Résumé

  • The Pensions Regulator maintient la responsabilité des administrateurs fiduciaires pour l’IA utilisée dans les processus internes comme externalisés.
  • Une mise à jour peut intégrer l’IA à un logiciel existant ; le régime doit suivre les usages, les changements, le contrôle humain et les recours des membres.

Une politique IA valable pour tout le groupe d’un prestataire ne décrit pas forcément le service reçu par un régime de retraite. C’est là que TPR place la demande de preuve : les garanties doivent correspondre au service concerné, car des informations génériques peuvent être insuffisantes lorsque l’IA touche au régime ou à ses membres.

Le guide publié le 29 octobre maintient la responsabilité des administrateurs fiduciaires pour les processus du régime, qu’ils soient internes ou confiés à un prestataire. Le fournisseur peut exploiter l’outil ; le conseil doit pourtant savoir où il intervient, quelles données il traite, quelles décisions il peut influencer et qui contrôle ses résultats.

Cette question ne se pose pas seulement à la signature du contrat. TPR indique que l’IA peut apparaître dans un logiciel déjà utilisé, être ajoutée par une mise à jour pendant la durée d’un accord et ne pas être présentée comme un outil distinct. Les administrateurs doivent évaluer les usages importants avant l’accord et réexaminer la situation quand le modèle, les données, la fonction, les accès ou l’échelle évoluent.

Une décision influencée par l’IA doit pouvoir être reconstruite. TPR demande aux administrateurs de conserver les vérifications effectuées et les raisons d’accepter ou d’écarter un résultat. Le membre doit aussi pouvoir contester une décision et obtenir une intervention humaine lorsque la situation le justifie.

Le guide relie ces preuves à la correction d’une erreur. Les administrateurs doivent pouvoir identifier la contribution de l’IA, faire remonter le problème, corriger le dossier ou le processus et prévoir une réparation adaptée. Lorsque l’IA affecte l’expérience ou le résultat d’un membre, ils doivent déterminer ce qu’il doit comprendre et où obtenir de l’aide.

TPR présente ces attentes comme l’application des devoirs existants, sans créer un règlement distinct sur l’IA. Il propose des outils à la mesure du risque : registre des usages, journal des risques, plan de continuité, voie d’escalade et suivi dans la durée. Un outil de tri interne vérifié par un salarié n’appelle pas le même contrôle qu’un système en contact avec les membres ou impliqué dans une décision importante.

TPR ne publie ni inventaire des usages par régime ni nombre total de systèmes ; un relevé public ou des résultats d’inspection permettraient d’en mesurer l’ampleur. Le guide attribue déjà la responsabilité des contrôles : les administrateurs doivent obtenir des preuves adaptées au service qu’ils achètent.

Sources : guide détaillé de TPR sur l’IA ; annonce du 29 octobre ; plan IA de TPR.