Le 17 avril 2026, la Réserve fédérale, l'Office of the Comptroller of the Currency (OCC) et la FDIC ont publié conjointement la SR 26-2 — la première révision complète des directives de gestion du risque de modèles pour les institutions financières américaines en quinze ans. Cette directive remplace la SR 11-7, un document rédigé avant que l'apprentissage automatique ne soit déployé dans les systèmes bancaires en production, avant que les modèles de fondation n'existent, et avant que le terme « IA générative » n'apparaisse en dehors des publications académiques.

Le contexte est éloquent. En 2026, les banques, les coopératives de crédit et les fintechs dépendent de l'IA pour la souscription de crédit, la détection des fraudes, le contrôle BSA/AML et l'intégration des clients. Les régulateurs avaient quinze ans de retard dans la mise à jour du cadre. La SR 26-2 est techniquement rigoureuse — et pourtant, dans une seule clause explicite, elle trace une frontière autour des systèmes d'IA qui transforment le secteur le plus rapidement.

L'IA générative et l'IA agentique sont explicitement exclues du champ d'application.

Cette exclusion est la lacune de conformité que chaque institution utilisant un KYC propulsé par l'IA doit désormais gérer.

Ce que couvre réellement la SR 26-2

La SR 26-2 préserve et étend la discipline introduite par la SR 11-7. Elle s'applique aux modèles quantitatifs utilisés pour des décisions à fort impact : notation de crédit, risque de marché, capital réglementaire, analyse de prêt équitable, et surveillance des transactions BSA/AML basée sur des règles. Les exigences sont substantielles :

Validation des modèles par des équipes indépendantes avec des méthodologies documentées
Surveillance continue avec des seuils de performance et des déclencheurs d'alerte définis
Inventaire complet des modèles, y compris ceux utilisés pour les rapports réglementaires
Révision de la solidité conceptuelle, gouvernance de la qualité des données et contrôle des changements
Voies d'escalade définies lorsque la performance d'un modèle se dégrade

Ce sont les bonnes exigences pour les systèmes qu'elles régissent. Un modèle de régression logistique produisant des scores de crédit doit être validé. Un moteur de tests de résistance pour le capital réglementaire doit faire l'objet d'une révision indépendante. La SR 26-2 codifie les bonnes pratiques et renforce la gouvernance là où la SR 11-7 était ambiguë.

La lacune réside dans ce qu'elle n'aborde pas.

L'exclusion explicite

La SR 26-2 est sans ambiguïté. La directive stipule que l'IA générative et agentique « nécessitent des cadres de gouvernance séparés » et les « place en dehors du champ d'application de cette directive ». Les institutions sont orientées vers l'application de leurs principes existants de gestion des risques — c'est-à-dire la réflexion de l'ère SR 11-7 — à une technologie qui n'existait pas lorsque cette réflexion a été développée.

Le problème est structurel. La gestion des risques de l'ère SR 11-7 était conçue pour des systèmes produisant des résultats bornés et énumérables à partir d'entrées structurées. L'IA générative et agentique fonctionne différemment :

Elle génère des résultats qui ne peuvent pas être entièrement énumérés à l'avance
Elle raisonne sur du texte non structuré, des documents et des images
Les systèmes agentiques exécutent des séquences d'actions autonomes sur plusieurs outils connectés
Son comportement varie selon le contexte et l'historique des interactions
Elle ne peut pas être entièrement validée par des tests rétrospectifs sur des données historiques étiquetées

Une enquête de juin 2026 a révélé que 72 % des banques ne sont pas préparées à une défaillance de l'IA. Cette statistique arrive dans un environnement réglementaire où les systèmes d'IA les plus déterminants — ceux les plus susceptibles de provoquer une défaillance visible — sont précisément ceux sans standard formel de gouvernance.

La pile KYC qui vit dans la lacune

Les institutions financières ont progressé plus vite sur l'IA générative et agentique dans le KYC que les régulateurs ne l'anticipaient. En 2026, le flux de vérification dans une institution technologiquement avancée ne ressemble pas à l'inventaire de modèles statistiques que la SR 26-2 était conçue pour régir :

Fonction KYC	Type de système	Dans le champ SR 26-2 ?
Notation de crédit à l'entrée en relation	Modèle statistique	Oui
Classification documentaire et OCR	ML traditionnel	Dépend
Surveillance des médias adverses	Résumé par LLM	Non
Analyse PPE et sanctions	Synthèse par IA générative	Non
Surveillance des transactions (règles)	Modèle structuré	Oui
Surveillance continue agentique	Workflow d'IA agentique	Non
Génération de narratives SAR	IA générative	Non
Reclassification du risque client	LLM avec récupération augmentée	Non

Les décisions les plus exposées aux hallucinations, aux incohérences et au contrôle réglementaire — synthèse de médias adverses, analyse PPE, reclassification agentique, génération de narratives SAR — se situent toutes en dehors du champ d'application de la SR 26-2. Elles ne disposent d'aucun standard de documentation validé, ni de seuil de surveillance obligatoire, ni de processus de contestation indépendante requis.

Ce qu'attendent les régulateurs malgré l'exclusion

L'exclusion du champ d'application de la SR 26-2 ne signifie pas que les régulateurs sont indifférents à la façon dont les banques gèrent ces systèmes. Le libellé même de la directive signale ce que les contrôleurs évalueront : « les principes existants de gestion des risques — matérialité, surveillance continue, contestation effective — doivent guider la gouvernance de tout outil ou système hors du champ de ce document ».

Cette phrase a du poids dans les contextes d'examen. Les contrôleurs bancaires ne sont pas liés par le champ formel de la SR 26-2 lorsqu'ils constatent que le système KYC agentique d'une institution génère des narratives SAR sans critères de révision documentés, ou qu'un outil de médias adverses basé sur LLM produit des évaluations de risque incohérentes sans surveillance.

Il y a aussi la dimension européenne. Sous le régime de la loi sur l'IA de l'UE — dont les dispositions sur l'IA à haut risque s'appliquent à l'identification biométrique, à la notation de crédit et à la détection des fraudes indépendamment des changements de délais introduits par l'Omnibus numérique de l'UE — les institutions opérant en Europe font face à des exigences légalement contraignantes en matière de documentation technique, de surveillance humaine et de suivi post-marché. Une institution qui revendique une maturité de gouvernance auprès des régulateurs européens tout en exploitant une IA agentique non gouvernée dans son portefeuille américain présente un problème de crédibilité qui traverse les frontières juridictionnelles.

Le problème d'inventaire de l'OCC

L'exposition réglementaire n'est pas seulement prospective. Les résultats d'inspection de l'OCC du début 2026 ont révélé que la plupart des banques américaines n'ont qu'une couverture partielle de l'inventaire IA, les modèles d'auto-apprentissage et les couches d'orchestration d'agents étant fréquemment absents des inventaires soumis aux contrôleurs.

Cela crée une exposition composée. Sous la SR 26-2, un inventaire complet pour les systèmes dans le champ est obligatoire. Mais comme les systèmes génératifs et agentiques sont hors champ, les institutions n'ont eu aucune obligation formelle de les inventorier. Résultat pratique : beaucoup ne peuvent pas répondre à la question de gouvernance la plus fondamentale — quels systèmes d'IA prennent des décisions KYC déterminantes ?

L'approche de surveillance continue qu'attendent de plus en plus l'AMLA et les régulateurs européens n'est pas réalisable si les institutions ne peuvent pas recenser les systèmes d'IA qui effectuent cette surveillance.

À quoi ressemble un cadre de gouvernance parallèle

La discipline que la SR 26-2 apporte aux modèles quantitatifs — validation, documentation, surveillance, contestation indépendante — représente un modèle solide que les institutions devraient étendre volontairement à leur IA générative et agentique, avant qu'une directive formelle ne l'exige. Une gouvernance minimale viable pour l'IA générative et agentique dans le KYC doit inclure :

Inventaire IA et classification des risques. Tout système d'IA contribuant à une décision KYC ou AML doit être recensé et classifié par niveau de risque. Les systèmes agentiques qui orchestrent d'autres outils nécessitent un traitement distinct.

Documentation comportementale. L'IA générative ne peut pas être documentée par des tableaux de coefficients. La documentation doit capturer les cas d'usage prévus, les modes de défaillance connus, les classes de résultats prohibées et les conditions nécessitant une révision humaine.

Audit des résultats. Tout résultat déterminant — évaluation de médias adverses, score de risque, narrative SAR — doit être journalisé avec suffisamment de contexte pour reconstruire le raisonnement du système. Cela n'est pas facultatif pour les systèmes contribuant aux rapports réglementaires.

Seuils de révision humaine. Définir les conditions dans lesquelles les décisions agentiques nécessitent une révision humaine avant exécution. Les workflows KYC agentiques construits avec des protocoles d'escalade explicites répondent directement à cette exigence.

Surveillance des performances adaptée aux résultats génératifs. Les coefficients Gini et les statistiques KS ne s'appliquent pas aux résultats de l'IA générative. Les cadres de surveillance doivent évaluer la cohérence, l'exactitude factuelle et la variance des résultats dans différents contextes d'entrée.

Gouvernance de l'IA tierce. Les institutions utilisant des LLM ou des systèmes agentiques de fournisseurs dans leur pile KYC doivent obtenir une documentation équivalente de ces fournisseurs et l'évaluer avec la même rigueur que les systèmes développés en interne.

Le problème agentique est plus difficile que le problème génératif

L'IA générative introduit de l'imprévisibilité au niveau de la couche de résultats. L'IA agentique — des systèmes autonomes qui exécutent des séquences d'actions sur plusieurs outils connectés — introduit de l'imprévisibilité au niveau de la couche d'actions.

Un système KYC agentique pourrait récupérer l'historique des transactions, interroger une base de données de médias adverses, évaluer une correspondance de sanctions, mettre à jour un score de risque et déclencher une alerte — le tout sans intervention humaine. Chaque étape crée des questions de gouvernance qu'aucun cadre existant ne résout complètement.

Le cadre Know Your Agent (KYA) capture une dimension de cela — valider que l'agent opérant dans un contexte financier est autorisé et traçable. Mais KYA adresse l'identité, pas la gouvernance. La lacune laissée par la SR 26-2 concerne la gouvernance de ce que fait l'agent, pas seulement qui est l'agent.

L'approche de Joinble pour les agents KYC autonomes intègre des pistes d'audit, une logique d'escalade et des points de contrôle de supervision humaine dans l'architecture agentique elle-même — plutôt que de traiter la gouvernance comme une couche appliquée après le déploiement.

La responsabilité n'a pas suivi l'exclusion

L'exclusion de l'IA générative et agentique du champ de la SR 26-2 ne transfère pas la responsabilité aux régulateurs et n'établit pas de sphère de sécurité. Les banques restent responsables des résultats de chaque décision pilotée par l'IA dans leurs processus KYC et AML, quelle que soit la présence de ces systèmes dans l'inventaire formel des modèles.

Si un système KYC agentique génère un faux négatif sur une correspondance de sanctions, l'action coercitive ne fera pas référence à la SR 26-2. Elle fera référence aux obligations BSA, aux exigences de l'OFAC et à l'incapacité de l'institution à maintenir des contrôles adéquats.

L'exclusion crée une lacune documentaire, pas une lacune de responsabilité.

Questions fréquentes

Qu'est-ce que la SR 26-2 et quand est-elle entrée en vigueur ?

La SR 26-2 est une directive conjointe de gestion du risque de modèles émise par la Réserve fédérale, l'OCC et la FDIC le 17 avril 2026. Elle remplace la SR 11-7 — la directive précédente, émise en 2011 — et constitue la première mise à jour complète des exigences de gouvernance des modèles pour les institutions financières américaines en quinze ans.

Pourquoi l'IA générative et agentique est-elle exclue de la SR 26-2 ?

La directive indique que ces systèmes nécessitent des cadres de gouvernance séparés et les place hors de son champ d'application. Les régulateurs ont reconnu que les méthodologies de validation développées pour les modèles statistiques quantitatifs ne sont pas directement applicables à des systèmes dont les résultats ne peuvent pas être entièrement énumérés. Aucune directive spécifique pour ces systèmes n'a encore été publiée.

L'exclusion de la SR 26-2 signifie-t-elle que l'IA générative dans le KYC n'est pas régulée ?

Non. Les institutions restent soumises aux obligations BSA/AML, aux exigences de sanctions de l'OFAC, aux lois sur les prêts équitables et aux attentes de supervision, indépendamment du champ d'application de la SR 26-2. Les contrôleurs bancaires évaluent la gouvernance de l'IA sous l'autorité de supervision existante. L'exclusion crée une lacune documentaire, pas une lacune de responsabilité.

Que doivent faire les banques dès maintenant sur la gouvernance de l'IA générative dans le KYC ?

La voie la plus défendable est de construire un cadre de gouvernance de type SR 26-2 pour l'IA générative et agentique — inventaire, documentation comportementale, audit des résultats et contestation indépendante — avant qu'une directive formelle ne l'exige. Cela positionne les institutions comme précurseurs lorsque des exigences spécifiques arriveront et leur donne une réponse crédible aux questions des contrôleurs dans l'intervalle.

Comment la SR 26-2 interagit-elle avec les exigences de la loi sur l'IA de l'UE ?

Les exigences de la loi sur l'IA de l'UE pour les systèmes d'IA à haut risque — couvrant l'identification biométrique, la notation de crédit et la détection des fraudes — s'appliquent aux institutions opérant en Europe indépendamment du champ d'application de la SR 26-2. L'Omnibus numérique de l'UE a étendu certains délais à décembre 2027, mais les obligations de transparence de l'Article 50 sont déjà applicables. Les institutions desservant à la fois les marchés américains et européens ont besoin d'un cadre qui satisfasse simultanément les deux ensembles d'attentes.

Quelle est la première étape pratique pour une institution dont les systèmes d'IA dans sa pile KYC ne sont pas gouvernés ?

Construire l'inventaire. Recenser tous les systèmes d'IA — y compris les systèmes génératifs et agentiques — qui contribuent à une décision KYC ou AML. Classer chacun par niveau de risque et assigner un responsable. Cette étape révèle l'exposition réelle à la gouvernance et rend chaque effort de remédiation ultérieur gérable.

Emily Carter