Le Bureau du contrôleur de la monnaie (OCC), le régulateur qui supervise les banques nationales aux États-Unis, a publié son premier cadre de supervision de l'intelligence artificielle dans le secteur bancaire, demandant aux examinateurs de se concentrer moins sur la puissance d'un système d'IA et davantage sur ce qui se passe lorsqu'il commet une erreur.

Le cadre de 22 pages, publié sous la forme du bulletin OCC 2026-54 et accompagné d'un communiqué de presse, avertit, dans une section consacrée à la résilience opérationnelle, que les agents externes exploités par des clients, des fintechs ou d'autres entreprises pourraient créer des risques pour les banques, même lorsque celles-ci ne contrôlent pas ces systèmes. Le régulateur n'a pas lié la publication de ce cadre à des incidents spécifiques, mais il intervient dans un contexte de préoccupations accrues du secteur concernant des agents d'IA non autorisés opérant dans les comptes clients.

Les conséquences avant la sophistication

Au cœur de ce document se trouve une distinction entre la sophistication technique d'un système d'IA et les dommages qu'il pourrait causer. Un agent simple autorisé à initier des transactions financières peut présenter un risque plus grand qu'un modèle plus avancé limité à la rédaction de documents internes, a indiqué le régulateur. Cette distinction reflète la manière dont les logiciels agentiques diffèrent des outils classiques : plutôt que de simplement produire du texte, les agents effectuent des actions dans des systèmes connectés, de sorte que le potentiel de dommages d'une défaillance augmente avec les permissions qu'ils détiennent.

Dans le cadre de ce dispositif, les examinateurs peuvent prendre en compte les conséquences d'une défaillance, la possibilité d'annuler une action et le degré de contrôle que les humains conservent sur le système. L'agence décrit quatre niveaux de risque illustratifs : les agents de paiement entièrement autonomes et les systèmes de décision de crédit en temps réel relèvent de la catégorie la plus élevée, tandis que les outils internes de productivité de base occupent la catégorie la plus basse.

Les systèmes à risque plus élevé peuvent justifier des restrictions plus strictes sur l'autonomie, des tests indépendants et une approbation humaine avant que des actions aux conséquences importantes puissent être menées.

Le cadre aborde également les systèmes d'IA qui continuent de fonctionner tout en prenant des décisions nuisibles. Les mesures de protection suggérées comprennent des disjoncteurs, des limites de débit, des permissions restreintes et des contrôles d'arrêt d'urgence.

L'accent mis sur les agents d'IA tiers

Le guide suggère aux examinateurs d'envisager des mesures comprenant la vérification d'identité, les permissions déléguées, les limites de transactions, la surveillance et la capacité de suspendre ou de révoquer l'accès. Il vise à résoudre un dilemme auquel les banques sont déjà confrontées : comment permettre aux clients d'utiliser des assistants d'IA pour gérer leurs finances sans donner à des logiciels autonomes un accès illimité aux comptes.

Ce cadre arrive moins de deux semaines après des rapports selon lesquels de grandes banques découvraient des agents d'IA tiers non autorisés opérant dans les comptes clients, prenant parfois des actions qui semblaient aller au-delà des instructions des utilisateurs. Selon un rapport d'Axios du 22 octobre, Morgan Stanley bloquait les agents externes, tandis que JPMorgan, Bank of America et Citi restreignaient l'accès. Des dirigeants bancaires ont décrit la situation comme « terrifiante », soulevant la question de savoir qui contrôle un agent autonome une fois qu'il a accès à l'argent de quelqu'un.

Ces considérations sont particulièrement pertinentes pour les agents externes décrits dans le rapport précédent d'Axios, où les banques peinaient à distinguer les logiciels légitimes autorisés par les clients des systèmes opérant au-delà des permissions prévues.

Un guide, pas de nouvelles règles bancaires

L'OCC a souligné que le cadre est non contraignant et ne crée aucune nouvelle exigence réglementaire ni aucun standard exécutable pour les banques. Il offre plutôt aux examinateurs un moyen d'évaluer l'IA dans les catégories de risques existantes — opérationnelles, de conformité et de cybersécurité — et les banques ne sont pas tenues d'établir une catégorie de risque IA distincte. Il fournit des exemples de mesures de protection couvrant les paiements autonomes, l'accès par des tiers et la supervision humaine. Non contraignant ne signifie pas sans conséquence : les examinateurs de l'OCC évaluent les banques au regard de documents de ce type lors des supervisions de routine, de sorte que ses mesures de protection suggérées peuvent avoir un poids pratique sans règles formelles.

Le cadre couvre l'IA utilisée dans les paiements, la détection de fraude, le service client et d'autres opérations bancaires, et étend ses considérations de risque aux agents d'IA externes se connectant par les canaux bancaires.

Fait notable, le document utilise le terme obligatoire « Super Intelligence » — une formulation que l'administration Donald Trump insiste pour employer à la place d'« intelligence artificielle », conformément à une action présidentielle de la Maison-Blanche de septembre — mais son périmètre inclut l'IA conventionnelle et les « agents autonomes », et non uniquement des systèmes hypothétiques dotés d'une intelligence supérieure aux capacités humaines.

L'OCC a déclaré son intention de mettre à jour le guide à mesure que la technologie évolue. Pour l'instant, son échelle de risque illustrative place les agents de paiement autonomes dans la catégorie la plus élevée, quelle que soit leur performance lors des tests. La manière dont les examinateurs appliqueront ces niveaux en pratique — en particulier aux agents tiers que les banques découvrent dans les comptes clients — est le détail à surveiller à mesure que le guide évolue.

Cet article a été initialement rapporté par Decrypt.