Banque & Finance — Guide de conformité au règlement IA de l'UE

Obligations au titre du règlement IA de l'UE pour les banques, établissements de crédit et entreprises fintech. Notation de crédit, systèmes LCB-FT, trading algorithmique, interaction avec DORA et lignes directrices de l'EBA.

Pourquoi le secteur bancaire est particulièrement exposé au règlement IA de l'UE

Le secteur bancaire et des services financiers se trouve à l'intersection des obligations les plus strictes du règlement IA de l'UE et de l'environnement réglementaire le plus complexe de l'UE. Les établissements financiers comptent parmi les plus grands déployeurs d'IA en Europe — dans la souscription de crédit, la détection de fraudes, le filtrage LCB-FT/CFT, la vigilance à l'égard de la clientèle, le trading algorithmique et la gestion de patrimoine. Le règlement IA de l'UE cible directement les cas d'usage les plus critiques via l'Annexe III, classifiant plusieurs applications d'IA financière comme à haut risque par définition.

Le secteur bancaire opère également sous une couche réglementaire préexistante dense : DORA, MiFID II, CRD IV/CRR, Directives LCB-FT, RGPD et BCBS 239. Le règlement IA de l'UE ne remplace pas ces cadres — il s'y ajoute. Pour un établissement de crédit, le déploiement d'un modèle de notation de crédit basé sur l'IA déclenche simultanément des obligations au titre du règlement IA (Annexe III, Art. 9–16), de DORA (gestion du risque TIC) et des lignes directrices de l'EBA sur la gestion du risque de modèle.

Cas d'usage d'IA à haut risque dans la banque au titre de l'Annexe III

L'Annexe III, catégorie 5(b) liste explicitement les IA utilisées pour l'évaluation de la solvabilité ou la notation de crédit des personnes physiques, et les IA utilisées pour évaluer le risque de crédit des personnes morales lorsque l'IA détermine ou influence substantiellement le résultat. Cela couvre un large éventail de déploiements d'IA financière.

Les modèles de notation de crédit et de souscription — systèmes automatisés qui déterminent l'éligibilité aux prêts, les plafonds de crédit ou les taux d'intérêt pour les clients particuliers et PME — constituent des IA à haut risque au titre de l'Art. 6(2) lu conjointement avec l'Annexe III. Les banques agissant en tant que fournisseurs de ces systèmes doivent effectuer des évaluations de conformité, maintenir une documentation technique au titre de l'Art. 11, mettre en place des systèmes de gestion des risques au titre de l'Art. 9, garantir des mécanismes de surveillance humaine au titre de l'Art. 14, et enregistrer le système dans la base de données du règlement IA de l'UE (Art. 71) avant le déploiement.

Les systèmes de LCB-FT et de détection de fraudes présentent un tableau plus nuancé. Les systèmes qui appliquent le filtrage des sanctions, la surveillance des transactions ou l'analyse comportementale pour signaler une activité suspecte affectent généralement les établissements financiers plutôt que de déterminer directement des résultats pour des individus. Lorsque la sortie de l'IA constitue la base principale d'une action défavorable à l'encontre d'un client (gel de compte, refus de service), la classification à haut risque peut être déclenchée au titre de l'Annexe III cat. 5(b) ou cat. 6 (répression pénale) selon le rôle de l'autorité nationale. Les banques doivent procéder à une analyse de classification minutieuse.

Les outils fondés sur des GPAI — grands modèles de langage utilisés pour le service client, le traitement de documents ou l'analyse d'investissements — sont soumis aux exigences de transparence de l'Art. 50 (divulgation que les utilisateurs interagissent avec une IA) et, lorsque le fournisseur du modèle présente un risque systémique, aux obligations de l'Art. 55.

Obligations fournisseur vs déployeur pour les banques

Les banques peuvent agir en tant que fournisseurs (construisant leurs propres modèles d'IA), déployeurs (utilisant des systèmes d'IA tiers), ou les deux. Cette distinction détermine le profil d'obligations :

Les banques qui achètent une IA de notation de crédit auprès d'un fournisseur fintech agissent en tant que déployeurs au titre de l'Art. 26. Elles doivent vérifier que le fournisseur a effectué l'évaluation de conformité, intégrer la revue humaine dans les processus de décision défavorable, maintenir des journaux d'utilisation pendant 10 ans (Art. 26(6)), et veiller à ce que les décisions de l'IA soient expliquées aux personnes concernées au titre de l'Art. 22 du RGPD et de l'Art. 13 du règlement IA de l'UE.

Recoupements avec la réglementation sectorielle : DORA, MiFID II et Solvabilité II

DORA (Règlement 2022/2554) s'applique aux banques, entreprises d'investissement, compagnies d'assurance et prestataires TIC tiers. Pour les IA spécifiquement, DORA exige :

• Les systèmes d'IA traités comme des systèmes TIC soumis aux cadres de gestion des risques (Art. 6 DORA)
• La classification et le signalement des incidents liés aux TIC — les défaillances d'IA peuvent constituer des incidents TIC majeurs
• Les tests de résilience des systèmes TIC critiques — modèles d'IA inclus lorsqu'ils sont essentiels aux opérations
• La gestion du risque tiers couvrant les contrats avec les fournisseurs d'IA, les stratégies de sortie et les droits d'audit

MiFID II (Directive sur les marchés d'instruments financiers) s'applique au trading algorithmique et aux conseils en investissement. Les recommandations d'investissement générées par l'IA déclenchent des exigences d'évaluation de l'adéquation ; les systèmes de trading algorithmique requièrent des contrôles pré-négociation, des coupe-circuits et une notification réglementaire.

Les lignes directrices de l'EBA sur la gestion du risque TIC et de sécurité (EBA/GL/2019/04, mise à jour 2022) imposent une gouvernance du risque technologique couvrant les modèles d'IA, des exigences de continuité opérationnelle et l'indépendance de la validation des modèles. Celles-ci s'alignent substantiellement avec les exigences de gestion des risques de l'Art. 9 du règlement IA de l'UE.

Autorités de contrôle

L'application du règlement IA de l'UE pour l'IA bancaire s'opère à travers une structure d'autorités à double niveau :

Les autorités nationales compétentes (ANC) désignées par chaque État membre au titre de l'Art. 70 sont les principaux organes d'application du règlement IA. Elles peuvent mener des surveillances du marché, demander la documentation technique et imposer des amendes (jusqu'à 30 M€ ou 6 % du chiffre d'affaires annuel mondial au titre de l'Art. 99).

L'Autorité bancaire européenne (EBA) coordonne la surveillance sectorielle de l'IA dans l'union bancaire, fournit des normes techniques sur le risque TIC et publie des lignes directrices qui orientent les attentes des superviseurs nationaux. L'EBA participe également au Comité européen de l'IA créé au titre de l'Art. 65.

La BCE et les superviseurs prudentiels nationaux peuvent demander la documentation des modèles d'IA dans le cadre des évaluations SREP (Supervisory Review and Evaluation Process) au titre de CRD IV lorsque l'IA pilote des décisions matérielles de crédit ou de risque opérationnel.

Feuille de route de conformité pour les banques

Immédiat (maintenant → août 2026) : Effectuer le contrôle de conformité aux interdictions — examiner tous les systèmes d'IA au regard des pratiques interdites par l'Art. 5, notamment la notation sociale et l'identification biométrique en temps réel dans les espaces publics. Ces interdictions s'appliquent immédiatement aux nouveaux contrats.

T3 2026 — Audit de classification à haut risque : Cartographier tous les systèmes d'IA déployés et en cours de développement par rapport à l'Annexe III, spécifiquement les catégories 5(b) et 5(c). Documenter le raisonnement de classification. Impliquer les équipes juridiques et conformité pour évaluer le recoupement avec DORA.

T4 2026 — Obligations fournisseur pour les IA internes : Pour les modèles de notation de crédit et de souscription développés en interne, initier les procédures d'évaluation de conformité, élaborer la documentation technique conformément à l'Annexe IV et mettre en place un SMQ au titre de l'Art. 17.

2027 — Obligations déployeur pour les IA tierces : Auditer tous les contrats avec les fournisseurs d'IA au regard de la conformité au règlement IA de l'UE. Exiger des fournisseurs qu'ils fournissent les déclarations de conformité et les numéros d'enregistrement. Mettre à jour les accords de traitement des données pour refléter les obligations de journalisation de l'Art. 26.

Août 2027 — Obligations GPAI effectives : S'assurer que tous les LLM et modèles de fondation tiers utilisés dans les applications bancaires sont conformes aux Art. 51–55. Vérifier que les fournisseurs ont publié la documentation de transparence au titre de l'Art. 53.

Décembre 2027 — Échéance pour les IA à haut risque : Conformité totale requise pour tous les systèmes d'IA à haut risque de l'Annexe III. Assurer l'enregistrement dans la base de données du règlement IA de l'UE, le fonctionnement des mécanismes de surveillance humaine et les plans de surveillance post-commercialisation au titre de l'Art. 72.