Que régit l'AI Act de l'UE?

L'AI Act de l'UE classe l'IA en quatre groupes, chacun dans son propre chapitre. Le chapitre II énumère des pratiques d'IA interdites. Le chapitre III fixe les règles pour des systèmes d'IA à haut risque. Le chapitre IV contient des obligations de transparence, par exemple pour des systèmes d'IA qui interagissent directement avec des personnes (article 50). Le chapitre V couvre des modèles d'IA à usage général.

La notation sociale est une pratique interdite: une IA qui évalue des personnes dans le temps selon leur comportement social ou leurs caractéristiques personnelles, lorsque la note entraîne un traitement défavorable dans des contextes sans rapport ou un traitement disproportionné par rapport au comportement (article 5(1)(c)).

Deux cas d'usage à haut risque de l'annexe III, point 5, concernent directement des banques et des assureurs. Le point 5(b) couvre « AI systems intended to be used to evaluate the creditworthiness of natural persons or establish their credit score, with the exception of AI systems used for the purpose of detecting financial fraud ». Le point 5(c) couvre « AI systems intended to be used for risk assessment and pricing in relation to natural persons in the case of life and health insurance ».

Un modèle de notation de crédit à la consommation est une IA à haut risque selon l'AI Act de l'UE. Un modèle de détection de la fraude n'est pas à haut risque selon le point 5(b). La notation d'entreprises ne figure pas au point 5(b), qui nomme des personnes physiques.

Ceux qui doivent respecter l'AI Act de l'UE sont des fournisseurs qui développent ou vendent des systèmes d'IA et des déployeurs qui les utilisent dans l'UE, où que se trouve le fournisseur (article 2(1)). Une banque qui achète un modèle de notation est un déployeur. Selon l'article 26, elle doit utiliser le système conformément à la notice d'utilisation, confier le contrôle humain à des personnes ayant « the necessary competence, training and authority », garder les données d'entrée pertinentes et représentatives lorsqu'elle contrôle ces données, et surveiller le fonctionnement.

Avant d'utiliser un système de notation de crédit ou de tarification d'assurance, un déployeur effectue une analyse d'impact sur les droits fondamentaux (article 27(1)). La conformité à l'AI Act de l'UE comprend aussi la maîtrise de l'IA: l'article 4, tel que modifié en 2026, demande aux fournisseurs et aux déployeurs de soutenir la maîtrise de l'IA de leur personnel. Ce sont les exigences de formation de la loi; elle n'exige pas de niveau précis pour chaque personne.

L'AI Act de l'UE est entré en vigueur le 1er août 2024 et s'applique par étapes. L'article 113 fixe le calendrier ci-dessous. Le règlement (UE) 2026/1744 du 8 juillet 2026, en vigueur depuis le 27 juillet 2026, a déplacé les dates pour les systèmes à haut risque.

Pour une banque en 2026, les interdictions, l'obligation de maîtrise de l'IA et les règles générales s'appliquent déjà. Les obligations à haut risque pour les systèmes de notation de crédit commencent le 2 décembre 2027.

L'AI Act de l'UE s'applique directement en Allemagne et en Autriche. Pour des systèmes d'IA que des établissements financiers utilisent en lien direct avec leurs services financiers, l'autorité de surveillance du marché est l'autorité chargée de la surveillance financière de ces établissements (article 74(6)). En Allemagne, l'autorité de surveillance financière est la BaFin, en Autriche la FMA. L'article 74(7) permet à un État membre de désigner une autre autorité dans des cas appropriés.

Selon la loi allemande de mise en œuvre du règlement européen sur l'intelligence artificielle, en vigueur depuis le 29 juillet 2026, la BaFin surveille des systèmes d'IA que des entreprises surveillées utilisent en lien direct avec des activités financières réglementées, y compris l'évaluation du crédit et l'évaluation des risques d'assurance. La BaFin peut infliger des amendes pour des infractions.

L'autorité de surveillance de l'UE pour les assureurs est à Francfort: l'EIOPA, au Westhafenplatz 1 à Francfort-sur-le-Main, a publié son avis sur la gouvernance et la gestion des risques de l'IA le 6 août 2025. Il explique comment le droit des assurances s'applique aux systèmes d'IA, de la gouvernance des données et de l'équité à l'explicabilité et au contrôle humain.

La Suisse est hors de l'UE, donc l'AI Act de l'UE ne s'y applique pas. La communication FINMA 08/2024 du 18 décembre 2024 expose ses attentes en matière de gouvernance et de gestion des risques lorsque des établissements surveillés utilisent l'IA, y compris le risque de modèle lié à un modèle instable, incorrect, inexplicable ou biaisé. Les informations sont générales et ne constituent pas un conseil juridique.