Le Financial Stability Board (FSB), instance qui coordonne les autorités financières de 24 juridictions et rend ses rapports au G20, a rendu publique le 15 octobre 2026 la version finale de ses recommandations sur la manière dont banques, assureurs et autres établissements financiers doivent intégrer l'intelligence artificielle. Le rapport compte 12 bonnes pratiques et, par rapport au projet soumis à consultation en juin, accorde une place bien plus large aux agents d'IA, ces systèmes capables de planifier puis d'exécuter des tâches en plusieurs étapes avec une intervention humaine réduite.
Ces pratiques se répartissent en deux volets. Quatre portent sur la gouvernance à l'échelle de l'établissement : le rôle du conseil d'administration et de la direction générale pour aligner l'IA sur la stratégie et l'appétence au risque, une répartition claire des responsabilités, l'intégration des risques liés à l'IA dans les dispositifs de gestion des risques existants avec une documentation solide, et un apprentissage continu. Les huit autres suivent le cycle de vie des systèmes : évaluation de la matérialité de chaque cas d'usage, choix des technologies, gouvernance des données, explicabilité, mesure de la performance, supervision humaine, risques cyber et informatiques, et dépendance envers des prestataires tiers.
C'est sur les agents que le texte devient le plus concret. Le FSB demande aux établissements d'associer le contrôle humain à des garde-fous déterministes, codés dans ce qu'il appelle le plan de contrôle, c'est-à-dire la couche technique qui fixe ce qu'un agent a le droit de faire. Parmi les exemples cités figurent l'interdiction d'actions sortant du cadre de risque de l'établissement, l'exécution des agents dans des environnements isolés lorsque c'est possible et des seuils au-delà desquels l'agent doit obtenir l'aval d'un humain, avant un paiement dépassant un certain montant ou une opération aux conséquences irréversibles, par exemple. Les objectifs doivent être découpés en étapes assorties de vérifications. Le rapport décrit aussi des mécanismes d'arrêt d'urgence, testés en amont, capables de suspendre un agent ou de couper son accès aux systèmes et aux outils, ainsi que des exercices de red teaming pour vérifier qu'il sait alerter un humain ou s'interrompre sans dommage.
La traçabilité fait l'objet d'exigences comparables. Chaque agent doit recevoir un identifiant unique qui le distingue des utilisateurs humains, et l'établissement doit pouvoir retracer ce qui a déclenché une action, quels outils et quelles données ont servi et quelles étapes ont suivi. Chaque cas d'usage agentique doit avoir un responsable nommément désigné, et les contrats avec les fournisseurs externes doivent clarifier la responsabilité juridique. Lorsque la relecture humaine en temps réel n'est pas réaliste, le FSB admet une surveillance assurée par d'autres outils d'IA, tout en rappelant que la responsabilité finale reste celle des établissements et des personnes.
Selon Reuters, l'instance a également retiré un passage du projet de juin qui invitait à traiter les agents comme des « employés synthétiques » au moment d'attribuer les contrôles ; la formule figurait bien dans la version soumise à consultation. Le rapport final affirme désormais que les agents ne raisonnent pas comme des humains et peuvent interpréter des objectifs prédéfinis de façon inattendue. Le FSB précise que les retours reçus l'ont aussi conduit à étoffer son analyse des bénéfices et des risques, notamment le rôle de l'IA comme démultiplicateur des effectifs face au risque de perte de compétences, et à compléter ses indications pour les petits établissements et pour le risque lié aux tiers.
Cette publication intervient alors que les autorités financières scrutent l'IA de plus près. Andrew Bailey, président du FSB et gouverneur de la Banque d'Angleterre, a mis en avant des risques liés à l'IA dans une lettre adressée aux ministres des Finances et gouverneurs de banques centrales du G20 avant leur réunion du 15 octobre, en citant ces bonnes pratiques parmi les rapports remis au groupe.
La portée du texte reste encadrée. Le FSB souligne que ces pratiques ne constituent pas une norme internationale, n'imposent aucune façon d'adopter l'IA et ne dispensent pas des obligations légales locales. Son influence tient surtout au fait que ses membres sont des autorités nationales, susceptibles de s'en servir dans leur supervision, et à sa demande explicite que les conseils d'administration et les dirigeants s'y réfèrent en révisant leur gouvernance de l'IA. L'instance reconnaît enfin que son traitement des systèmes agentiques et multi-agents reste embryonnaire et pourrait devoir être approfondi à mesure que la technologie mûrit.