Le problème n'était pas que les modèles étaient faux. C'est pire : ils étaient mathématiquement irréprochables. Les équipes de quants qui les avaient construits avaient des diplômes des meilleures universités du monde. Les backtests étaient convaincants. Les simulations tournaient. Les comités de risque approuvaient.
Ce que personne ne faisait : valider indépendamment que les modèles reflétaient la réalité. Que leurs hypothèses tenaient dans des marchés sous stress. Que les données d'entrée étaient fiables. Que quelqu'un, en dehors de l'équipe qui avait construit le modèle, était capable d'en comprendre les limites.
En septembre 2008, Lehman Brothers s'effondre. Actifs : 639 milliards de dollars. Passifs : 613 milliards. Le modèle interne avait estimé les pertes potentielles à un niveau gérable. Il n'avait pas géré. Bear Stearns, AIG, Fannie Mae — même séquence, mêmes causes profondes : des modèles non contestés, non documentés, non validés.
En 2011, la Réserve Fédérale américaine publie SR 11-7 — Supervisory Guidance on Model Risk Management. Ce document de 20 pages est la réponse institutionnelle à 2008. Son principe central tient en une phrase : un modèle utilisé pour prendre des décisions doit être validé indépendamment, documenté de façon auditée, et gouverné par un système de contrôles formalisé.
SR 11-7 définit ce qu'est un "modèle" au sens réglementaire : toute méthode quantitative, système ou approche qui applique des théories, des techniques et des hypothèses pour traiter des données d'entrée et produire des estimations quantitatives. Cette définition couvre les algorithmes de crédit, les modèles de pricing d'options — et, en 2026, les modèles d'intelligence artificielle.
Quand un fonds PE acquiert une startup IA en 2026, il inspecte les revenus, la rétention clients, le code. Ce qu'il n'inspecte généralement pas : si le modèle principal de la cible a été validé indépendamment. Si ses hypothèses tiennent sur des données hors distribution. Si quelqu'un en dehors de l'équipe data science comprend ce qu'il fait réellement.
Le parallèle avec 2007 est précis. Les modèles de Lehman avaient été construits par des gens brillants. Ils n'avaient pas été challengés. Les algorithmes IA des startups acquises aujourd'hui ont été construits par des équipes excellentes. Ils ne sont pas challengés non plus.
La dimension D2 du score D7™ — Maturité Technique & Risque Modèle — est directement adaptée du cadre SR 11-7, mis à jour par Model Risk Management pour les actifs IA sous EU AI Act. Elle évalue cinq points précis :
Validation indépendante — Existe-t-il un processus de challenge du modèle par une équipe ou un tiers distinct de l'équipe de développement ?
Documentation du modèle — La description des hypothèses, des données d'entrée, des métriques de performance et des limites connues est-elle formalisée et accessible ?
Monitoring en production — Le comportement du modèle en production est-il suivi contre ses métriques de référence ? Y a-t-il des alertes de dérive ?
Gestion des exceptions — Quand le modèle produit un résultat inattendu, quel est le processus d'escalade ? Y a-t-il une supervision humaine documentée ?
Cycle de vie formalisé — Le modèle a-t-il un cycle de vie documenté — développement, tests, déploiement, revue périodique, retrait ?
Un actif qui répond à ces cinq points scorera D2 ≥ 4/5. Un actif dont l'algorithme principal n'a jamais fait l'objet d'une validation externe scorera D2 = 1 ou 2. La différence de valorisation attendue est significative — et justifiable devant un comité d'investissement.
L'EU AI Act renforce cette logique pour les systèmes à haut risque : l'Article 9 impose un système de gestion des risques continu, l'Article 15 impose des exigences d'exactitude, robustesse et cybersécurité. SR 11-7 avait anticipé ces exigences pour la finance en 2011. Elles arrivent pour l'IA en 2026.