Contrôle des accès aux données financières dans les systèmes d'IA : trois approches comparées

Le contrôle d'accès basé sur les attributs, ou ABAC pour Attribute-Based Access Control, représente une évolution vers plus de granularité et de flexibilité. Au lieu de s'appuyer uniquement sur le rôle de l'utilisateur, cette approche évalue une combinaison d'attributs pour décider si un accès est autorisé. Ces attributs peuvent concerner l'utilisateur (son département, sa localisation, son niveau d'habilitation), la donnée elle-même (sa classification, sa sensibilité, son ancienneté) et le contexte (l'heure de la demande, le système depuis lequel elle est émise, l'objectif déclaré). Dans un système financier piloté par l'IA, cette approche permet par exemple d'autoriser un modèle d'IA à accéder à des données sensibles uniquement lorsqu'il s'exécute dans un environnement sécurisé certifié, ou de restreindre l'accès à certaines données selon la juridiction depuis laquelle la demande est formulée. La complexité de l'ABAC est sa principale limite. Définir, maintenir et auditer un ensemble de règles basées sur de multiples attributs demande une rigueur organisationnelle importante. Les politiques peuvent devenir difficiles à comprendre pour les équipes métier, ce qui crée un risque de dérive silencieuse. Pour les organisations financières suisses qui doivent démontrer la maîtrise de leurs politiques d'accès lors d'audits réglementaires, cette complexité doit être gérée avec des outils de documentation et de test adaptés.

Le contrôle d'accès basé sur les politiques, ou PBAC pour Policy-Based Access Control, est une approche qui définit les règles d'accès dans des politiques formelles et centralisées, souvent exprimées dans un langage standardisé lisible par des machines. Cette approche est particulièrement adaptée aux environnements où plusieurs systèmes d'IA doivent partager des données selon des règles cohérentes, et où les politiques doivent être applicables de manière uniforme à travers des architectures distribuées. Dans un contexte financier, le PBAC permet de définir une politique qui s'applique simultanément aux accès humains et aux accès machine, garantissant que les mêmes règles régissent les deux types d'acteurs. Cela est particulièrement précieux lorsque des modèles d'IA doivent accéder à des données sensibles de manière autonome, sans intervention humaine à chaque requête. La limite principale du PBAC est sa dépendance à la qualité des politiques définies. Une politique mal rédigée peut créer des failles d'accès ou des blocages injustifiés qui sont difficiles à diagnostiquer. Cette approche nécessite également des compétences spécifiques pour rédiger et maintenir les politiques, ce qui peut représenter un investissement organisationnel significatif pour des équipes de taille modeste.

Dans la pratique, la plupart des organisations financières qui ont atteint une certaine maturité en matière de gouvernance des données n'utilisent pas une seule approche de contrôle des accès, mais une combinaison adaptée à leurs différents contextes. Les données de référence stables peuvent être gouvernées par des rôles simples (RBAC). Les données sensibles ou contextuelles bénéficient d'une approche par attributs (ABAC). Les interfaces entre systèmes d'IA distincts sont régies par des politiques formelles (PBAC). Cette hybridation est pragmatique mais nécessite une documentation rigoureuse pour rester gouvernable. Sans une cartographie claire de quelle approche s'applique à quel domaine de données, les équipes peuvent rapidement perdre la maîtrise de leurs politiques d'accès globales. Nous observons que les organisations qui réussissent cette hybridation commencent par définir une taxonomie de leurs données (par sensibilité, par type, par usage) avant de choisir l'approche de contrôle d'accès la plus adaptée à chaque catégorie. Cette taxonomie devient alors le guide qui détermine quelle politique s'applique où, et simplifie considérablement les audits réglementaires.