L'essentiel en 30 secondes
- Un système d'IA qui évalue la solvabilité de personnes physiques ou établit leur score de crédit est à haut risque (Annexe III, point 5 b). La détection de fraude financière est exclue de ce point.
- Les obligations des systèmes à haut risque de l'Annexe III s'appliquent à partir du 2 décembre 2027, date fixée par le règlement (UE) 2026/1744 (« Omnibus IA »), en vigueur depuis le 27 juillet 2026.
- Une banque qui utilise le système d'un éditeur est déployeur (Art. 26) ; elle devient fournisseur si elle le développe ou le commercialise sous son nom (Art. 25).
- Avant le premier déploiement d'un système de scoring de crédit, le déployeur réalise une analyse d'impact sur les droits fondamentaux (FRIA, Art. 27).
- Pour les établissements financiers régulés, l'Art. 74(6) désigne en principe l'autorité de supervision financière comme autorité de surveillance du marché. En France, le schéma présenté par le Gouvernement en septembre 2025 prévoit l'ACPR pour le crédit et l'assurance vie et santé, sous réserve d'un projet de loi.
- Amendes : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs (Art. 99). Le RGPD s'applique en parallèle.
Les banques françaises sont soumises à l'AI Act quand elles développent ou utilisent un système d'IA. Leur cas d'usage central, le scoring de crédit des particuliers, est à haut risque (Annexe III, point 5 b) : les exigences des Articles 8 à 27 s'y appliquent à partir du 2 décembre 2027. Les pratiques interdites (depuis le 2 février 2025) et les obligations de transparence de l'Article 50 (depuis le 2 août 2026) s'appliquent déjà.
1. Contexte réglementaire : AI Act et rôle de l'ACPR
Le Règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1ᵉʳ août 2024. Son application est échelonnée. Les interdictions de l'Article 5 s'appliquent depuis le 2 février 2025. Les obligations sur les modèles d'IA à usage général s'appliquent depuis le 2 août 2025, et celles de transparence de l'Article 50 depuis le 2 août 2026. Le règlement (UE) 2026/1744 (« Omnibus IA ») a reporté au 2 décembre 2027 l'application des obligations des systèmes à haut risque de l'Annexe III, et au 2 août 2028 celle des systèmes intégrés à des produits réglementés (Annexe I).
L'AI Act est souvent présenté en quatre niveaux de risque : pratiques interdites (Art. 5), systèmes à haut risque (Art. 6 et Annexe III), systèmes soumis à des obligations de transparence (Art. 50), et systèmes à risque minimal, sans obligation spécifique. Pour une banque, les cas d'usage les plus exposés sont le scoring de crédit (haut risque) et les assistants conversationnels (transparence).
L'Autorité de contrôle prudentiel et de résolution (ACPR), adossée à la Banque de France, supervise notamment les établissements de crédit, les sociétés de financement, les entreprises d'investissement et les organismes d'assurance. Pour les systèmes à haut risque mis sur le marché, mis en service ou utilisés par des établissements financiers régulés, l'Article 74(6) de l'AI Act désigne en principe l'autorité nationale de supervision financière comme autorité de surveillance du marché, dans la mesure où l'usage est directement lié à la fourniture de services financiers. L'Article 74(7) permet à un État membre de désigner une autre autorité. En France, une page de la Direction générale des Entreprises (9 septembre 2025) présente un schéma qui confie à l'ACPR les systèmes d'évaluation de la solvabilité, de score de crédit et d'évaluation des risques en assurance vie et santé (Annexe III, point 5), lorsque l'opérateur relève de sa compétence. Ce schéma est soumis à l'adoption d'un projet de loi : l'état de la désignation formelle est à vérifier avant toute démarche.
L'ACPR a publié en juin 2020 un document de réflexion sur la gouvernance des algorithmes d'intelligence artificielle dans le secteur financier. Ce texte antérieur à l'AI Act n'a pas de valeur réglementaire : il décrit des principes de gouvernance (données, performance, stabilité, explicabilité) utiles pour documenter un système de scoring.
2. Calendrier et obligations applicables aux banques
Le calendrier applicable aux banques françaises se structure autour de cinq échéances.
| Échéance | Obligation | Base juridique |
|---|---|---|
| 2 février 2025 | Pratiques interdites ; mesures pour favoriser la maîtrise de l'IA du personnel | Art. 5 et Art. 4 AI Act |
| 2 août 2025 | Obligations des fournisseurs de modèles d'IA à usage général (une banque qui s'appuie sur un tel modèle est déployeuse) | Art. 51 à 56 AI Act |
| 2 août 2026 | Transparence : informer qu'on échange avec une IA, signaler les hypertrucages et certains textes générés | Art. 50 AI Act |
| 2 décembre 2027 | Obligations des systèmes à haut risque de l'Annexe III, dont le scoring de crédit | Art. 6, 8 à 27 et Annexe III |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés | Art. 6(1) et Annexe I |
Le scoring de crédit est le premier sujet pour une banque. L'Annexe III, point 5 b, classe à haut risque les systèmes d'IA destinés à évaluer la solvabilité de personnes physiques ou à établir leur score de crédit, à l'exception de ceux utilisés pour détecter la fraude financière. Cette qualification déclenche les exigences des Articles 8 à 15 pour le fournisseur et les obligations des Articles 16 à 27 pour les fournisseurs et les déployeurs. La liste complète figure dans la page sur les systèmes d'IA à haut risque de l'Annexe III.
Trois exigences concentrent l'essentiel du travail sur un système de scoring : la documentation technique (Art. 11 et Annexe IV), la tenue et la conservation des journaux (Art. 12, 19 et 26) et la supervision humaine effective (Art. 14).
L'AI Act s'articule avec la gouvernance interne déjà exigée des établissements financiers. Pour un fournisseur qui est un établissement financier, l'obligation de système de gestion de la qualité est réputée remplie par le respect des règles de gouvernance interne du droit financier de l'Union, à l'exception de quelques éléments (Art. 17(4)). La documentation technique et les journaux sont conservés avec la documentation financière (Art. 18(3) et 19(2)). Pour un déployeur, l'obligation de surveillance du fonctionnement est réputée remplie par le respect de ces mêmes règles (Art. 26(5)), et les journaux sont conservés avec la documentation prévue par le droit financier (Art. 26(6)).
3. Impact sur les banques françaises
L'impact opérationnel se décline sur trois plans : organisationnel, technique et contractuel.
Sur le plan organisationnel, l'AI Act n'impose pas de fonction dédiée, mais l'Art. 26(2) exige de confier la supervision humaine à des personnes compétentes, formées et dotées de l'autorité nécessaire. Une cellule associant conformité, direction des risques, DSI et DPO est une organisation possible. Ces personnes doivent pouvoir comprendre les résultats du système, les écarter ou les corriger (Art. 14).
Sur le plan technique, les exigences des Articles 9 à 15 pèsent d'abord sur le fournisseur du système. Elles se traduisent par des livrables précis.
| Exigence AI Act | Livrable attendu | Article |
|---|---|---|
| Système de gestion des risques | Politique de risk management documentée, mise à jour continue | Art. 9 |
| Gouvernance des données | Procédures de qualité, biais, représentativité des jeux d'entraînement | Art. 10 |
| Documentation technique | Dossier conforme à l'Annexe IV | Art. 11 |
| Tenue de registres | Journaux d'événements automatiques sur toute la durée de vie | Art. 12 |
| Transparence | Notice d'utilisation détaillée pour les déployeurs | Art. 13 |
| Supervision humaine | Mesures techniques et organisationnelles vérifiables | Art. 14 |
| Exactitude et robustesse | Niveaux déclarés, tests, résilience aux erreurs | Art. 15 |
Sur le plan contractuel, une banque qui déploie un système fourni par un tiers (éditeur, fintech) doit obtenir les instructions d'utilisation (Art. 13) et peut exiger du fournisseur la déclaration UE de conformité (Art. 47) et la preuve du marquage CE (Art. 48).
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 31 octobre, puis 99 €.
Créer mon pack — 29 €4. Ressources officielles utiles
Les ressources officielles se répartissent entre trois niveaux : européen, national généraliste et sectoriel bancaire.
Au niveau européen, la Commission européenne propose un service d'assistance, l'AI Act Service Desk. Le Bureau de l'IA (AI Office), placé au sein de la Commission, est notamment compétent pour superviser les modèles d'IA à usage général (Art. 88 à 94).
Au niveau français généraliste, la CNIL publie des fiches pratiques sur l'IA qui expliquent l'application du RGPD au développement des systèmes d'IA. Elles concernent les banques, qui traitent des données personnelles à grande échelle.
Au niveau bancaire sectoriel, deux ressources de l'ACPR sont utiles :
- Le document de réflexion de juin 2020 sur la gouvernance des algorithmes d'IA dans le secteur financier ;
- Le Pôle Fintech-Innovation, point de contact pour les acteurs nouveaux ou innovants.
La page Sources de référence de ce site recense les textes utilisés dans ses guides.
5. Les défis majeurs pour les banques
Trois difficultés sont prévisibles pour une banque.
Première difficulté : les systèmes hérités. Certains modèles de scoring sont anciens, partiellement réécrits et insuffisamment documentés. Reconstituer la documentation technique d'un tel système prend du temps.
Deuxième difficulté : le coût récurrent. Le maintien en conformité suppose de mettre à jour la documentation et de surveiller le système après sa mise sur le marché (Art. 72 pour le fournisseur). Ce coût se budgète sur la durée.
Troisième difficulté : les compétences. La supervision humaine (Art. 14 et 26) et les mesures pour favoriser la maîtrise de l'IA (Art. 4) supposent de former ou de recruter des profils qui comprennent à la fois les modèles, le droit et le métier bancaire.
| Difficulté | Impact opérationnel | Réponse type |
|---|---|---|
| Modèles hérités peu documentés | Reconstitution documentaire longue | Audit ciblé du système et de ses données |
| Compétences à réunir (IA, droit, métier bancaire) | Supervision humaine et maîtrise de l'IA à organiser | Formation adaptée à chaque rôle (Art. 4 et 26) |
Le régime de l'Art. 99 est détaillé dans le guide des sanctions AI Act et le calculateur d'amende pour les PME.
6. Exemples concrets d'application
Trois cas d'usage illustrent la mise en pratique des obligations.
Cas 1 : algorithme de scoring crédit aux particuliers. Un système prédictif qui combine données de bureau de crédit, historique transactionnel et signaux comportementaux pour produire un score de défaut relève de l'Annexe III, point 5 b. Le fournisseur doit enregistrer le système dans la base de données de l'UE (Art. 49 et 71), établir la déclaration UE de conformité (Art. 47) et mettre en place un système de gestion de la qualité (Art. 17). La banque qui le déploie réalise en outre une analyse d'impact sur les droits fondamentaux (FRIA) avant le premier déploiement (Art. 27). La documentation décrit les jeux de données utilisés, leur provenance et leurs principales caractéristiques (Annexe IV). Un cas pratique de scoring crédit dans une banque régionale détaille la démarche.
Cas 2 : assistant conversationnel pour le service client. Un chatbot bancaire basé sur un modèle d'IA à usage général n'est pas, en soi, à haut risque. Son fournisseur doit le concevoir de façon que la personne soit informée qu'elle échange avec un système d'IA, sauf si cela ressort clairement du contexte (Art. 50(1)). Si le même système sert à évaluer la solvabilité ou à établir un score de crédit, il entre dans l'Annexe III, point 5 b.
Cas 3 : détection de fraude. L'Annexe III, point 5 b, exclut les systèmes d'IA utilisés pour détecter la fraude financière. Un système qui repère des transactions suspectes n'est donc pas à haut risque à ce titre. Si le même système sert aussi à refuser un crédit ou à fixer un score, l'analyse doit être faite au cas par cas et documentée.
L'Art. 10(2), points f et g, impose d'examiner les biais possibles des jeux de données et de prendre des mesures pour les détecter, les prévenir et les atténuer. Ce travail concerne les données sensibles et les variables qui peuvent produire une discrimination indirecte.
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 31 octobre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €7. Conseils pour les banques
Une approche en cinq étapes permet de tenir l'échéance du 2 décembre 2027.
- Cartographier l'ensemble des systèmes d'IA en production et en projet. Inclure tout système qui correspond à la définition de l'Art. 3(1) : un système automatisé conçu pour fonctionner avec différents niveaux d'autonomie, qui déduit, à partir des entrées qu'il reçoit, comment générer des sorties. Un modèle de registre des systèmes d'IA sert de base.
- Classifier chaque système selon son niveau de risque. Cette classification conditionne les obligations applicables.
- Hiérarchiser les efforts sur les systèmes à haut risque, en commençant par le scoring de crédit. Définir un plan de mise en conformité jusqu'au 2 décembre 2027.
- Mettre en place une gouvernance dédiée à l'IA. Un comité IA, des rôles formalisés (propriétaire du système, responsable des risques) et une articulation avec les comités existants (risques, conformité, produits).
- Suivre les évolutions réglementaires. Lignes directrices de la Commission européenne et textes nationaux de désignation des autorités. Le guide AI Act pour les PME et la page AI Act par secteur d'activité complètent ce suivi.
| Étape | Échéance recommandée | Livrable |
|---|---|---|
| Cartographie complète | T4 2026 | Registre des systèmes d'IA |
| Classification AI Act | T1 2027 | Matrice de classification documentée |
| Plan de remédiation | T2 2027 | Feuille de route budgétisée |
| Documentation Annexe IV | T3 2027 | Dossier technique par système à haut risque |
| Audit interne final | T4 2027, avant le 2 décembre | Rapport et plan d'action |
8. Conclusion : l'importance de l'anticipation
Anticiper la conformité à l'AI Act produit trois effets. Elle réduit l'exposition aux sanctions de l'Art. 99 : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des opérateurs, 7,5 M€ ou 1 % pour la fourniture d'informations inexactes, incomplètes ou trompeuses. Elle facilite les échanges avec les autorités de supervision. Elle rassure les partenaires et clients institutionnels.
Les PME fournisseurs de banques (éditeurs RegTech, fintechs B2B, prestataires d'analyse de données) sont concernées au premier chef. Un éditeur dont le système de scoring est à haut risque doit, à partir du 2 décembre 2027, avoir établi la déclaration UE de conformité (Art. 47) et apposé le marquage CE (Art. 48) avant la mise sur le marché.
L'échéance du 2 décembre 2027 laisse un peu plus d'un an à compter du 1er octobre 2026. Les chantiers de cartographie, de classification et de documentation doivent démarrer maintenant.
FAQ
Quelles sont les principales obligations pour les banques ?
À partir du 2 décembre 2027, les banques devront respecter les obligations des systèmes à haut risque pour leurs algorithmes de scoring de crédit visés à l'Annexe III, point 5 b. Cela couvre la documentation technique conforme à l'Annexe IV (Art. 11), la tenue de journaux (Art. 12), la supervision humaine (Art. 14), l'examen des biais des jeux de données (Art. 10) et la déclaration UE de conformité (Art. 47) pour le fournisseur, ainsi que les obligations du déployeur (Art. 26) et la FRIA (Art. 27) pour la banque qui utilise le système.
Quelles sont les sanctions en cas de non-conformité ?
L'Article 99 prévoit trois plafonds. Pour les pratiques interdites de l'Art. 5, l'amende peut atteindre 35 M€ ou 7 % du chiffre d'affaires mondial. Pour les manquements aux obligations des opérateurs, transparence de l'Art. 50 comprise, le plafond est de 15 M€ ou 3 %. Pour les informations inexactes, incomplètes ou trompeuses fournies aux autorités ou aux organismes notifiés, il est de 7,5 M€ ou 1 %. Une grande entreprise se voit appliquer le montant le plus élevé des deux, une PME le plus bas. S'y ajoutent les sanctions distinctes du RGPD (Art. 83 : 20 M€ ou 4 %). Le calculateur d'amende AI Act applique ces règles.
Quelle autorité contrôle l'AI Act dans le secteur bancaire ?
Pour les systèmes à haut risque utilisés par les établissements financiers régulés, l'Article 74(6) désigne en principe l'autorité nationale de supervision financière comme autorité de surveillance du marché. L'Article 74(7) permet à un État membre de désigner une autre autorité. En France, le schéma présenté par le Gouvernement en septembre 2025 prévoit l'ACPR pour le scoring de crédit et l'assurance vie et santé, sous réserve de l'adoption d'un projet de loi : l'état de la désignation formelle est à vérifier. Les modèles d'IA à usage général relèvent du Bureau de l'IA de la Commission européenne.
Quels sont les systèmes d'IA à haut risque dans le secteur bancaire ?
L'Annexe III, point 5 b, vise les systèmes destinés à évaluer la solvabilité de personnes physiques ou à établir leur score de crédit, à l'exception des systèmes utilisés pour détecter la fraude financière. Le point 5 c vise l'évaluation des risques et la tarification en assurance vie et santé. Les systèmes utilisés pour le recrutement ou la gestion des salariés (point 4) peuvent aussi être à haut risque.
Quels sont les délais pour la conformité ?
Pratiques interdites depuis le 2 février 2025 ; modèles d'IA à usage général depuis le 2 août 2025 ; transparence (Art. 50) depuis le 2 août 2026 ; systèmes à haut risque de l'Annexe III le 2 décembre 2027 ; systèmes à haut risque intégrés à des produits réglementés (Annexe I) le 2 août 2028. Ces deux derniers reports résultent du règlement (UE) 2026/1744.
Sources officielles
- Règlement (UE) 2024/1689 — texte officiel UE
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- Texte de l'AI Act — artificialintelligenceact.eu
- AI Act Service Desk — Commission européenne
- Fiches pratiques IA — CNIL
- ISO/IEC 42001:2023 — Systèmes de management de l'IA
- ISO/IEC 23894:2023 — Gestion du risque IA
- ACPR — document de réflexion de juin 2020 sur la gouvernance des algorithmes d'intelligence artificielle dans le secteur financier
- Direction générale des Entreprises — « Les autorités compétentes pour la mise en œuvre du règlement européen sur l'intelligence artificielle » (9 septembre 2025)
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises et à leurs partenaires bancaires. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.