Le règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle — l'AI Act — est entré en vigueur le 1er août 2024. Son application est échelonnée, ce qui a entretenu l'idée d'une échéance lointaine. Pour les établissements financiers, ce n'est pas le cas : deux usages parmi les plus répandus du secteur sont classés à haut risque.
L'AI Act raisonne par niveaux de risque : pratiques interdites, systèmes à haut risque, obligations de transparence, IA à usage général. Pour la finance, deux cas d'usage sont explicitement à haut risque — l'évaluation de la solvabilité des personnes physiques et la tarification et l'évaluation des risques en assurance vie et santé. Le reste du portefeuille IA relève le plus souvent de la transparence, ce qui n'exonère ni de l'inventaire ni de la documentation.
L'architecture du règlement
Le texte ne régule pas « l'IA » en bloc : il régule des usages, selon le risque qu'ils font peser sur les droits fondamentaux.
| Niveau | Contenu | Conséquence |
|---|---|---|
| Pratiques interdites | Notation sociale, manipulation, exploitation de vulnérabilités, certains usages biométriques | Interdiction pure et simple |
| Haut risque | Annexe III (dont scoring de crédit, tarification vie/santé) + IA intégrée à des produits réglementés | Régime complet : gestion des risques, données, documentation, supervision humaine, robustesse |
| Transparence | Agents conversationnels, contenus générés, reconnaissance d'émotions | Information de la personne concernée |
| IA à usage général | Modèles de fondation | Documentation technique, respect du droit d'auteur, obligations renforcées si risque systémique |
Ce qui est à haut risque dans une banque ou un assureur
L'annexe III vise, au titre de l'accès aux services essentiels, les systèmes d'IA destinés à évaluer la solvabilité des personnes physiques ou établir leur score de crédit, ainsi que ceux utilisés pour l'évaluation des risques et la tarification en assurance vie et santé.
Deux nuances comptent. D'abord, les systèmes utilisés à des fins de détection de la fraude financière ne sont pas visés à ce titre. Ensuite, le règlement prévoit qu'un système relevant d'un domaine de l'annexe III n'est pas à haut risque s'il ne présente pas de risque significatif pour la santé, la sécurité ou les droits fondamentaux — par exemple s'il n'exécute qu'une tâche procédurale étroite. Mais cette exemption doit être documentée et enregistrée : elle se démontre, elle ne se présume pas.
Fournisseur ou déployeur ?
La distinction commande toute la charge de conformité. Le fournisseur développe le système ou le fait développer et le met sur le marché sous son nom. Le déployeur l'utilise sous sa propre autorité.
Un établissement qui achète un moteur de scoring auprès d'un éditeur est déployeur. Mais il devient fournisseur s'il appose sa marque sur le système, s'il en modifie substantiellement la destination, ou s'il le modifie de manière substantielle. Le réentraînement d'un modèle acheté sur ses propres données, avec changement de finalité, fait basculer l'établissement du côté des obligations les plus lourdes — souvent sans que personne dans l'organisation ne l'ait décidé consciemment.
Le point de contrôle à installer en priorité est un jalon de qualification dans le processus d'acquisition et de modification des modèles : toute évolution d'un système IA doit passer par une question écrite — cette modification nous fait-elle changer de rôle au sens de l'AI Act ?
Les obligations du déployeur d'un système à haut risque
Elles sont plus légères que celles du fournisseur, mais réelles :
- utiliser le système conformément à la notice d'utilisation ;
- confier la supervision humaine à des personnes disposant de la compétence, de la formation et de l'autorité nécessaires ;
- s'assurer de la pertinence et de la représentativité des données d'entrée lorsque le déployeur en a le contrôle ;
- surveiller le fonctionnement et suspendre l'usage en cas de risque, en informant le fournisseur et l'autorité ;
- conserver les journaux générés automatiquement, pendant une durée appropriée ;
- informer les personnes exposées à une décision prise ou assistée par le système, et permettre l'explication des décisions individuelles ;
- informer les travailleurs concernés avant tout usage sur le lieu de travail.
L'articulation avec ce qui existe déjà
Les établissements financiers ne partent pas de rien. Le cadre de gouvernance des modèles issu de la réglementation prudentielle, les exigences de l'ACPR et de l'EBA sur les modèles internes et le scoring, le RGPD sur les décisions automatisées et l'explicabilité : beaucoup d'exigences de l'AI Act ont un équivalent.
L'erreur serait pourtant de conclure à un simple recouvrement. L'AI Act ajoute au moins trois choses : une classification par usage qui ne recoupe pas la classification prudentielle, une exigence de supervision humaine effective avec autorité pour passer outre le système, et une obligation d'information de la personne concernée plus large que celle du RGPD.
Le bon réflexe est de raccrocher la conformité AI Act au dispositif de gouvernance des modèles existant, en y ajoutant une colonne « qualification AI Act » et un jalon de revue. Créer une filière parallèle produit deux référentiels contradictoires en dix-huit mois.
Le calendrier d'application
L'application est échelonnée depuis l'entrée en vigueur : les interdictions et les obligations de littératie en IA en premier, puis le régime des modèles à usage général et la gouvernance, puis le gros du régime « haut risque ». Les pouvoirs de sanction montent en charge selon le même séquencement, avec des plafonds calculés en pourcentage du chiffre d'affaires mondial.
Le point à retenir pour un établissement : les interdictions ne sont pas différées, et les obligations de transparence non plus. Un agent conversationnel client déployé aujourd'hui doit déjà informer l'utilisateur qu'il s'adresse à une machine.
Par où commencer
- Inventorier tous les systèmes d'IA en production, en pilote et en projet — y compris les fonctionnalités IA embarquées dans des logiciels achetés, qui échappent presque toujours au premier recensement.
- Qualifier chaque système : rôle (fournisseur / déployeur) et niveau de risque, avec la justification écrite.
- Combler la documentation sur les systèmes à haut risque : données d'entraînement, tests, limites connues, mesures de supervision.
- Nommer les superviseurs humains et vérifier qu'ils ont réellement l'autorité de suspendre une décision.
- Installer la surveillance post-déploiement : indicateurs de dérive, incidents, revues périodiques.
- Former les équipes concernées — l'exigence de littératie en IA vise l'ensemble du personnel exposé.
Ōri Advisory accompagne banques, assureurs et fintechs sur la qualification AI Act de leur portefeuille de modèles et sur la gouvernance associée.