Article 26 dans la fintech : obligations des déployeurs

L’article 26 fixe ces obligations aux déployeurs de systèmes d’IA à haut risque.

• art. 26(1)
  Utiliser selon la notice d’utilisation

  Prendre des mesures techniques et organisationnelles appropriées pour utiliser le système conformément à la notice d’utilisation.

• art. 26(2)
  Confier le contrôle humain

  Confier le contrôle humain à des personnes physiques disposant des compétences, de la formation et de l’autorité nécessaires ainsi que du soutien nécessaire.

• art. 26(4)
  Vérifier les données d’entrée

  Dans la mesure où le déployeur exerce un contrôle sur les données d’entrée, veiller à ce qu’elles soient pertinentes et suffisamment représentatives au regard de la finalité prévue.

• art. 26(5)
  Surveiller, informer, suspendre

  Surveiller le fonctionnement sur la base de la notice d’utilisation et, le cas échéant, informer les fournisseurs. Si l’utilisation conforme aux instructions peut présenter un risque au sens de l’article 79, paragraphe 1, informer sans retard indu le fournisseur ou le distributeur et l’autorité de surveillance du marché, et suspendre l’utilisation. Après un incident grave, informer immédiatement d’abord le fournisseur, puis l’importateur ou le distributeur et les autorités de surveillance du marché. Si le fournisseur est injoignable, l’article 73 s’applique mutatis mutandis.

• art. 26(6)
  Conserver les journaux

  Conserver les journaux générés automatiquement par le système, dans la mesure où ils sont sous le contrôle du déployeur, pendant une période adaptée à la finalité prévue et d’au moins six mois, sauf disposition contraire du droit de l’Union ou du droit national, en particulier sur la protection des données à caractère personnel.

• art. 26(7)
  Informer les travailleurs

  Les employeurs doivent informer les représentants des travailleurs et les travailleurs concernés, avant de mettre en service ou d’utiliser un système à haut risque sur le lieu de travail, qu’ils feront l’objet de son utilisation. Cette information est fournie, le cas échéant, conformément aux règles et procédures du droit et de la pratique de l’Union et nationaux relatives à l’information des travailleurs et de leurs représentants.

• art. 26(8)
  Les autorités publiques s’enregistrent

  Les déployeurs qui sont des autorités publiques, ou des institutions, organes ou organismes de l’Union, doivent respecter les obligations d’enregistrement de l’article 49, qui concernent les systèmes de l’annexe III. Ils ne doivent pas utiliser un système qui n’est pas enregistré dans la base de données de l’UE.

• art. 26(9)
  Analyse d’impact relative à la protection des données

  Le cas échéant, utiliser les informations fournies au titre de l’article 13 pour l’analyse d’impact relative à la protection des données prévue à l’article 35 du règlement (UE) 2016/679 ou à l’article 27 de la directive (UE) 2016/680.

• art. 26(11)
  Informer les personnes concernées par les décisions

  Pour les systèmes de l’annexe III qui prennent ou aident à prendre des décisions concernant des personnes physiques, informer ces personnes qu’elles font l’objet de l’utilisation du système, sans préjudice de l’article 50.

• art. 26(12)
  Coopérer avec les autorités

  Coopérer avec les autorités compétentes dans toute action qu’elles entreprennent à l’égard du système d’IA à haut risque.

L’article 26 ne vise que les déployeurs de systèmes d’IA à haut risque. Les lignes ci-dessous montrent où l’IA fintech devient à haut risque et quelles règles visent les établissements financiers.

• La « fintech » n’est pas une catégorie du règlement

  Le règlement ne connaît pas de catégorie « fintech ». Ce site emploie ce mot pour l’IA qui relève du règlement par deux points d’accroche de l’annexe III : le point 5 b), solvabilité et note de crédit des personnes physiques, et le point 5 c), évaluation des risques et tarification en assurance-vie et en assurance maladie. Le point 5 b) exclut la détection de fraudes. Le point 5 de l’annexe III ne mentionne ni les contrôles de lutte contre le blanchiment, ni le trading algorithmique, ni le robo-conseil, ni les assurances autres que l’assurance-vie et l’assurance maladie, ni l’évaluation du crédit des personnes morales. Un système peut néanmoins être à haut risque en vertu d’un autre point de l’annexe III.

• Annexe III, points 5 b) et 5 c)

  L’annexe III, point 5 b), couvre les systèmes d’IA destinés à être utilisés pour évaluer la solvabilité des personnes physiques ou pour établir leur note de crédit, à l’exception des systèmes d’IA utilisés à des fins de détection de fraudes financières. Le point 5 c) couvre les systèmes d’IA destinés à être utilisés pour l’évaluation des risques et la tarification en ce qui concerne les personnes physiques en matière d’assurance-vie et d’assurance maladie. En vertu de l’article 6, paragraphe 2, les systèmes d’IA visés à l’annexe III sont considérés comme à haut risque. Un fournisseur qui considère qu’un tel système n’est pas à haut risque au titre de l’article 6, paragraphe 3 doit documenter son évaluation avant la mise sur le marché ou la mise en service du système, et l’enregistrer conformément à l’article 49, paragraphe 2. La dérogation ne s’applique jamais lorsque le système effectue du profilage de personnes physiques. Le profilage est celui défini à l’article 4, point 4), du règlement (UE) 2016/679 (article 3, point 52) ; le règlement ne dit pas si un système de scoring donné effectue du profilage.

• Fournisseur et déployeur

  Le fournisseur développe le système d’IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom (article 3, point 3) ; ce peut être un éditeur de logiciels ou une banque qui développe un système pour son propre usage. Une personne physique ou morale, une autorité publique, une agence ou un autre organisme qui utilise un système sous son autorité, par exemple une banque, un assureur ou un prêteur, est un déployeur (article 3, point 4). Un déployeur devient fournisseur s’il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché, s’il y apporte une modification substantielle qui le laisse à haut risque, ou s’il modifie la finalité prévue d’un système qui n’était pas à haut risque de sorte qu’il le devienne (article 25, paragraphe 1). Les personnes physiques qui utilisent un système dans le cadre d’une activité strictement personnelle à caractère non professionnel ne sont pas liées en tant que déployeurs (article 2, paragraphe 10). Apposer son nom ou sa marque est sans préjudice des arrangements contractuels répartissant autrement les obligations (article 25, paragraphe 1, point a)) ; le fournisseur initial n’est alors plus le fournisseur de ce système et coopère étroitement avec le nouveau fournisseur (article 25, paragraphe 2).

• Dates

  L’annexe III, points 5 b) et 5 c), s’applique à partir du 2 décembre 2027 (article 113, paragraphe 3, point c)). Un système mis sur le marché ou mis en service avant cette date n’est couvert que si sa conception subit ensuite d’importantes modifications ; en tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111, paragraphe 2).

• Amendes

  Les manquements aux obligations des fournisseurs (article 16) et des déployeurs (article 26) peuvent être sanctionnés d’amendes pouvant atteindre 15 millions d’EUR ou, pour une entreprise, 3 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 4). Pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au montant le plus faible (article 99, paragraphe 6). Le même plafond vaut pour les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement ; article 3, point 14 ter, article 99, paragraphe 6 bis). Chaque État membre fixe les règles déterminant dans quelle mesure des amendes administratives peuvent être imposées aux autorités et organismes publics établis dans cet État membre (article 99, paragraphe 8). Les articles 27, 49 et 86 ne figurent pas à l’article 99, paragraphes 3 à 5 ; les États membres fixent les règles relatives aux sanctions applicables aux violations du règlement par les opérateurs (article 99, paragraphe 1).

• Limites du champ d’application du règlement

  Le règlement s’applique aux fournisseurs qui mettent sur le marché ou en service des systèmes d’IA dans l’Union, ou mettent sur le marché des modèles d’IA à usage général dans l’Union, où qu’ils soient établis (article 2, paragraphe 1, point a)), ainsi qu’aux fournisseurs et déployeurs établis dans un pays tiers lorsque les sorties du système d’IA sont utilisées dans l’Union (point c)). Il ne s’applique pas aux domaines qui ne relèvent pas du droit de l’Union et n’affecte pas les compétences des États membres en matière de sécurité nationale ; il ne s’applique pas non plus aux systèmes d’IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale (article 2, paragraphe 3).

• Établissements financiers : surveillance et journaux (article 26, paragraphes 5 et 6)

  Pour les déployeurs qui sont des établissements financiers soumis à des exigences concernant leur gouvernance, leurs dispositifs ou leurs processus internes en vertu de la législation de l’Union sur les services financiers, l’obligation de surveillance est réputée remplie lorsque les règles sur les dispositifs, processus et mécanismes de gouvernance interne prévues par la législation pertinente sur les services financiers sont respectées (article 26, paragraphe 5, deuxième alinéa). Ces déployeurs conservent les journaux dans le cadre de la documentation tenue en vertu de la législation de l’Union sur les services financiers (article 26, paragraphe 6, deuxième alinéa). Le règlement ne nomme pas la législation sur les services financiers concernée.

• Analyse d’impact sur les droits fondamentaux (article 27)

  Article 27, paragraphe 1 : avant de déployer un système d’IA à haut risque visé à l’article 6, paragraphe 2, à l’exception des systèmes destinés à être utilisés dans le domaine énuméré au point 2 de l’annexe III, les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics, ainsi que les déployeurs de systèmes visés à l’annexe III, points 5 b) et 5 c), doivent évaluer l’impact de l’utilisation du système sur les droits fondamentaux. Pour les points 5 b) et 5 c), le texte vise les déployeurs de ces systèmes sans les limiter aux organismes publics. L’obligation s’applique à la première utilisation ; dans des cas similaires, le déployeur peut s’appuyer sur des évaluations antérieures (article 27, paragraphe 2). Le déployeur notifie les résultats à l’autorité de surveillance du marché (article 27, paragraphe 3) et peut renvoyer à une analyse d’impact relative à la protection des données (article 27, paragraphe 4).

• Explication des décisions (article 86) et information (article 26, paragraphe 11)

  Selon l’article 26, paragraphe 11, les déployeurs de systèmes d’IA à haut risque de l’annexe III qui prennent des décisions concernant des personnes physiques, ou aident à en prendre, doivent informer ces personnes qu’elles sont soumises à l’utilisation du système. Séparément, toute personne concernée faisant l’objet d’une décision prise par le déployeur sur la base des résultats d’un système d’IA à haut risque de l’annexe III (hors point 2), qui produit des effets juridiques ou l’affecte de manière significative de façon similaire, d’une manière qu’elle considère comme ayant des conséquences négatives sur sa santé, sa sécurité ou ses droits fondamentaux, a le droit d’obtenir du déployeur des explications claires et pertinentes sur le rôle du système d’IA dans la procédure décisionnelle et sur les principaux éléments de la décision prise (article 86, paragraphe 1). Cela ne s’applique que dans la mesure où ce droit n’est pas prévu autrement par le droit de l’Union (article 86, paragraphe 3). Le paragraphe 1 ne s’applique pas lorsque des exceptions ou restrictions découlent du droit de l’Union ou du droit national dans le respect du droit de l’Union (article 86, paragraphe 2).

• Quelle autorité est compétente

  Pour les systèmes à haut risque mis sur le marché, mis en service ou utilisés par des établissements financiers régis par la législation de l’Union sur les services financiers, l’autorité de surveillance du marché est l’autorité nationale chargée de la surveillance financière de ces établissements en vertu de cette législation, dans la mesure où la mise sur le marché, la mise en service ou l’utilisation du système est directement liée à la fourniture de ces services financiers (article 74, paragraphe 6). Dans des circonstances appropriées et à condition que la coordination soit assurée, un État membre peut désigner une autre autorité compétente (article 74, paragraphe 7).

• Aucun chiffre de personnel ou de formation

  L’article 26 ne fixe ni effectif, ni heures de formation, ni qualification pour les personnes qui supervisent un système de crédit ou d’assurance. Il exige la compétence, la formation, l’autorité et le soutien nécessaires. La Commission élabore des lignes directrices sur l’application des exigences et obligations des articles 8 à 15 et 25 et 26 (article 96, paragraphe 1, point a)).

• Journaux et conservation selon le droit financier

  L’article 26, paragraphe 6, fixe au moins six mois pour les journaux sous le contrôle du déployeur et cède devant un autre droit de l’Union ou national, notamment sur les données personnelles. Le règlement ne nomme aucune durée de conservation issue du droit des services financiers.

• Choix de conception : les rôles de supervision

  Un choix de conception courant, sans valeur d’exigence du règlement : désigner les personnes chargées de la supervision par leur rôle dans les procédures d’octroi de crédit ou de souscription, et consigner leur formation.

• Contrôle humain de chaque décision

  L’article 14, paragraphe 4, et l’article 26, paragraphe 2, portent sur la surveillance humaine du système. Aucun des deux ne dit qu’une personne doit contrôler chaque décision individuelle. La question de savoir si un autre droit, par exemple sur les décisions individuelles automatisées, l’exige n’est pas tranchée par le règlement.

• Article 26 : obligations des déployeurs d’IA à haut risque

  L’article 26 pour tous les secteurs : qui est déployeur, les obligations, l’article 27 et les amendes.

• Règlement IA fintech : guide de conformité

  Le panorama fintech : comment le règlement atteint l’IA de crédit et d’assurance.

• Article 17 pour l’IA fintech : système de gestion de la qualité

  L’IA fintech et l’article 17 : les 13 aspects et la règle pour les établissements financiers.

• Article 27 : analyse d’impact sur les droits fondamentaux (FRIA)

  L’article 27 pour tous les secteurs : qui doit évaluer l’impact sur les droits fondamentaux et ce que couvre l’évaluation.