’au 7 octobre 2027 pour satisfaire aux principales attentes prudentielles en matière de supervision de l’intelligence artificielle, puis jusqu’au 7 octobre 2028 pour mettre en place des contrôles, des capacités et des infrastructures plus étendus. La Monetary Authority of Singapore (MAS) a publié ses lignes directrices sur la gestion des risques liés à l’intelligence artificielle le 7 octobre 2026. Elles concernent toutes les institutions financières et toutes les formes de technologie d’IA.

Le cadre va au-delà des chatbots et des logiciels qui aident le personnel à rédiger des documents. Il couvre l’apprentissage automatique traditionnel, l’IA générative qui produit du contenu et les agents d’IA capables de prendre des décisions ou d’agir au moyen d’outils connectés. La MAS avertit que des agents ayant accès à des outils pourraient exécuter de manière autonome des actions erronées ou non autorisées. Le pouvoir d’agir est donc aussi important que l’exactitude d’une réponse.

Les lignes directrices sur les risques liés à l’IA du régulateur définissent des attentes prudentielles, plutôt qu’une loi distincte imposant les mêmes exigences techniques à toutes les entreprises. Leur principe central est celui de la proportionnalité : les institutions doivent recenser leurs usages de l’IA, évaluer l’importance et les risques de chaque application, puis mettre en place des contrôles adaptés à leur niveau d’exposition.

Le périmètre réglementaire est ainsi étendu, sans pour autant traiter toutes les applications de la même façon. Un système qui influe sur des recommandations d’investissement ou des évaluations du risque client appelle un examen plus approfondi qu’un outil servant à relire un courriel interne. La distinction dépend des conséquences potentielles, notamment des préjudices pour les clients et les autres institutions, et pas simplement du fait qu’un produit soit présenté comme une solution d’IA.

Qui est concerné par le cadre ?

Le périmètre comprend les banques, les gestionnaires de fonds, les conseillers financiers, les assureurs, les établissements de paiement, les plateformes de négociation, les chambres de compensation, les dépositaires, les agences de notation de crédit et les entreprises intervenant sur les marchés de capitaux. Les courtiers exemptés en contrats à terme et en dérivés de gré à gré sont également explicitement concernés.

Le cadre couvre l’ensemble des technologies d’IA : il ne s’agit donc ni d’un règlement réservé à l’IA générative, ni d’une mesure visant uniquement les plus grandes banques. La MAS autorise les institutions à adapter sa mise en œuvre à leur profil de risque, notamment à l’ampleur et à la nature de leurs usages de l’IA.

Les lignes directrices complètent également les exigences et principes déjà en vigueur à la MAS, notamment les principes d’équité, d’éthique, de responsabilité et de transparence, connus sous le nom de FEAT. Elles ajoutent un cadre de gestion des risques liés à l’IA, sans remplacer les obligations plus générales qui régissent déjà les services financiers.

Pour les institutions qui doivent déterminer l’ampleur du travail à mener, la distinction essentielle est celle entre l’étendue du périmètre et le degré d’intensité des contrôles. Être concerné ne signifie pas que chaque entreprise doit mettre en place la même structure de gouvernance. Chaque institution doit en revanche savoir précisément où elle utilise l’IA et ce qui pourrait se passer si ces systèmes fonctionnaient mal ou devenaient indisponibles.

Qu’est-ce qui change d’ici à octobre 2028 ?

La publication fait suite à une consultation lancée en novembre 2025. Dans une réponse parlementaire d’août 2026, la MAS avait indiqué que les lignes directrices proposées seraient bientôt finalisées et confirmé qu’elles couvraient l’IA agentique. L’annonce d’octobre a ensuite précisé les deux étapes de mise en œuvre.

• Novembre 2025 : la MAS a lancé sa consultation publique sur le projet de lignes directrices relatives à la gestion des risques liés à l’IA.
• 5 août 2026 : une réponse parlementaire a confirmé que le projet couvrait tous les cas d’usage de l’IA par les institutions financières, y compris l’IA agentique.
• 7 octobre 2026 : la MAS a publié les lignes directrices définitives.
• 7 octobre 2027 : les lignes directrices entrent en vigueur ; les attentes des sections 3 et 4 s’appliquent à partir de cette date.
• 7 octobre 2028 : les institutions doivent satisfaire aux attentes des sections 5 et 6.

Le calendrier donne aux entreprises un an à compter de la publication pour mettre en place le dispositif fondamental de supervision, de gestion des risques et de définition des politiques, puis une année supplémentaire pour établir les dispositifs opérationnels plus étendus. La seconde échéance ne reporte pas l’application de l’ensemble du cadre à 2028.

Un bref compte rendu indique une date d’entrée en vigueur au 7 octobre, sans préciser l’année. La publication et l’annonce de la MAS sont explicites : la date d’entrée en vigueur est le 7 octobre 2027, et la mise en œuvre par étapes se poursuit jusqu’en 2028.

Les conseils d’administration restent responsables, sans devoir créer un nouveau comité

La MAS attend des conseils d’administration et de la direction générale qu’ils assurent une supervision efficace des risques liés à l’IA. Cela suppose notamment de définir les responsabilités, de fixer l’appétit pour le risque et d’établir des cadres, des politiques et des procédures de gestion des risques. L’appétit pour le risque désigne le niveau et les types de risques qu’une institution est prête à accepter.

L’annonce de publication du régulateur répond à une préoccupation concrète soulevée lors de la consultation : les entreprises peuvent s’appuyer sur leurs structures de gouvernance existantes si celles-ci assurent une supervision adéquate et une coordination entre les fonctions concernées. La création d’un comité dédié à l’IA n’est pas nécessaire à elle seule pour satisfaire à cette attente.

Cette distinction est importante pour la mise en œuvre. L’exigence porte sur l’exercice effectif des responsabilités, et non sur le nom d’un comité ou un organigramme particulier. Les dispositifs existants peuvent répondre aux attentes, à condition de pouvoir superviser les risques liés à l’IA et de coordonner les personnes chargées de les gérer.

Les institutions doivent gérer ces risques à deux niveaux : à l’échelle de l’organisation et au niveau de chaque application. Une application peut sembler facile à maîtriser prise isolément, alors que le recours croissant à l’IA au sein de l’entreprise exige une supervision, des compétences ou des infrastructures plus étendues. La MAS attend donc des institutions qu’elles renforcent leurs capacités à mesure que l’adoption progresse.

Les inventaires rendent l’évaluation des risques concrète

Les institutions financières doivent recenser leurs usages de l’IA et tenir des inventaires suffisamment détaillés. Cet inventaire permet d’évaluer quelles applications sont les plus importantes et de déterminer les contrôles nécessaires. Sans cette base, la direction ne peut pas évaluer de manière fiable l’exposition de l’institution.

La MAS attend également une évaluation de l’importance des risques associés à chaque application. En clair, il s’agit de déterminer si des défaillances, de mauvaises performances ou une indisponibilité pourraient avoir des conséquences significatives pour l’institution, ses clients ou d’autres parties prenantes, notamment d’autres institutions financières.

Le cadre recense les risques financiers, opérationnels, de conduite, de criminalité financière et d’atteinte à la réputation. L’IA générative présente également des risques de sécurité, de confidentialité et liés aux prestataires externes. L’évaluation va donc au-delà de la simple vérification de l’exactitude habituelle des réponses d’un modèle.

La MAS autorise des politiques et des procédures élémentaires lorsque de mauvaises performances ou l’indisponibilité de services d’IA sont peu susceptibles d’avoir un impact significatif. Une exposition plus forte doit s’accompagner de contrôles plus élaborés. Le critère pratique est l’effet potentiel d’une défaillance, et non le caractère inédit de la technologie.

Les contrôles doivent se poursuivre après le déploiement d’un système d’IA

Les lignes directrices prévoient des contrôles proportionnés tout au long du cycle de vie de l’IA, c’est-à-dire depuis le développement et les tests jusqu’au déploiement, à l’utilisation et aux modifications ultérieures. La MAS cite notamment la gouvernance des données, les tests, la supervision humaine, la cybersécurité, le suivi et la gestion du changement.

La gouvernance des données porte sur la manière dont les informations sont gérées et utilisées. Les tests vérifient qu’un système est adapté à l’usage prévu. Le suivi permet de contrôler les performances en cours d’utilisation, tandis que la gestion du changement concerne les modifications susceptibles d’en altérer le comportement ou le niveau de risque. Il s’agit de responsabilités liées entre elles, et non d’une simple procédure d’approbation avant le lancement.

La supervision humaine fait également partie du cadre. Pour un système d’IA susceptible d’influer sur une décision financière ou de l’exécuter, la question n’est pas seulement de savoir si une personne peut lire son résultat. Les institutions doivent réfléchir à la façon dont la supervision est adaptée aux risques de l’application et aux actions qu’elle peut effectuer.

La MAS attend des contrôles qu’ils soient réexaminés régulièrement, à mesure que les usages de l’IA se développent et que les technologies évoluent. Un dispositif conçu pour un outil de rédaction peut devoir être réévalué si cet outil accède ensuite à des systèmes depuis lesquels il peut agir. Les lignes directrices font explicitement le lien entre ces réexamens réguliers et l’usage croissant d’agents autonomes.

L’achat d’une solution d’IA ne transfère pas la responsabilité

Les institutions financières restent responsables de l’IA utilisée dans les services qu’elles fournissent, y compris lorsque les systèmes sont développés, exploités ou fournis par des entreprises externes. Externaliser la technologie ne revient pas à externaliser la responsabilité des risques qu’elle engendre.

La MAS attend des entreprises qu’elles obtiennent des garanties suffisantes de la part des prestataires et qu’elles évaluent si leur IA est adaptée à l’usage prévu. Lorsque des contraintes pratiques ou des lacunes dans les garanties se présentent, les institutions doivent mettre en place des contrôles compensatoires, c’est-à-dire des mesures destinées à réduire les risques lorsque les garanties ou les contrôles souhaités ne sont pas disponibles.

Le régulateur précise également la marche à suivre lorsque ces mesures ne suffisent pas. Si les risques ne peuvent être ramenés à un niveau compatible avec l’appétit pour le risque de l’institution, celle-ci doit envisager de limiter ou de suspendre le service d’IA, ou de le remplacer. La poursuite de son utilisation ne se justifie donc pas simplement parce que le prestataire est commercialement attractif ou que le système est déjà intégré aux opérations.

Le cadre répond à une autre préoccupation soulevée lors de la consultation : l’IA intégrée aux produits et services. La question pertinente est de savoir comment l’institution utilise cette fonctionnalité et en gère les conséquences, et non si elle a elle-même développé le modèle. L’évaluation doit mettre en rapport les garanties du prestataire et l’usage effectivement prévu par l’entreprise.

L’IA agentique est concernée avant même l’arrivée de nouvelles lignes directrices

L’IA agentique peut faire davantage que générer une réponse. Elle peut utiliser des outils pour accomplir des tâches et agir de manière plus autonome. Dans les services financiers, la gestion du risque d’actions erronées ou non autorisées repose donc notamment sur les autorisations, les possibilités d’intervention et la traçabilité des décisions.

Dans sa réponse parlementaire d’août, Gan Kim Yong, vice-premier ministre, ministre du Commerce et de l’Industrie et président de la MAS, a confirmé que le projet de lignes directrices s’appliquait à tous les cas d’usage de l’IA par les institutions financières, y compris l’IA agentique. Cette réponse faisait suite à une question de Mariam Jaafar, députée de la circonscription de Sembawang GRC, sur les agents autonomes et les éventuelles exigences prudentielles.

Gan a également présenté des ressources pratiques élaborées avec le secteur. Dans le cadre du projet MindForge, le secteur a mis au point une boîte à outils de gestion des risques liés à l’IA pour aider les institutions à appliquer les lignes directrices. Le cadre Safeguards for Agentic Finance at Runtime (SAFR) présente une approche possible pour autoriser les actions des agents, déclencher la supervision humaine et consigner les événements à chaque décision importante.

Ces ressources ont un rôle différent de celui du cadre prudentiel. La boîte à outils facilite la mise en œuvre, tandis que SAFR décrit une approche opérationnelle possible. La réponse parlementaire n’a pas annoncé que SAFR deviendrait obligatoire.

La MAS prévoit de consulter le secteur financier en 2027 sur l’utilité d’éventuelles lignes directrices supplémentaires concernant l’IA agentique. Elle n’a pas précisé de date pour cette consultation ni annoncé le contenu d’éventuelles recommandations. Les agents sont déjà couverts par les lignes directrices : cette consultation prévue ne justifie donc pas de reporter la gestion de leurs risques.

Une réglementation plus claire, mais des limites au risque acceptable

La MAS présente ce cadre comme un moyen de favoriser une adoption responsable, et non comme une interdiction de l’IA. Les participants à la consultation ont soutenu une approche fondée sur des principes et des contrôles proportionnés, tout en demandant des précisions sur les structures de gouvernance existantes, l’IA intégrée et les situations dans lesquelles des politiques élémentaires suffiraient. Le cadre définitif conserve les principales attentes tout en répondant à ces préoccupations.

Ho Hern Shin, directrice générale adjointe de la MAS, a souligné le lien entre les bénéfices potentiels de l’IA et la nécessité, pour les institutions, de comprendre des systèmes toujours plus performants. Elle a déclaré :

Pour tirer durablement parti de ces bénéfices, les institutions financières doivent comprendre et gérer les risques liés à des systèmes d’IA toujours plus performants.

Sa déclaration résume l’équilibre au cœur des lignes directrices. Les institutions peuvent rechercher des gains de productivité, une meilleure gestion des risques et de nouveaux services, mais elles doivent rester responsables des systèmes utilisés pour les fournir.

Les prochaines échéances fixées sont celles d’octobre 2027 et d’octobre 2028 pour la mise en œuvre. Une consultation supplémentaire sur l’IA agentique est prévue en 2027, et la MAS a également indiqué qu’elle continuerait d’examiner et d’actualiser les attentes prudentielles si nécessaire. Aucune échéance distincte n’a été annoncée pour de nouvelles exigences relatives à l’IA agentique.

À retenir

• La MAS a publié ses lignes directrices sur la gestion des risques liés à l’IA le 7 octobre 2026. Elles concernent toutes les institutions financières et toutes les technologies d’IA.
• Les principales attentes des sections 3 et 4 s’appliquent à partir du 7 octobre 2027 ; celles des sections 5 et 6 doivent être mises en œuvre d’ici au 7 octobre 2028.
• Les conseils d’administration et la direction générale doivent assurer une supervision efficace, mais la création d’un comité dédié à l’IA n’est pas obligatoire.
• Les institutions doivent recenser leurs usages de l’IA, évaluer l’importance des risques et appliquer des contrôles proportionnés aux préjudices potentiels.
• Les entreprises restent responsables de l’IA fournie par des prestataires externes et doivent envisager de limiter ou de remplacer les services présentant des risques inacceptables.
• L’IA agentique est déjà couverte. La MAS prévoit une consultation supplémentaire sur d’éventuelles recommandations en 2027.