Modélisation quantitative, pricing, calcul scientifique et machine learning : audit, conseil, formation et assistance technique pour la finance de marché

Cadre prudentiel et risque de modèle

Ce que les superviseurs attendent d'un modèle

Pour les banques qui calculent leurs exigences de fonds propres avec des modèles internes, les articles 143, 283 et 325 du règlement (UE) n° 575/2013 (CRR), modifié par les règlements (UE) 2019/876 et (UE) 2024/1623 (CRR3), prévoient une autorisation préalable de la BCE pour le risque de crédit, le risque de contrepartie et le risque de marché. La BCE explique comment elle comprend ces règles dans son guide sur les modèles internes, dont la version 4.0 date du 28 juillet 2025 et que l'institution tient à jour. Ce guide n'a pas valeur de loi : il précise l'interprétation que le superviseur retient et la manière dont il évaluera les demandes.

Le chapitre des principes transversaux traite de la documentation des modèles, de la gouvernance des données, de la mise en œuvre d'un cadre de gestion du risque de modèle, des responsabilités de l'organe de direction et de la direction générale, de la validation interne, de l'audit interne et de l'intervention de tiers. Ces rubriques forment une grille de lecture utile bien au-delà des banques concernées : savoir qui possède un modèle, qui le valide, qui l'audite, où se trouvent la documentation et les données, et ce qui se passe lorsqu'on le modifie.

Sur le marché, la révision fondamentale du portefeuille de négociation (FRTB) est reportée au 1er janvier 2027 pour l'Union selon le règlement délégué (UE) 2025/1496. Pour les banques de marché qui visent l'approche par modèles internes, la qualité des tests rétrospectifs, de l'attribution des profits et pertes et des données de séries historiques devient un sujet d'organisation autant que de mathématiques.

Modèles hors périmètre prudentiel : gestion et trading algorithmique

Une société de gestion n'a pas d'autorisation de modèle interne à obtenir, mais ses modèles de valorisation, de risque et d'allocation restent encadrés par l'obligation d'une gestion des risques indépendante des équipes de gestion, issue des directives OPCVM (2009/65/CE) et AIFM (2011/61/UE). La proportionnalité s'applique : un outil de screening statistique n'appelle pas le même dossier qu'un modèle qui sert à évaluer un fonds.

Pour les entreprises d'investissement qui pratiquent le trading algorithmique, MiFID II est précisée par le règlement délégué (UE) 2017/589. Il prévoit des tests avant le déploiement d'un algorithme, des tests de résistance, ainsi qu'un processus annuel d'auto-évaluation et de validation dont le rapport couvre les systèmes, les algorithmes, les stratégies, la gouvernance et la continuité d'activité. Ces exigences portent sur l'organisation de l'entreprise : elles ne disent rien de la qualité d'une stratégie et n'engagent personne sur sa performance.

Apprentissage automatique : ce qui change vraiment

Le guide de la BCE comporte une section dédiée à l'usage de techniques d'apprentissage automatique dans les modèles internes. Selon la présentation de l'institution, elle attend que ces modèles soient explicables et que leur performance justifie leur complexité supplémentaire. L'Autorité bancaire européenne (ABE) a de son côté publié en août 2023 un rapport de suivi sur l'apprentissage automatique pour les modèles à notations internes. Il reprend les recommandations de prudence formulées en 2021 et examine l'articulation avec le règlement sur l'IA.

L'ACPR (Autorité de contrôle prudentiel et de résolution) a proposé dès 2020 un document de réflexion sur la gouvernance des algorithmes d'IA, qui retient quatre critères d'évaluation liés entre eux : le traitement des données, la performance, la stabilité et l'explicabilité. Ces critères valent pour un modèle de scoring comme pour un modèle de prévision de flux : les arbitrer, et garder la trace de l'arbitrage, est l'essentiel du travail de gouvernance.

En pratique, trois questions reviennent avant toute mise en service d'un modèle d'apprentissage automatique : le gain par rapport à une méthode plus simple est-il démontré sur des données que le modèle n'a jamais vues, un relecteur peut-il expliquer à la direction pourquoi une sortie a changé d'un mois à l'autre, et quelqu'un est-il chargé de surveiller la dérive des données après le déploiement ? Une réponse écrite à ces trois questions vaut mieux qu'une documentation volumineuse mais muette sur elles.

Règlement sur l'IA, données personnelles et prestataires

Le règlement européen sur l'IA appliqué aux modèles quantitatifs

Le règlement (UE) 2024/1689 définit un système d'IA à son article 3 ; un modèle d'apprentissage automatique peut en relever, mais tout modèle quantitatif n'en est pas un. Le niveau d'obligation dépend du cas d'usage. L'évaluation de la solvabilité de personnes physiques ou l'établissement de leur note de crédit figure à l'annexe III parmi les cas à haut risque, avec une exception pour la détection de fraude. Un modèle de valorisation de dérivés, de risque de marché ou d'optimisation de portefeuille n'y figure pas en tant que tel.

Le calendrier a changé en 2026. Le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA », a reporté les obligations des systèmes à haut risque de l'annexe III du 2 août 2026 au 2 décembre 2027, et celles des systèmes intégrés dans des produits réglementés (annexe I) au 2 août 2028. Restent applicables depuis le 2 février 2025 les pratiques interdites et la maîtrise de l'IA (article 4), depuis le 2 août 2025 les obligations des modèles à usage général. La chronologie officielle de la Commission en donne l'état. Pour les institutions financières, l'article 74 désigne l'autorité nationale de supervision financière comme autorité de surveillance du marché des systèmes à haut risque qu'elles utilisent.

Données d'entraînement et RGPD

Dès qu'un modèle est entraîné ou alimenté avec des données personnelles (clients, souscripteurs, salariés), le RGPD (règlement général sur la protection des données) s'applique : base légale, minimisation, exactitude, durée de conservation, analyse d'impact (article 35) lorsque le traitement présente un risque élevé. L'article 22 encadre les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou significatifs pour la personne. La CNIL (Commission nationale de l'informatique et des libertés) a publié en février 2025 des recommandations sur l'IA et le RGPD, consacrées à l'information des personnes et à l'exercice de leurs droits, puis des fiches sur l'intérêt légitime. Le Comité européen de la protection des données a rendu le 18 décembre 2024 son avis 28/2024 sur le traitement de données personnelles dans les modèles d'IA.

La plupart des modèles de marché n'utilisent aucune donnée personnelle. Mais les modèles de scoring, de segmentation de clientèle ou de détection d'anomalies sur des comptes en utilisent souvent : l'inventaire des modèles doit donc indiquer, pour chacun, la nature des données et l'existence d'un traitement au registre.

Plateformes cloud, bibliothèques externes et DORA

Depuis le 17 janvier 2025, le règlement (UE) 2022/2554 (DORA) impose aux entités financières de gérer le risque lié aux prestataires tiers de services TIC (technologies de l'information et de la communication), d'en tenir un registre et d'inclure dans les contrats des clauses précises, détaillées à l'article 30. Une plateforme de calcul ou d'apprentissage automatique hébergée chez un fournisseur cloud en relève, tout comme un service externe de données. Le guide de la BCE consacre d'ailleurs un chapitre à l'intervention de tiers dans les modèles internes. Pour une équipe de modélisation, cela se traduit par des questions très pratiques : où s'exécute le calcul, qui peut y accéder, comment rejouer un résultat si le prestataire change ou disparaît.

Rôles, responsabilités et preuves

Qui répond de quoi

Un dispositif de risque de modèle repose sur la séparation des rôles. Les développeurs construisent et documentent. Un propriétaire du modèle, côté métier, en répond de l'usage. Une fonction de validation indépendante du développement le challenge avant sa mise en service et à chaque changement important. Le suivi courant relève du contrôle permanent, l'audit interne vérifie périodiquement le dispositif. L'organe de direction reste responsable du cadre : le guide de la BCE le rappelle explicitement pour les banques.

Cette séparation a une conséquence pour un prestataire. Si nous avons contribué au développement d'un modèle, nous ne participons ni à sa validation ni à sa revue indépendante, et nous le disons dans nos propositions. Inversement, un prestataire qui revoit un modèle n'en endosse pas la responsabilité : l'établissement garde la décision d'approbation.

Ce que contient un bon dossier de modèle

Quel que soit le cadre, les autorités et les auditeurs demandent le même socle : un objet et un domaine d'emploi clairs, la description des données avec leur origine et leurs contrôles, la méthode et ses hypothèses, les résultats de tests (calibration, backtesting, sensibilité, stress), les limites connues, les conditions d'usage, le plan de suivi avec ses seuils d'alerte, l'historique des changements et les responsabilités. Pour un modèle d'apprentissage automatique s'ajoutent le jeu d'entraînement et de test, la gestion du déséquilibre éventuel, la méthode d'explication retenue et le suivi de la dérive.

Un dossier tenu à jour est plus utile qu'un dossier exhaustif écrit une fois. Nous recommandons, en méthode, de le produire en même temps que le code, avec des versions numérotées, pour que chaque exécution en production puisse être reliée à la version du modèle et des données qui l'ont produite.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons des modèles et des dispositifs de gouvernance, en lecture du code, des données de test et de la documentation. Nous conseillons sur la méthode, l'architecture de calcul et la politique de risque de modèle. Nous développons des bibliothèques de valorisation, des prototypes et des backtests sur données publiques ou de test. Nous industrialisons des modèles et des pipelines MLOps (Machine Learning Operations, exploitation de l'apprentissage automatique). Nous apportons une assistance technique sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, au forfait ou en récurrent. Nous formons les équipes en intra-entreprise.

Ce que nous ne faisons pas

• Nous n'exerçons aucune activité réglementée : ni conseil en investissement, ni gestion de portefeuille pour compte de tiers, ni recommandation d'investissement.
• Nous ne validons pas vos modèles à votre place : notre revue ne vaut ni approbation interne, ni autorisation de la BCE ou de l'ACPR, ni attestation de conformité.
• Nous ne travaillons ni sur des ordres, ni sur des positions, ni sur des projets d'opération non publics : nos exemples utilisent des données publiques ou de test.
• Nous ne présentons aucun résultat de backtest comme une promesse de performance, et nous ne revoyons jamais un modèle que nous avons développé.
• Nous ne délivrons aucune certification, et nos formations ne valent pas examen ni certification d'un tiers.

Sources officielles

Pour vérifier les textes cités, consultez les sources de référence : le communiqué sur le guide de la BCE, la déclaration de l'ESMA du 30 mai 2024 sur l'usage de l'IA dans les services d'investissement, qui rappelle que les obligations de MiFID II (organisation, conduite, intérêt du client) s'appliquent quelle que soit la technique, et le texte du règlement sur l'IA sur EUR-Lex. Un spécialiste du droit financier doit relire toute décision qui s'en inspire : cette page décrit un cadre, elle ne constitue pas une consultation juridique.