Glossaire
Mis à jour
Qui publie le FS AI RMF, et est-il obligatoire ?
Le cadre a été publié par le Département du Trésor des États-Unis en partenariat avec le Cyber Risk Institute, développé avec la contribution de plus de 100 institutions financières aux côtés d'organismes gouvernementaux et de normalisation. Il est volontaire et mené par le secteur, il ne s'agit pas d'une règle de supervision, et le non-respect n'entraîne aucune sanction directe. Néanmoins, un cadre volontaire élaboré avec le Trésor et largement adopté dans le secteur a tendance à devenir le point de référence que les examinateurs utilisent lorsqu'ils demandent comment une entreprise gère l'IA.
Que contient ce cadre ?
Le FS AI RMF est conçu pour être opérationnel et non fondé sur des principes. Les entreprises travaillent en trois étapes. Un questionnaire sur l'étape d'adoption de l'IA (AI Adoption Stage Questionnaire) classifie la maturité de l'IA. Une matrice des risques et des contrôles (RCM) identifie les objectifs de contrôle (parmi les 230 existants) qui s'appliquent à cette étape. L'implémentation et la documentation suivent ensuite le Guide d'application (Guidebook) et le Guide de référence des objectifs de contrôle (Control Objective Reference Guide). Cette conception par étapes signifie qu'une banque communautaire débutant avec un seul outil de fournisseur et une multinationale exploitant des modèles pour le trading et la souscription ne sont pas soumises au même ensemble de contrôles.
Quel est son lien avec le NIST AI RMF ?
Le FS AI RMF s'aligne sur le NIST AI RMF et fonctionne comme une surcouche sectorielle. Il conserve la structure du NIST tout en la traduisant en contrôles qui reflètent les obligations des services financiers : explicabilité pour les décisions de crédit, surveillance des biais au sein des groupes démographiques, risques hérités des fournisseurs et des tiers, et risques opérationnels liés aux systèmes d'agents autonomes dans le trading et la souscription. Les entreprises qui travaillent déjà avec le NIST étendent un programme existant plutôt que d'en commencer un nouveau.
Pourquoi cela est-il encore plus important après la SR 26-2 ?
Lorsque la SR 26-2 a remplacé la SR 11-7 en avril 2026, elle a placé l'IA générative et l'IA agentive en dehors du champ d'application des directives de gestion du risque lié aux modèles (MRM). Cela a laissé les banques américaines avec des cadres MRM matures qui, par conception, ne couvrent pas leur catégorie d'IA à la croissance la plus rapide. Le FS AI RMF est actuellement le cadre sectoriel le plus développé qui la couvre, de sorte que les deux fonctionnent ensemble plutôt que de se chevaucher : les directives MRM pour les modèles, et le FS AI RMF pour l'IA que la MRM exclut désormais expressément.
Exemple
Une banque régionale américaine gère un programme mature de gestion des risques liés aux modèles, conçu pour la directive SR 11-7 et réaligné sur la directive SR 26-2. Son assistant de service client basé sur l'IA générative échappe toutefois complètement à ces directives. Plutôt que de créer un second régime de gouvernance, la banque remplit le questionnaire de l'AI Adoption Stage, identifie les objectifs de contrôle du FS AI RMF applicables à son niveau de maturité, et les intègre à sa structure de preuve MRM existante. Elle réutilise ainsi le même inventaire, les mêmes registres de propriété et le même rythme d'examen. Lorsque les régulateurs s'enquièrent de la gouvernance de l'IA, ils disposent d'un registre unique couvrant à la fois les modèles et les systèmes d'IA, avec le cadre applicable consigné pour chaque entrée.