Gouvernance de l'IA dans la Banque et l'Assurance au Maroc

Les usages concernés#

Ce que dit la loi 09-08#

L'article 11 interdit de fonder une décision produisant des effets juridiques à l'égard d'une personne sur le seul résultat d'un traitement automatisé destiné à définir son profil ou à évaluer certains aspects de sa personnalité. La loi prévoit des exceptions, notamment lorsque la décision est prise dans le cadre d'un contrat et que la personne a pu présenter ses observations.

En pratique, un refus de crédit fondé uniquement sur un score automatique, sans intervention humaine ni possibilité pour le client de faire valoir son point de vue, expose la banque. Les droits d'accès et d'opposition de la loi 09-08 impliquent aussi de pouvoir expliquer, en termes compréhensibles, la logique d'un score qui produit des effets sur une personne.

Ce que dit l'AI Act#

L'annexe III de l'AI Act classe à haut risque :

• les systèmes destinés à évaluer la solvabilité des personnes physiques ou à établir leur note de crédit, à l'exception de ceux utilisés pour détecter la fraude ;
• les systèmes destinés à l'évaluation des risques et à la tarification des personnes physiques en assurance vie et santé.

Ces obligations s'appliquent à partir du 2 décembre 2027. Une banque marocaine est concernée lorsque ces systèmes produisent des résultats utilisés dans l'Union européenne, par exemple à travers des filiales ou des activités auprès de clients qui y résident. Chaque situation doit être analysée au cas par cas.

Les bonnes pratiques de gouvernance#

• Un inventaire des modèles utilisés dans les décisions clients, avec un responsable pour chacun.
• Une revue humaine de toute décision défavorable importante, avec un canal pour que le client présente ses observations.
• Des tests de biais sur des données représentatives de la clientèle marocaine, par région, âge, sexe et type de revenu.
• L'explicabilité : pouvoir dire au client quels facteurs ont pesé dans la décision.
• La surveillance de la dérive des modèles et leur revalidation périodique.
• L'encadrement des modèles fournis par des tiers : documentation, résultats de tests, conditions d'usage.
• L'intégration dans le dispositif de contrôle interne et de gestion des risques exigé par Bank Al-Maghrib pour l'ensemble des activités de la banque.

Voir aussi le cycle de vie d'un système d'IA.