Impact de l'AI Act dans le secteur financier : perspectives d'avenir

L'AI Act européen en bref

L'AI Act européen est le premier cadre réglementaire complet au monde consacré à l'intelligence artificielle, et il définit la manière dont les organisations opérant dans l'UE peuvent l'utiliser. Son objectif est de garantir que les systèmes d'IA soient sûrs, transparents et respectueux des droits humains, y compris la vie privée et la non-discrimination. Il est entré en vigueur en août 2024 et ses obligations s'appliquent progressivement sur plusieurs années : interdiction des pratiques prohibées depuis février 2025, règles de gouvernance et modèles d'IA à usage général depuis août 2025, et le régime haut risque encore à venir.

L'échéance haut risque a bougé, elle n'a pas disparu

La prochaine échéance devait être la plus importante : à partir du 2 août 2026, l'ensemble des obligations pour les systèmes d'IA à haut risque devait s'appliquer. Cette date a été reportée.

Dans le cadre du paquet de simplification Digital Omnibus de l'UE, les colégislateurs sont parvenus à un accord provisoire en mai 2026, que le Parlement européen a approuvé le 16 juin 2026. Le règlement (UE) 2026/1744 qui en résulte est en vigueur depuis le 27 juillet 2026. Il reporte de seize mois l'échéance des systèmes autonomes à haut risque, au 2 décembre 2027, en grande partie parce que les normes techniques sur lesquelles les institutions doivent s'appuyer n'étaient pas prêtes à temps. L'IA à haut risque intégrée à d'autres produits déjà réglementés bénéficie d'un report distinct et plus modeste, d'août 2027 à août 2028.

Le report se limite au chapitre haut risque. Ce que ce chapitre exigera à terme n'a pas changé : classification des risques, normes de qualité et de gouvernance des données, supervision humaine, ainsi que monitoring et signalement des incidents.

Ce qui est réellement à haut risque dans une institution financière

C'est là que beaucoup d'analyses vont trop loin, il vaut donc la peine d'être précis. L'annexe III de l'AI Act liste les cas d'usage à haut risque. Pour une banque, un courtier ou un assureur, ceux qui comptent réellement sont :

• L'évaluation de la solvabilité et le scoring de crédit des personnes physiques (annexe III, 5(b)).
• L'évaluation des risques et la tarification pour l'assurance vie et santé (annexe III, 5(c)).
• La catégorisation biométrique selon des attributs sensibles et la reconnaissance des émotions (annexe III, 1(b) et 1(c)), ainsi que l'identification biométrique à distance (1(a)). La vérification un-à-un, confirmer qu'une personne est bien celle qu'elle prétend être, en est exclue, ce que font justement la plupart des parcours d'entrée en relation à distance.
• Le recrutement et l'évaluation des collaborateurs (annexe III, point 4), un cas de figure que toute institution rencontre, que la conformité en soit propriétaire ou non.

La surveillance des transactions LCB-FT, le filtrage des sanctions, la vigilance à l'égard de la clientèle et la notation du risque de contrepartie ne figurent pas sur cette liste. L'exclusion est délibérée et inscrite deux fois dans le texte : l'annexe III, 5(b) exclut explicitement « les systèmes d'IA utilisés dans le but de détecter une fraude financière », dans la même phrase qui classe le scoring de crédit comme haut risque, et le considérant 58 précise que les systèmes d'IA prévus par le droit de l'Union pour détecter la fraude dans la fourniture de services financiers, ainsi que pour calculer, à des fins prudentielles, les exigences de fonds propres des établissements de crédit et des entreprises d'assurance, ne devraient pas être considérés comme à haut risque.

La version honnête du titre est donc celle-ci : pour la plupart des équipes conformité, le régime haut risque de l'AI Act n'est pas la contrainte structurante. Autre chose l'est.

Pourquoi cette exclusion n'est pas un blanc-seing

L'explicabilité, la supervision humaine, la qualité des données, le monitoring continu et la gestion documentée des incidents ne sont pas des inventions de l'AI Act. C'est ce qu'exigent déjà l'AMLR, les lignes directrices de l'EBA sur la gestion du risque LCB-FT, et tout dispositif sérieux de gestion des risques modèles, pour un système qui décide qui est accepté en relation et quelles alertes sont escaladées. Un superviseur qui examine une notation de risque client demandera comment le score a été produit, qui l'a vérifié, et ce qui se passe quand il se trompe. La réponse ne peut pas être « le modèle a décidé ».

C'est pourquoi la bonne manière de lire décembre 2027 n'est pas celle d'une échéance dont on aurait été dispensé, mais celle d'un standard qu'il vaut la peine de construire délibérément. Les institutions qui utilisent ce délai supplémentaire pour rendre leurs modèles LCB-FT explicables et leur supervision documentée passeront le contrôle de l'AI Act si leur cas d'usage entre un jour dans le périmètre, et passeront de toute façon celui de l'AMLR. Les institutions qui traitent ce report comme une pause referont le même travail plus tard, sous davantage de pression temporelle, sur des systèmes qui auront entre-temps grossi.

Tout n'a pas bougé : l'article 50 s'applique comme prévu

Les obligations de divulgation de l'article 50, comme informer les utilisateurs qu'ils interagissent avec un système d'IA ou signaler les hypertrucages, sont entrées en application le 2 août 2026 exactement comme prévu à l'origine. Seule l'obligation de marquage technique du contenu généré par IA a bénéficié d'un court report, au 2 décembre 2026, et uniquement pour les systèmes déjà mis sur le marché avant le 2 août 2026.

L'article 50 répartit ses obligations par rôle, et cette répartition compte :

• Informer les utilisateurs qu'ils sont en relation avec un système d'IA, et marquer le contenu synthétique, sont des obligations de fournisseur.
• Divulguer la reconnaissance des émotions et la catégorisation biométrique, et signaler les hypertrucages ou les contenus textuels générés par IA publiés pour informer le public, sont des obligations de déployeur.

La conséquence pratique pour une banque qui exploite un chatbot service client fourni par un prestataire : l'obligation de divulgation reste celle du prestataire, jusqu'à ce que la banque se l'approprie. En vertu de l'article 25, un déployeur qui appose son propre nom ou sa propre marque sur un système, le modifie substantiellement, ou change sa destination, en devient le fournisseur, avec les obligations de fournisseur qui s'y rattachent. Marquer le chatbot de sa propre marque, et l'obligation suit cette marque. La conformité d'un prestataire n'est pas automatiquement celle de l'institution qui déploie son outil.

Le non-respect de ces obligations de transparence peut entraîner des amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.

Ce type de marquage technique est déjà visible en pratique : un tag Content Credentials sur une image LinkedIn, indiquant qu'elle a été générée via l'API Media Service d'OpenAI.

Deux évolutions à anticiper

Les équipes conformité vont cesser d'examiner chaque dossier une à une pour commencer à examiner le modèle qui les examine. Cela change la nature du poste, pas seulement sa charge. Deux évolutions sont déjà visibles.

1. Les régulateurs utilisent aussi l'IA

Les autorités de supervision des États membres devraient s'appuyer sur l'IA dans leurs propres enquêtes auprès des institutions financières. La détection d'anomalies joue déjà un rôle important dans l'identification des transactions suspectes, et les mêmes techniques fonctionnent sur une population de dossiers. Banques et courtiers ont besoin d'un dispositif fiable de gestion des dossiers avant que cela n'arrive, car la faiblesse que l'outil d'un régulateur repérera le plus vite est l'incohérence. Prenons l'estimation du risque de contrepartie : filtrer des milliers de dossiers par jour avec de mauvais paramètres de risque produit un schéma récurrent, et un schéma récurrent est exactement ce qu'une enquête assistée par IA excelle à repérer.

2. Le contrôle qualité change de ligne

Le contrôle qualité est l'autre domaine où banques et courtiers ont le plus à gagner. À mesure que les évaluations de risque s'appuient sur des systèmes d'IA, la majorité des dossiers simples peut être traitée avec très peu d'intervention manuelle, ce qui libère la deuxième ligne de défense pour du jugement et donne à l'audit interne, la troisième ligne, une nouvelle chose à tester : non plus seulement si les dossiers ont été revus, mais si le modèle qui les revoit est toujours performant. Plutôt que de relire chaque dossier, les équipes se concentrent davantage sur un nombre plus restreint de dossiers à haut risque, tout en échantillonnant le travail de l'IA sur les cas simples.

Vers un modèle hybride d'évaluation des risques par IA

Cela nous amène à la partie de l'AI Act qui survivra à toute échéance : les institutions doivent continuellement évaluer la performance de leurs systèmes d'IA. Les équipes conformité deviennent celles qui comparent le modèle d'IA au modèle traditionnel fondé sur des règles, et qui décident que faire quand les deux ne sont pas d'accord.

La question évidente est ce qu'il faut mesurer. Un socle de départ raisonnable :

• Le taux de faux positifs comparé à la référence fondée sur des règles, sur la même population, pour que la comparaison ait un sens.
• Le taux de conversion alerte-vers-déclaration de soupçon, qui indique si le modèle trouve les bonnes choses ou simplement moins de choses.
• Le taux de correction par les analystes, ventilé par motif. Une hausse de ce taux est le signal le plus précoce qu'un modèle s'est éloigné de la politique de l'institution.
• La précision et le rappel sur un échantillon annoté, actualisés périodiquement plutôt que mesurés une seule fois à la mise en production.
• La dérive des paramètres : quels paramètres de risque ont changé, quand, et qui a approuvé le changement.

Rien de tout cela ne fonctionne sans un endroit où le consigner. De nouveaux rôles émergent précisément autour de cela : décider où l'IA s'insère dans la boîte à outils de la conformité, et veiller à ce que les systèmes restent alignés avec le dispositif de conformité, de façon transparente et avec les bons paramètres.

Ce que cela implique concrètement

Répondre à cela suppose une architecture homme-dans-la-boucle : l'IA peut assister les analystes sur l'extraction de données, la classification et le rapprochement des correspondances, tandis que l'acceptation de la contrepartie, la classification du risque et le dépôt de déclarations de soupçon auprès de la cellule de renseignement financier exigent toujours une autorisation humaine. Les scores de risque doivent être explicables par conception, se décomposant dans les facteurs, valeurs et seuils qui les ont produits, afin qu'aucune décision boîte noire ne reste à défendre devant un superviseur ou un auditeur. Ajoutez des modèles et des paramètres de risque adaptables aux politiques propres de chaque institution, ainsi que des intégrations qui étendent cette même gouvernance au monitoring des transactions, et le tableau est complet.

Homme-dans-la-boucle, prêt pour l'audit, toujours sous contrôle. C'est le standard que décrit l'AI Act pour les systèmes à haut risque, et le standard qu'l'AMLR attend d'un modèle LCB-FT, que l'AI Act le qualifie de haut risque ou non.

Conclusion

Ce qui a changé le 2 août 2026, c'est le calendrier, pas le fond. Les obligations de transparence sont entrées en application comme prévu, le régime haut risque a été reporté à décembre 2027, et la LCB-FT et la détection de fraude restent de toute façon hors de ce régime. Ce qui n'a pas changé, c'est l'exigence : une décision de conformité assistée par IA doit être explicable, supervisée par une personne, et suivie dans la durée. Seize mois, c'est suffisant pour bâtir cela correctement. Ce n'est pas une raison d'attendre.

Questions fréquentes sur l'AI Act

Qu'est-ce que l'AI Act européen ?

L'AI Act européen est le cadre réglementaire de l'Union européenne pour l'intelligence artificielle, le premier du genre au monde. Il classe les systèmes d'IA par niveau de risque et attache des obligations à chaque niveau, depuis l'interdiction pure et simple des usages les plus risqués jusqu'aux obligations de transparence pour les systèmes qui interagissent directement avec les personnes.

Les logiciels de LCB-FT sont-ils à haut risque selon l'AI Act européen ?

Généralement non. L'annexe III liste les cas d'usage à haut risque, et la surveillance des transactions LCB-FT, le filtrage des sanctions et la vigilance à l'égard de la clientèle n'en font pas partie. L'annexe III, 5(b) exclut explicitement l'IA utilisée pour détecter la fraude financière, et le considérant 58 confirme que la détection de fraude dans les services financiers ne devrait pas être considérée comme à haut risque. Le scoring de crédit, la tarification de l'assurance vie et santé, la catégorisation biométrique et les usages RH sont, eux, dans le périmètre, et l'AMLR ainsi que les lignes directrices de l'EBA fixent des attentes de gouvernance comparables pour les modèles LCB-FT, quel que soit leur statut au regard de l'AI Act.

Quand le régime haut risque de l'AI Act européen entre-t-il en application ?

Les systèmes autonomes à haut risque devaient être en conformité à partir du 2 août 2026, mais le Digital Omnibus sur l'IA a reporté cette échéance de seize mois, au 2 décembre 2027. L'IA à haut risque intégrée à d'autres produits réglementés passe d'août 2027 à août 2028.

L'AI Act européen reste-t-il en vigueur malgré ce report ?

Oui. Le report se limite au chapitre haut risque. Les interdictions de pratiques prohibées, les règles de gouvernance et de modèles d'IA à usage général, ainsi que les obligations de transparence de l'article 50, sont toutes en vigueur et n'ont pas été affectées. Le Digital Omnibus a aussi apporté d'autres changements, dont une lecture plus restrictive de ce qui constitue un composant de sécurité.

Quelles sont les amendes en cas de manquement aux règles de transparence ?

Jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.

Harmoney orchestre l'ensemble du cycle de vie de la relation avec la contrepartie, de l'onboarding au monitoring continu, dans un flux unique et auditable. Supervision humaine, traçabilité complète, contrôle permanent. Vous souhaitez voir comment cela fonctionne pour vos processus LCB-FT et d'évaluation des risques ? Contactez-nous ou explorez la plateforme Harmoney, ou restez informé via notre newsletter ⬇️.

Cet article fournit des informations générales et ne constitue pas un avis juridique. Les institutions financières sont invitées à consulter un conseil juridique qualifié pour évaluer l'application de ces obligations à leur situation spécifique.