La nouvelle enquête sur l'IA de la Bank of England et de la Financial Conduct Authority donne aux équipes des services financiers une raison pratique de revoir ce qui se passe après l'approbation du déploiement. Les répondants ont déclaré des revues initiales beaucoup plus souvent qu'un suivi continu. Pour les responsables conformité et risque de modèle, l'étape utile suivante consiste à vérifier si un système déployé dispose encore de preuves à jour à l'appui de ses contrôles.
Le rapport conjoint, publié le 26 octobre 2026, décrit les pratiques des entreprises participantes. Il n'annonce pas de nouvelle règle sur l'IA et n'établit pas que les contrôles d'une entreprise particulière ont échoué.
Ce que l'enquête établit
Le rapport a reçu 196 réponses, dont 105 questionnaires complets. Sauf indication contraire, les résultats utilisent l'enquête complète et les réponses valides à chaque question. Plus de 90 % ont déclaré l'approbation humaine, la revue avant déploiement et la vérification préalable des fournisseurs comme contrôles du risque lié aux données. Environ la moitié ont déclaré un suivi continu, des tests de fuite de données et une revue périodique ou une recertification. Les systèmes tiers représentaient 53 % des systèmes d'IA signalés à matérialité élevée.
Il s'agit de résultats autodéclarés, et non d'une inspection indépendante ni d'un recensement sectoriel exhaustif. La formulation des questions et les populations de répondants limitent aussi les comparaisons avec les enquêtes précédentes. La couverture indépendante de The Perimeter Report corrobore la lacune de suivi dans les résultats publiés; elle ne teste pas de manière indépendante les contrôles sous-jacents.
Faire des preuves d'approbation un dossier continu
Maetra estime qu'une approbation devrait marquer le début d'un cycle de vie de la preuve. Une évaluation effectuée avant le lancement ne peut pas, à elle seule, expliquer ce qui a changé ensuite. Un fournisseur peut réviser un modèle, un responsable d'application peut ajouter un outil, ou un workflow peut commencer à traiter une autre catégorie d'informations. Chaque changement soulève la question de savoir si l'évaluation antérieure décrit encore le système.
Pour un assistant hypothétique de service client, prenons l'autorisation initiale de préparer des réponses brouillon. Si une intégration ultérieure lui permet d'envoyer des messages, le dossier de contrôle devrait identifier la nouvelle capacité, son responsable et la raison pour laquelle les preuves précédentes restent suffisantes ou doivent être révisées. Une revue de lancement réussie ne répondrait pas à ces questions à elle seule.
Un dossier de preuve utile relie donc le système et le workflow au contrôle testé. Il consigne la date du test, la version testée, le responsable, le résultat et le prochain déclencheur de revue. Cela donne à un examinateur un élément concret à inspecter lorsqu'un avis fournisseur ou un changement interne survient.
Demandez aux fournisseurs des preuves qui peuvent devenir caduques
Un document d'assurance d'un fournisseur peut étayer une décision sans couvrir chaque choix local de déploiement. Les équipes devraient préciser sur quelle affirmation d'assurance elles s'appuient, quel composant elle couvre et dans quelles conditions elle deviendrait caduque. L'objectif est de rendre cette dépendance vérifiable par quelqu'un qui n'a pas négocié le contrat initial.
Parmi les questions utiles à poser au fournisseur figurent celles de savoir si le test pertinent couvrait la version déployée, si les outils connectés étaient inclus et comment les clients reçoivent les avis de modification substantielle. Une réponse manquante devrait devenir un suivi attribué avec une échéance. Elle ne devrait pas disparaître dans une déclaration générale selon laquelle le fournisseur a été évalué.
Conservez séparément les preuves fournisseurs et les preuves produites au sein de l'entreprise. Un test de sécurité du prestataire et un test local de workflow peuvent étayer le même contrôle, mais ils répondent à des questions différentes. Conservez leur périmètre et leurs dates lorsque vous les rattachez à une exigence, afin que la réutilisation ne masque pas une lacune de couverture.
Revoir un workflow en production cette semaine
Ce qui suit est une recommandation opérationnelle, pas une liste de contrôle émise par les régulateurs :
- Sélectionnez un workflow d'IA déployé dont la sortie ou l'action pourrait affecter un client.
- Identifiez son modèle actuel, son fournisseur, ses outils, ses accès aux données et son responsable.
- Retrouvez le dernier test de la configuration réellement déployée.
- Définissez les changements qui exigent une nouvelle revue et la personne chargée de les détecter.
- Fixez la prochaine date de revue et documentez la manière dont un élément de preuve en retard est traité.
Pour un agent qui exécute des actions, incluez la frontière entre une recommandation et l'exécution. Une revue humaine peut être appropriée pour certaines actions, tandis que d'autres peuvent s'exécuter dans le cadre d'autorisations définies. Ce qui importe, c'est la présence de preuves que le contrôle choisi fonctionne là où l'action se produit.
Un registre de preuves d'audit de l'IA peut aider à structurer les questions relatives aux versions, aux décisions et aux résultats. Il devrait rester lié au workflow plutôt que devenir une archive détachée.
Garder une interprétation proportionnée de la conformité
L'enquête constitue un outil de diagnostic utile pour les discussions de gouvernance. Elle ne peut pas indiquer à une entreprise quelles exigences juridiques s'appliquent à ses propres services, ni prouver que l'ajout d'un suivi produit la conformité. Ces décisions nécessitent les obligations applicables de l'entreprise, son évaluation des risques et ses preuves.
Pour les équipes qui utilisent Maetra, Comply aide au mapping des référentiels et à la fraîcheur des preuves, tandis qu'Audit conserve l'historique pertinent. Ni l'un ni l'autre ne remplace une évaluation fournisseur ou des tests applicatifs. Commencez par un contrôle dont les preuves sont devenues difficiles à localiser ou à dater, puis utilisez les ressources de Maetra sur les référentiels pour le relier à un processus de revue assorti d'une responsabilité claire.
Sources
- Bank of England and FCA : Intelligence artificielle dans les services financiers britanniques, 2026, 26 octobre 2026. Enquête principale et méthodologie.
- The Perimeter Report : Enquête BoE/FCA sur l'IA 2026, 26 octobre 2026. Couverture indépendante de la même enquête.