Grand groupe bancaire, scoring de crédit : la charge complète de fournisseur, sur un terrain déjà réglementé
Axel Morel · Fondateur & analyste, ProbansL'essentiel
Une banque qui construit en interne son système de notation de solvabilité en devient le fournisseur au sens de l'AI Act : gestion des risques, documentation technique, évaluation de conformité. Le règlement se superpose à des obligations bancaires déjà en place, il ne les remplace pas.
Un grand groupe bancaire construit et entraîne en interne le modèle qui évalue la solvabilité de ses clients particuliers pour l’octroi de crédits à la consommation. L’Annexe III de l’AI Act classe explicitement ce type de système à haut risque, au point 5(b), pour tout système destiné à évaluer la solvabilité de personnes physiques ou à établir leur score de crédit, à l’exception des systèmes de détection de fraude financière, expressément exclus [1]. Contrairement à une PME qui achète un outil, une banque qui développe son propre modèle en devient directement le fournisseur au sens du règlement, pas seulement le déployeur.
- Le statut de fournisseur, et non de simple déployeur, change la nature de la charge réglementaire : gestion des risques, gouvernance des données, documentation technique, journalisation, conception de la supervision humaine, robustesse et cybersécurité, sont dus dès la conception du système, pas seulement à son usage [2].
- Ce système de scoring de crédit relève d’une évaluation de conformité par contrôle interne, sans intervention d’un organisme extérieur : la banque s’auto-évalue et signe sa propre déclaration de conformité, la même procédure que pour les sept autres catégories de l’Annexe III hors biométrie [3].
- Cette charge s’ajoute à des exigences de gouvernance des modèles déjà imposées par le superviseur bancaire européen sur le risque de crédit, ce qui gagne à être examiné comme une extension d’un dispositif existant plutôt que comme un chantier de conformité entièrement nouveau.
Un classement sans ambiguïté, une exception précise à ne pas manquer
Ce que les textes établissent. L’Annexe III, point 5(b), couvre les systèmes destinés à évaluer la solvabilité de personnes physiques ou à établir leur score de crédit [1]. Le texte prévoit une exception explicite : les systèmes utilisés pour détecter une fraude financière restent hors du périmètre haut risque, même s’ils reposent sur les mêmes techniques de scoring [1]. Une banque qui déploierait le même modèle statistique à la fois pour noter la solvabilité d’un client et pour détecter une fraude sur sa demande de prêt doit donc distinguer ces deux usages : le premier relève de l’Annexe III, le second en est exclu.
La charge de fournisseur, dans le détail
Ce que les textes établissent. Les articles 9 à 17 du règlement listent les obligations dues par un fournisseur de système à haut risque : un système de gestion des risques documenté sur tout le cycle de vie du modèle, une gouvernance des données d’entraînement limitant les biais, une documentation technique complète, une journalisation permettant la traçabilité des décisions, une conception permettant une supervision humaine effective, et des tests de robustesse et de cybersécurité [2]. Ce système de scoring de crédit suit, comme les six autres catégories de l’Annexe III hors biométrie, une évaluation de conformité par contrôle interne : c’est la banque elle-même qui vérifie et atteste sa conformité, sans organisme notifié extérieur [3].
Mon interprétation. Pour un établissement bancaire, cette liste recoupe très largement des pratiques déjà exigées par la gouvernance du risque de modèle imposée par le superviseur prudentiel européen sur les modèles internes de notation de crédit, un cadre déjà en place depuis plusieurs années dans la plupart des grands groupes. La différence tient moins à l’apparition d’obligations inédites qu’à leur formalisation explicite sous un texte distinct, avec sa propre documentation et son propre régime de sanction, causalité plausible non démontrée quant à un allègement réel de charge du seul fait de ce recoupement, faute de donnée publique comparant les deux référentiels terme à terme. Faute d’une telle donnée publique, la vérification revient à chaque établissement : une direction des risques bancaire gagne à confronter elle-même, poste par poste, la liste des obligations dues aux articles 9 à 17 de l’AI Act (système de gestion des risques, gouvernance des données, documentation technique, journalisation, supervision humaine, robustesse et cybersécurité) à ce que son dispositif de gouvernance du risque de modèle produit déjà pour le superviseur prudentiel, plutôt que de supposer une couverture totale ou nulle. C’est cette confrontation poste par poste, propre à chaque établissement, qui permettrait de trancher le recoupement, pas une comparaison générale des deux textes.
Mon interprétation. Le contenu de conformité généraliste sur l’AI Act traite en général le scoring de crédit comme une simple sous-catégorie de l’Annexe III, en insistant sur le classement haut risque et l’obligation d’évaluation de conformité, sans creuser le rapprochement avec les exigences de gouvernance du risque de modèle déjà imposées aux banques par leur superviseur prudentiel. Cette pièce va plus loin sur ce point précis : elle formule explicitement l’hypothèse d’un recoupement entre les deux référentiels, tout en identifiant ci-dessus la vérification poste par poste qui permettrait de la confirmer ou de l’écarter, plutôt que de s’arrêter à un constat d’absence de preuve.
Mes réserves
Cette lecture retient le cas d’un modèle développé et exploité en interne par la banque. Elle ne couvre pas le cas, également fréquent dans le secteur, d’un score de crédit acheté sous forme de service à un bureau de crédit tiers ou à une fintech spécialisée : la répartition fournisseur/déployeur se pose alors dans des termes proches de ceux d’une PME qui achète un outil de recrutement, avec les mêmes zones de négociation contractuelle sur la documentation transmise. Le recoupement supposé avec la gouvernance du risque de modèle bancaire existante reste une hypothèse de cohérence, pas une équivalence juridique établie entre les deux référentiels.
L’implication concrète : une direction des risques bancaire gagne à cartographier, système par système, lequel de ses modèles de scoring est développé en interne et lequel est acheté à un tiers, avant d’appliquer une même procédure de conformité aux deux cas.
Retour au dossier Les obligations de l’AI Act, secteur par secteur · Lire la Décision possible du dossier.
Lexique
- Système à haut risque (AI Act)↗
- Catégorie de systèmes d'IA soumis aux obligations les plus strictes du règlement européen, incluant le scoring de crédit et la tarification assurantielle.
- Évaluation de conformité (AI Act)↗
- Procédure par laquelle un fournisseur vérifie qu'un système d'IA à haut risque respecte les exigences du règlement avant sa mise sur le marché. Pour la quasi-totalité des catégories de l'Annexe III (recrutement, crédit, assurance vie et santé notamment), cette évaluation se fait par contrôle interne : le fournisseur s'auto-évalue, sans intervention d'un organisme extérieur.
- Fournisseur (AI Act)↗
- Entité qui développe un système d'IA ou le fait développer pour le mettre sur le marché sous son propre nom. Porte la charge la plus lourde du règlement : gestion des risques, documentation technique, évaluation de conformité, marquage CE, déclaration UE de conformité.
Développe une méthode d'analyse destinée à distinguer ce que les preuves établissent, ce qu'elles suggèrent et ce qu'elles ne permettent pas de conclure, puis à traduire cette distinction en décisions professionnelles.
Choix du sujet, direction de la rédaction, validation ou modification des sources, validation et retravail du texte et des illustrations : Axel Morel. Rédaction, choix des sources initiales et plan de rédaction initial : assistance IA.
Responsabilité éditoriale : Axel Morel. Recherche et rédaction assistées par IA selon la méthodologie Probans, sources vérifiées avant publication. Charte éditoriale.
En savoir plus