Règlement IA et services financiers

Le règlement IA (UE) 2024/1689 classe les systèmes par risque. Pour la plupart des IA bancaires, comme la rédaction d'e-mails ou la synthèse de recherches, il exige peu au-delà des compétences en IA du personnel. Il interdit une courte liste de pratiques et impose des obligations strictes aux systèmes à haut risque. Deux usages à haut risque concernent directement la finance: l'IA évaluant la solvabilité de personnes physiques ou établissant leur score de crédit, et l'IA évaluant le risque et fixant les prix en assurance vie et santé. La détection de fraude financière est expressément exclue de la catégorie crédit, qui ne comprend pas non plus la notation des entreprises.

Le statut de fournisseur ou de déployeur détermine les obligations de l'entreprise. Une banque développant et mettant en service son modèle de scoring est fournisseur et assume toutes les exigences de haut risque, de la gestion des risques à la documentation technique. Une banque achetant un système de scoring est déployeur: elle suit les instructions, confie le contrôle humain à du personnel formé et évalue l'impact sur les droits fondamentaux avant utilisation. La réponse du centre de connaissances sur le règlement IA liste les articles et le calendrier, dont le report du scoring à haut risque fixé par le Digital Omnibus on AI.

En Allemagne, BaFin supervise l'IA utilisée par les banques, assureurs et autres entreprises surveillées en lien direct avec leurs activités financières réglementées. La loi allemande d'application du règlement européen sur l'IA lui a donné ces compétences. BaFin cite les chatbots clients, l'évaluation bancaire de solvabilité et des risques d'assurance vie et santé, et peut imposer des amendes. L'IA hors activités réglementées, comme le logiciel RH d'une banque, relève de l'agence fédérale des réseaux (Bundesnetzagentur). Le président BaFin Mark Branson exprimait l'objectif ainsi: "People have to be able to trust that their fundamental rights will be protected when AI is used."

Les autorités européennes ajoutent leur propre niveau à cette supervision. L'ESMA a indiqué aux entreprises d'investissement, dans une déclaration sur l'IA dans leurs services, que MiFID II s'applique pleinement à l'IA, notamment l'obligation d'agir dans l'intérêt du client, citant les biais algorithmiques, mauvaises données et dépendance excessive comme risques. L'EIOPA, autorité des assurances à Francfort, a publié un avis sur la gouvernance et la gestion des risques de l'IA. L'avis couvre l'IA des assureurs en tarification, souscription, sinistres et détection de fraude hors catégories interdites et à haut risque, et demande gouvernance des données, tenue de registres, équité, cybersécurité, explicabilité et contrôle humain.

La première tâche est l'inventaire, où les équipes listent chaque système IA utilisé, son créateur et sa catégorie, interdiction, haut risque, transparence seule ou minimal. L'usage prévu détermine la catégorie: repérer des paiements par carte inhabituels relève de la fraude, décider qui obtient un découvert relève du scoring crédit. Les chatbots doivent clairement informer le client qu'il parle à une IA.

La deuxième tâche est la gouvernance, la gestion bancaire du risque de modèle validant déjà les scores pour les fonds propres; le règlement IA ajoute documentation, journaux, contrôle humain et vérifications des biais. Les juristes examinent l'article 99: les amendes atteignent EUR 35 millions ou 7 % du chiffre d'affaires mondial pour les pratiques interdites et EUR 15 millions ou 3 % pour la plupart des autres manquements, avec le montant inférieur pour PME et startups. L'IA touche aussi DORA: un scoring acheté est un contrat de service TIC et doit figurer au registre d'informations DORA.

Commencez par les deux usages à haut risque, scoring crédit et tarification d'assurance, et la distinction fournisseur-déployeur. Lisez ensuite les règles sectorielles antérieures au règlement IA: MiFID II pour le conseil et le trading, les règles d'assurance derrière l'avis EIOPA et les règles bancaires sur le risque de modèle. Les fintechs vendant de l'IA aux banques doivent s'attendre à fournir instructions et résultats de tests, sur lesquels reposent les obligations de déployeur de la banque.

Finance Loop réunit validateurs de modèles, responsables conformité, data scientists et responsables produits déployant l'IA dans les banques et assureurs selon les nouvelles règles. Finance Loop relie les milieux de la finance, de l'informatique et de l'IA à Francfort, Munich, Berlin et Hambourg et travaille avec des partenaires à Paris.

Finance Loop a présenté fAInance, une conférence de Sopra Steria et Fraunhofer IAIS près de l'aéroport de Francfort, réservée aux salariés d'établissements financiers. Le programme fAInance proposait des stations sur la gouvernance IA, le risque et la conformité, un auditeur IA et l'IA contre la criminalité financière. Finance Loop coopère avec Frankfurt Data Science sur la gouvernance et l'IA responsable dans les établissements financiers. À l'événement annexe AI Week Frankfurt, présenté par Finance Loop, les interventions abordaient l'IA de confiance, les tests d'IA et l'IA enquêtrice contre la criminalité financière. Finance Loop a aussi annoncé KI Exchange 2026 à Hambourg, avec gouvernance IA et conformité DORA, et était partenaire d'AI in Finance Paris avec Finteda. Pages connexes: DORA en Allemagne, cybersécurité financière en Allemagne et gestion des risques à Francfort.

Pour la plupart des IA bancaires, l'impact est faible: compétences IA du personnel et chatbots signalant leur nature. L'impact important concerne le scoring crédit des consommateurs, classé à haut risque. Une banque utilisant ce système doit suivre les instructions, assurer un contrôle humain formé, surveiller le système et évaluer son impact sur les droits fondamentaux avant utilisation. Celle qui développe son modèle assume aussi les obligations du fournisseur.

Oui, lorsqu'il concerne des personnes physiques, l'annexe III classant à haut risque l'IA évaluant leur solvabilité ou établissant leur score de crédit. La détection de fraude est exclue de cette catégorie, qui ne couvre pas la notation des entreprises.

Oui pour les entreprises financières surveillées, puisque la loi allemande d'application confie à BaFin les systèmes utilisés en lien direct avec leurs activités réglementées, comme l'évaluation du crédit et du risque d'assurance. Les autres IA de la même entreprise, par exemple RH, sont supervisées par la Bundesnetzagentur. Celle-ci porte aussi le pilier sûreté de l'AI Safety Institute Germany, qui évalue les modèles avancés sans pouvoir de supervision.

L'article 99 fixe trois niveaux: jusqu'à EUR 35 millions ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, EUR 15 millions ou 3 % pour la plupart des autres manquements, et EUR 7,5 millions ou 1 % pour des informations fausses ou incomplètes aux autorités. Le montant supérieur s'applique aux grandes entreprises, l'inférieur aux PME et startups (article 99).