IA en finance : risque de crédit et fraude financière

Le secteur financier a été l'un des premiers à appliquer des modèles statistiques à la prise de décision, bien avant que l'on parle d'intelligence artificielle. La carte de scoring développée dans les années cinquante cherchait déjà ce que poursuit aujourd'hui un modèle d'apprentissage automatique : estimer la probabilité qu'un demandeur ne rembourse pas un crédit. Ce qui a changé, c'est la puissance des méthodes, le volume de données disponibles et, surtout, les exigences réglementaires sur la manière dont ces décisions sont expliquées et supervisées.

Cet article se concentre sur deux applications où l'IA apporte une valeur mesurable dans la banque et le financement : le risque de crédit — décider à qui prêter et à quelles conditions — et la détection de fraude financière. Les deux partagent une caractéristique inconfortable : elles travaillent avec des données très déséquilibrées, car l'immense majorité des clients rembourse et l'immense majorité des transactions est légitime.

Scoring de crédit et prédiction du défaut

L'objectif du scoring de crédit est d'estimer la probabilité de défaut (PD, probability of default) d'un demandeur sur un horizon temporel, typiquement douze mois. La définition de « défaut » n'est pas triviale : le cadre prudentiel de Bâle et la réglementation de l'Autorité Bancaire Européenne fixent le défaut à quatre-vingt-dix jours d'impayé ou à l'improbabilité de paiement. C'est sur cette étiquette que le modèle est entraîné.

Pendant des décennies, le standard a été la régression logistique, appréciée pour sa transparence : chaque variable dispose d'un coefficient interprétable et le résultat est une probabilité comprise entre 0 et 1. Aujourd'hui, des modèles de gradient boosting tels qu'XGBoost ou LightGBM coexistent avec elle ; ils capturent des interactions non linéaires et améliorent généralement la capacité discriminante. Cette amélioration a un coût : ce sont des boîtes plus opaques. C'est pourquoi, dans le crédit à la consommation, la transparence n'est pas facultative, et des techniques d'explicabilité comme les valeurs SHAP (Shapley Additive Explanations) permettent de décomposer chaque décision individuelle en la contribution de chaque variable — une exigence quasi indispensable pour justifier un refus auprès du client et du superviseur.

Dans la banque de détail, un outil intermédiaire très utile persiste : la scorecard construite sur une régression logistique avec des variables transformées par weight of evidence (WoE). La technique discrétise chaque variable continue en tranches et remplace chaque tranche par une valeur qui mesure son pouvoir prédictif, ce qui apporte deux avantages : elle linéarise la relation avec le risque et produit une carte de notation qu'un analyste de risques peut lire et interpréter tranche par tranche. Cette interprétabilité explique pourquoi, malgré l'irruption de modèles plus puissants, de nombreux établissements maintiennent des scorecards de régression dans leurs décisions d'octroi : la différence de discrimination face à un modèle de boosting peut être faible, tandis que la différence de justifiabilité devant le superviseur est considérable. L'équilibre entre puissance et transparence est, en crédit, une décision de gouvernance autant que technique.

Les métriques qui comptent vraiment

Mesurer un modèle de risque par sa précision (accuracy) est une erreur classique : si seulement 3 % des crédits font défaut, un modèle qui accorde tout atteint 97 % de précision et est pourtant inutile. Les métriques correctes sont différentes. L'AUC-ROC mesure la capacité à ordonner bons et mauvais payeurs ; dans la banque, on utilise fréquemment son cousin, le coefficient de Gini (Gini = 2·AUC − 1), où des valeurs supérieures à 0,4 sont généralement considérées comme acceptables pour les portefeuilles de détail. La statistique KS (Kolmogorov-Smirnov) mesure la séparation maximale entre les distributions de bons et de mauvais payeurs. Et par-dessus tout, il y a la matrice de coûts : accorder un crédit à un défaillant (faux négatif) et refuser un bon payeur (faux positif) ont des coûts économiques très différents, et le seuil de coupure doit être fixé en optimisant ce coût, et non la précision.

Détection de fraude financière

La fraude transactionnelle pose un problème de classification extrêmement déséquilibré — des fractions d'un point de pourcentage — et, de surcroît, adversarial : le fraudeur adapte son comportement pour contourner les règles. Face aux systèmes traditionnels basés sur des règles fixes (« bloquer si le montant dépasse X »), les modèles actuels combinent deux familles. Les modèles supervisés apprennent à partir de fraudes historiques étiquetées ; les modèles non supervisés, comme l'Isolation Forest ou les autoencodeurs, détectent des écarts par rapport au comportement normal sans nécessiter d'exemples préalables, ce qui permet de capturer des fraudes inédites. L'analyse de graphes ajoute une couche puissante en modélisant les relations entre comptes, appareils et bénéficiaires, révélant des réseaux de mules financières qu'une analyse transaction par transaction ne détecterait pas. Pour traiter le déséquilibre, des techniques de rééchantillonnage comme SMOTE génèrent des exemples synthétiques de la classe minoritaire durant l'entraînement.

Un facteur décisif dans la fraude qui n'apparaît pas dans le crédit est la latence. La décision d'approuver ou de bloquer une transaction par carte doit être prise en quelques millisecondes, pendant que le client attend au terminal de paiement. Cela conditionne l'ingénierie : le modèle est servi en temps réel, les caractéristiques sont calculées à la volée à partir d'un historique récent (montant moyen du client, fréquence des opérations, distance géographique par rapport au dernier achat) et le système doit se dégrader élégamment si une source de données ne répond pas à temps. C'est pourquoi deux couches coexistent : une couche de scoring en temps réel, rapide et conservatrice, et une couche d'analyse différée, plus approfondie, qui examine les schémas a posteriori et alimente les enquêtes. Le coût du faux positif est ici très tangible : bloquer l'achat légitime d'un bon client nuit à la relation autant que laisser passer une fraude nuit au compte de résultat, et le seuil doit être calibré en tenant compte de cette tension.

Le cycle de vie du modèle : du développement à la surveillance

Un modèle de risque ne se termine pas lorsqu'il atteint de bonnes performances en validation ; c'est là que commence sa vie utile. La phase de développement fixe la variable cible, construit le jeu de données en respectant l'ordre temporel et sélectionne l'algorithme. La phase de validation indépendante, exigée par les pratiques de model risk management, soumet le modèle à un backtesting sur des données non vues et à des tests de résistance simulant des scénarios défavorables — une récession, une hausse des taux. La phase de production déploie le modèle avec contrôle de version et traçabilité de chaque décision. Et la phase de surveillance, la plus négligée et la plus critique, veille à deux dérives : celle du modèle lui-même (sa capacité prédictive s'érode) et celle de la population (les demandeurs d'aujourd'hui ne ressemblent pas à ceux d'il y a deux ans). L'index de stabilité de la population quantifie cette seconde dérive ; lorsqu'il dépasse le seuil d'alerte, le modèle doit être recalibré ou réentraîné avant que la détérioration ne se répercute sur la sinistralité du portefeuille.

Étapes de mise en œuvre et gouvernance du modèle

1. Définir la variable cible avec rigueur. Convenir de la définition du défaut ou de la fraude selon la réglementation avant de toucher à la moindre donnée.
2. Construire le jeu de données avec une fenêtre temporelle. Séparer entraînement, validation et test en respectant l'ordre chronologique pour ne pas faire fuiter d'informations du futur.
3. Vérifier le biais. S'assurer que le modèle ne discrimine pas selon des variables protégées ni leurs corrélats (le code postal comme indicateur indirect d'origine, par exemple).
4. Valider de manière indépendante. Une équipe différente de celle qui a construit le modèle le soumet à un backtesting et à des tests de résistance, conformément aux guides de model risk management du superviseur.
5. Surveiller la dérive. Contrôler l'index de stabilité de la population pour détecter quand la population demandeuse change et que le modèle cesse d'être valide.

Cadre réglementaire applicable

Dans l'Union européenne, le Règlement sur l'intelligence artificielle (Règlement UE 2024/1689, l'AI Act) classe comme système à haut risque l'évaluation de la solvabilité et la notation de crédit des personnes physiques, ce qui impose des obligations en matière de gestion des risques, de documentation technique, de supervision humaine et de traçabilité. S'y ajoute l'article 22 du RGPD, qui reconnaît le droit de la personne concernée de ne pas faire l'objet de décisions fondées uniquement sur un traitement automatisé produisant des effets juridiques significatifs, et d'obtenir une intervention humaine et une explication. Ignorer ce cadre n'est pas seulement un risque réputationnel : c'est un risque de sanction directe.

Comparatif des modèles pour le risque de crédit

Foire aux questions

Un établissement peut-il refuser un crédit en se fondant uniquement sur un algorithme ? L'article 22 du RGPD oblige à offrir une intervention humaine et une explication lorsque la décision automatisée produit des effets significatifs. Dans la pratique, le modèle recommande et une personne peut réviser les cas limites.

Pourquoi ne pas toujours utiliser le modèle le plus précis ? Parce qu'en finance, la précision sans explicabilité n'est pas admissible réglementairement, et un gain marginal de discrimination ne compense pas l'incapacité à justifier un refus devant le superviseur ou le client.

Comment évite-t-on que le modèle ne discrimine ? En excluant les variables protégées, en auditant leurs corrélats indirects et en mesurant des métriques d'équité entre groupes. L'absence de la variable ne garantit pas l'absence de biais si une autre la représente indirectement.

À quelle fréquence faut-il réentraîner un modèle de scoring ? Il n'y a pas de période fixe ; cela dépend de la dérive de la population. La surveillance continue de l'index de stabilité de la population indique quand la réalité s'est éloignée des données d'entraînement et qu'il est temps de recalibrer.

Chez Summum Inteligencia Artificial, nous défendons que, dans la finance, la meilleure décision de modélisation est rarement la plus sophistiquée, mais celle qui équilibre capacité prédictive, explicabilité et adéquation réglementaire. Un système de risque de crédit ou de détection de fraude n'apporte de valeur que si l'établissement peut défendre chaque décision devant le client, l'auditeur et le régulateur. La frontière concurrentielle ne se situe plus dans la possession de l'algorithme le plus puissant, mais dans sa gouvernance : le documenter, surveiller sa dérive et maintenir la personne comme instance finale de contrôle. Cette discipline est ce qui sépare un modèle générateur d'activité durable d'un modèle qui accumule des passifs silencieux jusqu'à ce que le portefeuille se détériore ou que le superviseur frappe à la porte.