L’obstacle réel à l’IA agentique dans la finance suisse : la réglementation et la préparation
Une étude conjointe de l’Université de Saint-Gall et de Wavestone ne relève, dans son échantillon, aucune banque ni aucun assureur exploitant l’intelligence artificielle agentique en production. La contrainte tient au modèle opérationnel et au terrain réglementaire sur lequel il repose.
Aucune des banques ni aucun des assureurs interrogés pour l’étude publiée le 9 juillet 2026 par l’Université de Saint-Gall et Wavestone n’exploite de système d’intelligence artificielle (IA) agentique en production. Environ deux tiers d’entre eux utilisent l’IA générative pour des tâches peu complexes – résumé, rédaction, extraction de données – sans rien d’agentique derrière. L’organisation la plus avancée, un laboratoire d’IA central au sein d’un grand assureur, dit attendre encore le cas d’usage qui conviendra.
L’étude repose sur 30 entretiens semi-directifs menés entre octobre 2025 et mai 2026 dans l’espace DACH – Allemagne, Autriche et Suisse – auprès de banques, d’assureurs et de prestataires technologiques sélectionnés. Dans la plupart des institutions, le côté informatique et le côté métier ont tous deux été interrogés, ce qui explique que le nombre d’entretiens dépasse celui des organisations. Sa conclusion : c’est la maturité du modèle opérationnel qui détermine jusqu’où une institution peut passer l’IA agentique à l’échelle, car les modèles disponibles dépassent déjà ce que la plupart de ces organisations sont en mesure d’absorber.
Où se situe la contrainte
L’étude classe les obstacles en trois couches : une couche externe, la réglementation ; une couche structurelle, la capacité de calcul et la souveraineté numérique ; et une couche interne, les données, les personnes et le modèle opérationnel. La réglementation occupe la couche la plus extérieure, et elle ne pèse pas uniformément. La charge la plus lourde porte sur les processus centraux qui produisent l’essentiel de l’activité, précisément parce que tout en dépend : ce sont les plus étroitement encadrés et les plus difficiles à modifier. D’où une dérive vers de petits cas périphériques, faciles à faire passer en conformité et au rendement modeste, tandis que l’automatisation à plus forte valeur reste hors production.
«
Les processus où l’automatisation rapporterait le plus sont ceux que le cadre réglementaire garde le plus étroitement.
En dessous se trouve l’exigence d’explication. Une institution surveillée doit pouvoir rendre compte à son autorité de surveillance de la manière dont une décision a été prise, et la retracer jusqu’aux données sous-jacentes. L’exercice est simple pour une règle fixe, plus ardu pour un système qui détermine lui-même son chemin à l’exécution. Le niveau d’exigence ne s’allège pas non plus avec la taille : une amélioration mineure d’un processus central franchit la même barre de disponibilité, d’audit et de révision que le processus qui l’entoure.
Ce que cela donne sous la surveillance suisse
L’étude couvre l’espace DACH et les instruments qu’elle cite sont majoritairement européens, dont le règlement sur la résilience opérationnelle numérique (DORA) et le règlement européen sur l’intelligence artificielle. La Suisse ne dispose d’aucune législation spécifique à l’IA en vigueur, et l’Autorité fédérale de surveillance des marchés financiers FINMA exerce sa surveillance sur une base neutre sur le plan technologique et fondée sur des principes : les exigences existantes en matière de gouvernance et de gestion des risques couvrent donc l’IA comme elles couvrent le reste. Les groupes suisses qui détiennent des entités régulées dans l’Union européenne satisfont aux régimes européens par ce biais.
La FINMA a exposé ses attentes dans sa communication sur la surveillance 08/2024, publiée le 18 décembre 2024. Elle y attire l’attention sur les risques de modèle – robustesse, exactitude, explicabilité, biais – sur les risques liés aux données, sur les risques informatiques et les cyberrisques, sur la dépendance croissante envers des tiers, ainsi que sur les risques juridiques et de réputation. Elle y observe aussi, dans le cadre de sa surveillance courante, que la plupart des établissements financiers n’en sont qu’au début du développement et que les structures de gouvernance et de gestion des risques correspondantes sont en cours d’élaboration. Lue en regard de l’étude, la même réalité se lit des deux côtés.
Les fondations d’abord
L’étude est précise sur ce qui doit exister avant que des agents puissent être composés à travers les systèmes : des données complètes, exactes, à jour et disponibles à la demande ; l’interopérabilité entre des systèmes conçus pour les cloisonner ; la gestion des identités et des accès pour les acteurs non humains, afin que l’action d’un agent reste traçable ; et une gouvernance capable de tenir l’action autonome. Aucune des organisations de l’échantillon ne réunit encore cet ensemble, et plusieurs des praticiens interrogés attendent de 2027 les premiers travaux agentiques sérieux.
La structure suit la même logique. La plupart des organisations convergent vers un pôle central assorti de relais dans les métiers, et l’étude plaide pour ancrer ce pôle dans l’informatique, là où résident déjà la composition, l’intégration et le contrôle des accès. C’est un déplacement par rapport à la situation actuelle. Selon les parts indicatives de l’étude, environ 42 % des organisations rattachent la fonction IA aux métiers, contre 17 % à l’informatique. Sur une mesure distincte, un tiers environ n’a pas encore de pôle en place. L’échantillon est restreint et qualitatif, et l’étude lit ses parts par dimension plutôt qu’en total : ces chiffres indiquent une direction, rien de plus fin.
Pour une institution suisse qui prépare 2027, l’ordre des travaux est déterminant. La propriété des données, le modèle d’accès pour les identités non humaines et une piste d’audit qu’une autorité de surveillance peut suivre demandent plus de temps à construire qu’un agent n’en demande à être testé, et ce sont eux qui rendent le pilote déployable.
Penta travaille précisément sur ce terrain pour les institutions régulées à Genève et à Dubaï : le modèle opérationnel, la maîtrise des données et l’infrastructure sécurisée sur laquelle les agents finiront par tourner. Si l’IA agentique figure à votre plan pour 2027, inscrivez les fondations à votre agenda 2026 : nous pouvons vous aider à les mettre en place.
«
Les praticiens attendent de 2027 les premiers travaux agentiques sérieux. Ce qui en décidera se construit en 2026.
Références
1. FINMA, communication sur la surveillance relative à la gouvernance et la gestion des risques en lien avec l’utilisation de l’intelligence artificielle, communication sur la surveillance 08/2024, 18 décembre 2024. https://www.finma.ch/fr/news/2024/12/20241218-mm-finma-am-08-24/
Senior Consultant, IT Governance and Operational Resilience
Peter Philp est consultant senior chez Penta IT Services, spécialisé en gouvernance informatique, gestion des services et résilience opérationnelle pour les institutions réglementées. Ancien responsable des opérations de delivery chez Penta, il apporte plus de vingt ans d’expérience en leadership, reliant technologie, gouvernance et facteurs humains dans la mise en place d’infrastructures numériques sécurisées et conformes.
