Ce guide ne constitue pas un avis juridique.
De quoi s’agit-il ?
Le 27 juin 2024, la FINRA a publié l’avis réglementaire 24-09 pour rappeler aux sociétés membres que ses règles sont technologiquement neutres : elles continuent de s’appliquer à l’utilisation de l’IA générative et des grands modèles de langage, développés en interne ou achetés à un fournisseur.
L’avis ne crée pas de nouvelles exigences légales ou réglementaires ni de nouvelles interprétations. Il donne des exemples selon les règles FINRA 3110 sur la supervision et 2210 sur les communications publiques, et précise que les autres obligations dépendent de l’usage de l’outil. La FINRA renvoie aussi au rapport annuel de supervision réglementaire 2024 pour un examen plus large des risques liés à l’IA.
Ses exigences pour l’IA et les données
L’avis 24-09 cite directement ces exemples :
| Domaine | Points à examiner par les établissements |
|---|---|
| Supervision | Les dispositifs de supervision devraient couvrir l’usage des outils d’IA, y compris la gouvernance de leurs résultats. |
| Communications avec le public | Les contenus générés par l’IA utilisés dans les communications restent soumis aux règles de communication de la FINRA. |
La liste de risques élargie ci-dessous n’est pas une nouvelle règle en six parties de l’avis 24-09. C’est une liste pratique de préparation tirée des exemples de l’avis et du rapport annuel de supervision réglementaire 2024 de la FINRA, qui examine l’effet potentiel de l’IA sur les obligations réglementaires des établissements.
| Domaine | Points à examiner par les établissements |
|---|---|
| Tenue des dossiers | Les dossiers créés ou utilisés avec l’IA peuvent devoir être conservés au titre des exigences de tenue des livres et dossiers. |
| Protection des informations client | Les informations client utilisées par les outils d’IA doivent être protégées. |
| Risques liés aux tiers | Les établissements restent responsables lorsqu’ils utilisent les outils d’IA de fournisseurs. |
| Exactitude et fiabilité | Les établissements devraient examiner des risques tels que les résultats inexacts et le comportement peu fiable des modèles. |
| Confidentialité, biais et risques de propriété intellectuelle | Les documents de la FINRA sur l’IA signalent des risques liés à la confidentialité, aux biais, à la propriété intellectuelle et aux acteurs malveillants. |
L’apport de Matrix
| Domaine | L’apport de Matrix |
|---|---|
| Supervision | Étapes d’approbation : les résultats et écritures dans les systèmes attendent la confirmation d’une personne désignée. Les journaux d’audit restent sur le système pour vérification par votre équipe. |
| Communications | Les brouillons sont préparés pour vérification, avec sources citées, sans envoi automatique. |
| Tenue des dossiers | Les journaux d’audit locaux permettent la vérification et l’export. Les exigences de conservation et celles relatives au système d’archivage sont convenues pour votre déploiement. |
| Protection des informations client | Matrix fonctionne sur votre site, hors ligne par défaut ; il ne se connecte à un service externe que si votre équipe informatique l’approuve. Les accès sont attribués par rôle. |
| Risques liés aux tiers | Synexas ne détient aucun compte sur votre système et ne reçoit pas vos données, à l’exception des données dont vous autorisez l’usage pour une démonstration de faisabilité facultative, sous NDA, supprimées ensuite. |
| Exactitude | L’exactitude est mesurée sur votre tâche. Les éléments incertains sont signalés pour vérification. |
Un déploiement local ne rend pas un courtier-négociant conforme aux règles de la FINRA. Il lui donne un système maîtrisé à intégrer à ses propres programmes de supervision, d’archivage et de contrôle fournisseur.
Ce qui reste à votre charge
- Vos procédures écrites de supervision, adaptées à l’usage de l’IA
- Approuver les communications avant utilisation
- Respecter les exigences de tenue des livres et dossiers, dont tout format de stockage requis. Les journaux Matrix ne remplacent pas votre système d’archivage obligatoire.
- Dossiers de diligence raisonnable et de supervision des fournisseurs
- Former les professionnels inscrits à l’usage approuvé de l’IA
Questions à poser à tout fournisseur d’IA
- Où les informations client sont-elles traitées, et le fournisseur peut-il y accéder ?
- Que journalise le système, et pouvons-nous l’exporter vers nos systèmes d’archivage ?
- Les résultats peuvent-ils être envoyés aux clients sans approbation humaine ?
- Comment l’exactitude est-elle mesurée et que se passe-t-il lorsque l’IA est incertaine ?
- Comment les modèles changent-ils, et qui approuve le changement ?