Comment l’ACPR prépare l’avènement de l’intelligence artificielle et sa régulation

Les usages de l’intelligence artificielle (IA) se multiplient dans le secteur de la banque et de l’assurance. En novembre 2021, Société Générale revendiquait par exemple plus de 330 cas d’usage de la data et de l’IA en production. Sa division assurances prépare quant à elle l’industrialisation de ses premiers systèmes d’IA. Elle explore parallèlement d’autres applications, notamment afin de déclencher des propositions personnalisées et en temps réel.

AXA, Crédit Mutuel Arkéa, Allianz, BNP Paribas Personal Finance, Swiss Life… nombreux sont les acteurs du marché à développer des modèles d’IA. Les fournisseurs de services financiers et assurantiels montent en compétences dans ce domaine. Le régulateur accompagne lui aussi cette évolution technologique.

Des audits boîte noire d’algorithmes d’octroi de crédit

Ce processus d’acculturation et les travaux opérationnels qui y sont associés sont engagés par l’Autorité de contrôle prudentiel et de résolution (ACPR) depuis 2018. En juin 2020, le régulateur financier a livré un document de “réflexion” sur la “gouvernance des algorithmes d’intelligence artificielle dans le secteur financier”. Mais l’ACPR réalise également des travaux pratiques en collaboration avec les acteurs de la place.

Ce fut le cas entre juin et juillet 2021 au travers d’un Tech Sprint, un hackathon consacré à l’explicabilité des algorithmes d’IA. Ces rendez-vous ont rassemblé les équipes de l’ACPR, mais aussi des data scientists, dont ceux de quatre établissements de crédit volontaires. Parmi ces partenaires : BPCE, Société Générale, Crédit Mutuel Arkéa et Younited Credit. Un rapport sur ces travaux et les enseignements qui en découlent est disponible depuis janvier 2022.

Première précision : les épreuves “amicales” ont porté sur une catégorie spécifique d’algorithmes de machine learning et dans des conditions déterminées. Comme l’explique Olivier Fliche, directeur du pôle Fintech-Innovation de l’ACPR, Le Tech Sprint a ciblé uniquement des algorithmes d’octroi de crédit, élaborés donc par les data scientists des banques.

La mise à disposition des algorithmes s’est effectuée sous forme de boîte noire. Seuls leurs concepteurs ont eu accès au code de ces systèmes d’IA. La finalité pour les participants consistait donc à en comprendre le fonctionnement et à l’expliquer. Pour cela, il était possible “d’interroger la boîte noire en envoyant des données, comme des profils de clients, pour analyser ensuite les réponses.”

Deux niveaux d’explication de l’algorithme pour des audiences distinctes devaient cependant être fournis. L’interprétation du fonctionnement était partagée avec un data scientist, potentiellement l’auditeur d’un régulateur avec des aptitudes en data science, et avec le client final d’un prestataire de crédit. Ce n’est qu’à la fin que les producteurs des algorithmes ont livré des détails techniques.

Cahier des charges d’une IA explicable et conforme

Pourquoi ces modalités et des algorithmes d’octroi de crédit ? En raison “de la diversité des algorithmes sur le marché”, justifie Olivier Fliche. En outre, ils ont permis de traiter des sujets propres à l’explicabilité auprès des clients. “C’était l’opportunité d’aborder des usages concrets et ancrés dans le secteur financier”, ajoute le directeur du pôle de l’ACPR. 

Pour ce hackathon, les banques participantes ont joué le jeu en proposant des algorithmes “réalistes”, c’est-à-dire inspirés directement de leurs algorithmes en production ou en cours de développement. Ce souci de réalisme s’explique par le but même des travaux de l’autorité de contrôle, qui visaient dès 2018 à “donner des signaux au marché sur ce qu’on pense être le développement d’une IA conforme à la culture de risque du secteur financier.” 

Parmi les conditions futures de conformité des algorithmes, l’explicabilité s’affirme comme un domaine majeur. Plusieurs questions se posent sur ce point. A qui doit être expliqué l’algorithme ? A un data scientist, à un expert métier ou à un client ? L’IA nécessite-t-elle d’être expliquée ? Les réponses conditionnent directement la nature des algorithmes.

Les enjeux sont de court terme pour l’ACPR et les banques, mais aussi de plus long terme pour l’autorité. “Banques et assurances utiliseront demain de plus en plus l’algorithmes d’IA dans des processus sensibles pour nous. De l’IA dans un chatbot n’est pas clé. En revanche, ça l’est pour un processus de prise de risque ou fortement encadré en termes de protection de la clientèle”, note Olivier Fliche.

L’explicabilité sera dès lors un sujet pour l’ACPR au cours de l’audit de ces algorithmes. La méthode d’audit reste à formaliser. L’étape d’après consistera d’ailleurs à établir les modalités de contrôle d’une IA. Et ces audits pourraient s’effectuer à l’avenir sans nécessairement un accès au code. La faisabilité d’une telle approche a pu être examinée à l’occasion du Tech Sprint de 2021. La procédure d’audit donne cependant droit d’accéder au code, rappelle le cadre de l’ACPR.      

Préparer l’application de la réglementation européenne

La collaboration sur ces questions avec les établissements participe à la montée en compétence du marché sur l’explicabilité. Mais le rendez-vous de l’année dernière a aussi contribué à sensibiliser une partie des data scientists du secteur. “Nous avons pu leur faire passer le message que l’explicabilité était un sujet complexe et qu’ils auraient à le traiter à plusieurs niveaux”, considère Olivier Fliche.

Néanmoins, comme le rappelle le représentant de l’ACPR, le recours à l’IA ne remet pas en cause l’obligation de contrôle actuelle à laquelle sont soumis certains processus. IA ou non, la réglementation s’applique. Seul diffère finalement la façon de mener les contrôles. Et c’est donc cette méthode qui doit être définie en concertation avec les acteurs du marché.

Le cadre réglementaire est toutefois loin d’être figé. Se prépare en effet au niveau européen l’AI Act, un projet de règlement sur l’intelligence artificielle. Son application ne sera pas circonscrite à la finance et l’assurance. Dans ce cadre, les algorithmes classés à haut risque seront soumis à différentes exigences.

“Dans les autres cas, les autorités de contrôle européennes seront mandatées pour définir des lignes d’orientation relatives au bon usage de l’IA dans le secteur financier. Il est probable, et même certain, que nous formalisions en tant qu’autorité une déclinaison des principes généraux de gouvernance de façon plus pratico-pratique pour l’IA. C’est aussi une des raisons de nos travaux actuels”, souligne Olivier Fliche.

Ces travaux ont d’ores et déjà permis au régulateur de recueillir différents enseignements. Ainsi, l’explicabilité est une tâche complexe et qui n’est pas nécessairement corrélée à la complexité de l’algorithme lui-même. Un algorithme simple, testé en configuration boîte noire, peut en effet s’avérer tout aussi difficile à expliquer.

Pour y parvenir, l’exécution de contre-modèles constitue une piste. Elle permet de reconstituer un modèle proche. Cette approche présente des limites et la technique à elle seule ne suffit pas pour percer les mystères d’une boîte noire. Les outils d’IA conçus pour servir l’explicabilité doivent être complétés par une approche humaine. 

Un pont à établir entre data scientist et expert métier

Par ailleurs, des méthodes standards se développent sur la place financière pour fournir des explications. Elles ne fournissent cependant qu’un premier niveau d’explication. Pour aller au-delà, des équipes de data science planchent sur des approches nouvelles. Elles visent en particulier à rendre les explications compréhensibles pour des non-spécialistes.

En la matière, Olivier Fliche souligne qu’un pont est à établir entre  le data scientist et l’homme du métier. La principale difficulté réside ailleurs, dans l’explicabilité pour le consommateur final. “Cela demande des compétences qui ne sont pas forcément du domaine de la data science, mais cognitives, sociales et psychologiques.”

Ces compétences, l’ACPR entend les mobiliser grâce à un partenariat avec une chaire de recherche de Télécom Paris. L’explicabilité est donc loin d’être un terrain conquis et les expérimentations vont par conséquent se poursuivre. La prise de conscience à l’égard de ces enjeux est elle déjà au rendez-vous parmi les banques et prestataires techniques spécialisés.

“Certaines équipes ont proposé des pistes intéressantes, souvent à la pointe de la recherche. La maturité progresse, c’est indéniable, même si elle ne permet pas encore de parvenir à un processus d’explicabilité qui soit complètement opérationnel”, témoigne le représentant de l’Autorité. 

L’ACPR apportera sa contribution dans ce domaine, notamment via les travaux d’une chercheuse de Télécom Paris, qui donneront lieu à une restitution. Et si les métiers de la finance et de l’assurance sont amenés à se transformer du fait d’un usage accru de l’IA, ceux du régulateur aussi.

“Notre métier ne va pas totalement changer, mais il nous sera nécessaire, plus qu’aujourd’hui, d’être en capacité d’auditer des algorithmes sur des fonctions critiques”, anticipe Olivier Fliche. Dans cette perspective, l’ACPR s’appuie à la fois sur la formation interne et sur le recrutement. Son pôle contrôle a déjà commencé à se doter des compétences requises, s’appuyant pour cela sur le programme de formation et de certification de la Banque de France.