Règlement IA fintech : guide de conformité

Le règlement n’a pas de catégorie fintech. Ce site emploie ce mot pour l’IA qui relève du règlement par les usages ci-dessous.

• Scoring de crédit : annexe III, point 5 b)

  Les systèmes d’IA destinés à être utilisés pour évaluer la solvabilité des personnes physiques ou pour établir leur note de crédit sont à haut risque. Les systèmes d’IA utilisés à des fins de détection de fraudes financières font exception. Le point 5 b) ne vise que les personnes physiques, pas les entreprises.

• Assurance-vie et assurance maladie : annexe III, point 5 c)

  Les systèmes d’IA destinés à être utilisés pour l’évaluation des risques et la tarification en ce qui concerne les personnes physiques en matière d’assurance-vie et d’assurance maladie sont à haut risque. Le point 5 c) ne vise que l’assurance-vie et l’assurance maladie.

• La détection de fraudes est exclue du point 5 b)

  L’exclusion vise les systèmes d’IA utilisés à des fins de détection de fraudes financières. Un système de détection de fraudes n’est à haut risque que si un autre point de l’annexe III ou l’annexe I le couvre.

• Les autres usages fintech ne sont pas nommés au point 5

  Le point 5 ne nomme pas les contrôles de lutte contre le blanchiment de capitaux ou de connaissance du client. Il ne nomme pas non plus la négociation algorithmique, le conseil automatisé, l’assurance non-vie, la gestion des sinistres ni les décisions de crédit concernant des personnes morales. Vérifiez chacun au regard des autres points de l’annexe III et de l’annexe I avant de le considérer comme hors des règles applicables aux systèmes à haut risque.

• L’article 6, paragraphe 3, peut sortir un système de l’annexe III

  Un système relevant du point 5 b) ou 5 c) est à haut risque au titre de l’article 6, paragraphe 2. Au titre de l’article 6, paragraphe 3, il n’est pas à haut risque s’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux. Cela inclut de ne pas avoir d’incidence significative sur le résultat de la prise de décision. Le règlement applique cette exception lorsqu’une des conditions suivantes est remplie (article 6, paragraphe 3, points a) à d)). Le système est destiné à accomplir une tâche procédurale étroite. Ou il est destiné à améliorer le résultat d’une activité humaine préalablement réalisée. Ou il est destiné à détecter les constantes en matière de prise de décision ou les écarts par rapport aux constantes habituelles antérieures et n’est pas destiné à se substituer à l’évaluation humaine préalablement réalisée, ni à influencer celle-ci, sans examen humain approprié. Ou il est destiné à exécuter une tâche préparatoire en vue d’une évaluation pertinente aux fins des cas d’utilisation visés à l’annexe III. Savoir comment ces conditions se combinent avec le critère du risque important relève d’un juriste. Le système est toujours à haut risque lorsqu’il effectue un profilage de personnes physiques. Le profilage est défini à l’article 4, point 4), du RGPD (article 3, point 52)). Savoir si un système de scoring ou de tarification donné en effectue un relève aussi d’un juriste. Le fournisseur qui invoque l’exception documente son évaluation avant la mise sur le marché ou la mise en service du système. Il doit aussi enregistrer le système (article 6, paragraphe 4, article 49, paragraphe 2).

• Autres règles du règlement qui peuvent atteindre l’IA fintech

  L’article 5, paragraphe 1, point b), interdit les systèmes d’IA qui exploitent les vulnérabilités d’une personne physique dues à l’âge, au handicap ou à la situation sociale ou économique spécifique. L’objectif ou l’effet doit être d’altérer substantiellement le comportement d’une manière qui cause ou est raisonnablement susceptible de causer un préjudice important. Le point c) interdit les systèmes d’IA qui évaluent ou classent des personnes physiques au cours d’une période donnée en fonction de leur comportement social ou de caractéristiques personnelles. Cela vaut lorsque la note sociale conduit au traitement préjudiciable décrit à ce point. Ces interdictions s’appliquent à partir du 2 février 2025 (article 113, troisième alinéa, point a)). Les fournisseurs de systèmes d’IA destinés à interagir directement avec des personnes physiques, comme un chatbot, doivent les concevoir de manière que ces personnes soient informées qu’elles interagissent avec un système d’IA, sauf si cela est évident (article 50, paragraphe 1). Cela s’applique à partir du 2 août 2026.

Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque (article 3, point 3)). La mise en service inclut la fourniture pour usage propre du fournisseur (article 3, point 11)). Une banque ou un assureur qui développe un système et le met en service sous son propre nom est donc un fournisseur. Une banque ou un assureur qui utilise un système sous son autorité est un déployeur (article 3, point 4)). Un déployeur devient fournisseur dans trois cas. Il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché, sans préjudice des dispositions contractuelles prévoyant une autre répartition des obligations. Il y apporte une modification substantielle qui le laisse à haut risque. Ou il modifie la finalité prévue d’un système qui n’était pas à haut risque, de sorte qu’il le devienne (article 25, paragraphe 1). Le fournisseur qui a initialement mis le système sur le marché ou en service n’est alors plus considéré comme le fournisseur de ce système spécifique, et coopère étroitement avec le nouveau fournisseur (article 25, paragraphe 2). Cela ne s’applique pas lorsque le fournisseur initial a clairement précisé que son système ne doit pas être transformé en système d’IA à haut risque.

Les fournisseurs doivent veiller à ce que leurs systèmes à haut risque respectent les exigences de la section 2 du chapitre III, articles 8 à 15 (article 16, point a)). Ils doivent aussi respecter les autres obligations du fournisseur de l’article 16.

• art. 9
  Système de gestion des risques

  Un processus itératif continu sur tout le cycle de vie, avec des tests selon des indicateurs et des seuils probabilistes préalablement définis, adaptés à la finalité prévue.

• art. 10
  Données et gouvernance des données

  Des jeux de données d’entraînement, de validation et de test qui satisfont aux critères de qualité de l’article 10, y compris un examen permettant de repérer d’éventuels biais.

• art. 12
  Journalisation dès la conception

  Le système doit permettre, techniquement, l’enregistrement automatique des événements (journaux) tout au long de sa durée de vie.

• art. 13
  Notice d’utilisation

  Des informations qui permettent aux déployeurs d’interpréter les sorties et de les utiliser de manière appropriée, y compris le niveau d’exactitude déclaré et ses indicateurs.

• art. 14
  Contrôle humain dès la conception

  Des mesures qui permettent à des personnes physiques d’exercer un contrôle effectif sur le système pendant son utilisation.

• art. 15
  Exactitude, robustesse et cybersécurité

  Un niveau approprié, atteint de façon constante tout au long du cycle de vie. Les niveaux d’exactitude et les indicateurs d’exactitude pertinents sont indiqués dans la notice d’utilisation.

• art. 17
  Système de gestion de la qualité

  Des politiques, procédures et instructions écrites couvrant les aspects énumérés à l’article 17, paragraphe 1, mises en œuvre de manière proportionnée à la taille de l’organisation du fournisseur (article 17, paragraphe 2).

• art. 43(2)
  Évaluation de la conformité

  Pour les systèmes des points 2 à 8 de l’annexe III, dont le point 5, le fournisseur suit la procédure d’évaluation de la conformité fondée sur le contrôle interne (annexe VI). Cette procédure ne prévoit pas d’organisme notifié.

• art. 16
  Déclaration UE, marquage CE et enregistrement

  Le fournisseur établit une déclaration UE de conformité et appose le marquage CE. Il s’enregistre aussi, avec le système, dans la base de données de l’UE avant de mettre le système sur le marché ou en service (article 16, points g) à i) ; article 49, paragraphe 1).

• art. 72, 73
  Surveillance après commercialisation et incidents graves

  Le fournisseur établit et documente un système de surveillance après commercialisation (article 72, paragraphe 1) et signale les incidents graves aux autorités de surveillance du marché (article 73).

• art. 26(1), (2)
  Utiliser selon la notice, confier le contrôle

  Les déployeurs prennent des mesures techniques et organisationnelles appropriées pour utiliser le système conformément à la notice d’utilisation. Ils confient le contrôle humain à des personnes physiques qui disposent des compétences, de la formation et de l’autorité nécessaires.

• art. 26(4)–(6)
  Données d’entrée, surveillance et journaux

  Pour autant qu’ils exercent un contrôle sur les données d’entrée, les déployeurs veillent à ce qu’elles soient pertinentes et suffisamment représentatives. Ils surveillent le fonctionnement du système sur la base de la notice d’utilisation. Ils conservent les journaux sous leur contrôle pendant au moins six mois, sauf disposition contraire du droit de l’Union ou du droit national applicable.

• art. 26(11)
  Informer les personnes concernées

  Les déployeurs de systèmes à haut risque de l’annexe III qui prennent ou aident à prendre des décisions concernant des personnes physiques les informent qu’elles sont soumises à l’utilisation du système, sans préjudice de l’article 50 (article 26, paragraphe 11).

• art. 27
  Analyse de l’impact sur les droits fondamentaux

  Avant de déployer un système relevant du point 5 b) ou 5 c), les déployeurs, qu’ils soient publics ou privés, effectuent une analyse de l’impact sur les droits fondamentaux (article 27, paragraphe 1). L’analyse comprend : une description des processus du déployeur dans lesquels le système sera utilisé conformément à sa finalité prévue ; la période pendant laquelle et la fréquence à laquelle le système est destiné à être utilisé ; les catégories de personnes physiques et les groupes susceptibles d’être concernés ; les risques spécifiques de préjudice pour eux, compte tenu des informations fournies par le fournisseur conformément à l’article 13 ; une description de la mise en œuvre des mesures de contrôle humain ; et les mesures à prendre en cas de matérialisation de ces risques, y compris les dispositifs relatifs à la gouvernance interne et aux mécanismes de plainte internes. Les déployeurs notifient les résultats à l’autorité de surveillance du marché (article 27, paragraphe 3). Les obligations déjà remplies au moyen d’une analyse d’impact relative à la protection des données peuvent faire l’objet d’un renvoi (article 27, paragraphe 4).

• art. 86
  Explication à la personne concernée

  Une personne a droit à une explication lorsqu’un déployeur prend une décision sur la base des sorties d’un système à haut risque visé à l’annexe III, à l’exception du point 2. La décision doit produire des effets juridiques ou affecter significativement la personne de façon similaire, d’une manière qu’elle considère comme ayant des conséquences négatives sur sa santé, sa sécurité ou ses droits fondamentaux. La personne peut alors obtenir du déployeur des explications claires et pertinentes sur le rôle du système d’IA dans la procédure décisionnelle et sur les principaux éléments de la décision prise (article 86, paragraphe 1). Le droit ne s’applique pas lorsque des exceptions ou des restrictions découlent du droit de l’Union ou du droit national, dans le respect du droit de l’Union (article 86, paragraphe 2). Cela ne vaut que dans la mesure où ce droit n’est pas prévu par ailleurs dans le droit de l’Union (article 86, paragraphe 3).

Le règlement permet aux établissements financiers d’intégrer certaines obligations dans les règles qu’ils suivent déjà. Ces règles valent pour les établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l’Union sur les services financiers. Le règlement ne nomme aucune législation précise sur les services financiers ; savoir quelles règles comptent relève d’un juriste.

• art. 17(4)
  Système de gestion de la qualité

  Pour les fournisseurs qui sont de tels établissements financiers, le respect des règles de gouvernance interne vaut respect de l’obligation de mettre en place un système de gestion de la qualité. Font exception le système de gestion des risques, la surveillance après commercialisation et le signalement d’incidents graves (article 17, paragraphe 4).

• art. 18(3)
  Documentation technique

  Les fournisseurs qui sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l’Union sur les services financiers tiennent à jour la documentation technique dans le cadre de la documentation conservée en vertu de cette législation (article 18, paragraphe 3).

• art. 19(2), 26(6)
  Journaux

  Les fournisseurs et les déployeurs qui sont de tels établissements financiers tiennent à jour les journaux générés automatiquement dans le cadre de la documentation conservée en vertu de la législation pertinente de l’Union sur les services financiers (article 19, paragraphe 2, et article 26, paragraphe 6, deuxième alinéa).

• art. 26(5)
  Surveillance par le déployeur

  Pour les déployeurs qui sont de tels établissements financiers, l’obligation de surveillance prévue au premier alinéa de l’article 26, paragraphe 5, est réputée remplie. La condition est le respect des règles relatives à la gouvernance, aux dispositifs, aux processus et aux mécanismes internes prévues par la législation pertinente sur les services financiers (article 26, paragraphe 5, deuxième alinéa).

• art. 72(4)
  Surveillance après commercialisation

  Les fournisseurs peuvent intégrer les éléments du système et du plan de surveillance après commercialisation dans des systèmes et plans déjà existants, pour autant que cela donne lieu à un niveau de protection équivalent. L’article 72, paragraphe 4, deuxième alinéa, étend ce choix aux systèmes de l’annexe III, point 5, de tels établissements financiers.

• art. 74(6)
  Autorité de surveillance

  Pour les systèmes à haut risque mis sur le marché, mis en service ou utilisés par des établissements financiers régis par la législation de l’Union sur les services financiers, l’autorité de surveillance du marché est l’autorité nationale responsable de la surveillance financière de ces établissements en vertu de cette législation. Cela vaut dans la mesure où la mise sur le marché, la mise en service ou l’utilisation est directement liée à la fourniture de ces services financiers (article 74, paragraphe 6).

• Dates

  Les exigences pour ces usages de l’annexe III s’appliquent à partir du 2 décembre 2027 (article 113, troisième alinéa, point c) i)). Un système mis sur le marché ou mis en service avant cette date n’est couvert que si sa conception subit ensuite d’importantes modifications. En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111, paragraphe 2).

• Amendes

  Les fournisseurs doivent veiller à ce que leurs systèmes à haut risque respectent les exigences de la section 2 du chapitre III, qui comprend les articles 9 à 15 (article 16, point a)). Un manquement aux obligations du fournisseur de l’article 16 ou à celles du déployeur de l’article 26 peut être sanctionné d’une amende. Elle peut atteindre 15 millions d’EUR ou, pour une entreprise, 3 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 4, points a) et e)). Pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au plus faible des deux montants (article 99, paragraphe 6). Le même plafond vaut pour les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement ; article 3, point 14 ter), article 99, paragraphe 6 bis). Chaque État membre établit les règles déterminant dans quelle mesure des amendes administratives peuvent être imposées aux autorités et organismes publics établis sur son territoire (article 99, paragraphe 8).

• Portée et limites du règlement

  Le règlement s’applique aux fournisseurs et aux déployeurs qui ont leur lieu d’établissement ou sont situés dans un pays tiers, lorsque les sorties produites par le système d’IA sont utilisées dans l’Union (article 2, paragraphe 1, point c)). Il ne s’applique pas aux domaines qui ne relèvent pas du champ d’application du droit de l’Union et ne porte pas atteinte aux compétences des États membres en matière de sécurité nationale (article 2, paragraphe 3). Le règlement ne s’applique pas aux systèmes ou modèles d’IA, y compris leurs sorties, spécifiquement développés et mis en service uniquement à des fins de recherche et développement scientifiques (article 2, paragraphe 6). Il ne s’applique pas aux activités de recherche, d’essai et de développement avant la mise sur le marché ou la mise en service d’un système. Les essais en conditions réelles ne sont pas couverts par cette exclusion (article 2, paragraphe 8). Les systèmes d’IA publiés dans le cadre de licences libres et ouvertes sont hors du champ du règlement. Cette exclusion ne joue pas s’ils sont mis sur le marché ou mis en service en tant que systèmes d’IA à haut risque, ou s’ils relèvent de l’article 5 ou de l’article 50 (article 2, paragraphe 12).

• Pas d’indicateurs, de seuils ni de normes propres à la fintech

  Le règlement ne nomme aucune valeur d’exactitude, limite de taux d’erreur, indicateur d’équité ni norme technique pour le scoring de crédit ou la tarification d’assurance. Les fournisseurs fixent les indicateurs des tests (article 9, paragraphe 8) et déclarent les niveaux d’exactitude et les indicateurs dans la notice d’utilisation (article 15, paragraphe 3). Le règlement lui-même ne nomme aucune norme harmonisée. Les systèmes à haut risque conformes à des normes harmonisées dont les références sont publiées au Journal officiel sont présumés conformes aux exigences de la section 2, dans la mesure où ces normes les couvrent (article 40, paragraphe 1). Les systèmes entraînés et testés avec des données tenant compte du cadre géographique, comportemental, contextuel ou fonctionnel spécifique d’utilisation sont présumés conformes à l’article 10, paragraphe 4 (article 42, paragraphe 1). La Commission élabore des lignes directrices sur l’application pratique des exigences et obligations des articles 8 à 15, 25 et 26 (article 96, paragraphe 1, point a)).

• D’autres règles de droit s’appliquent en parallèle du règlement

  Le droit de l’Union et le droit national, comme le RGPD et la législation sur les services financiers, continuent de s’appliquer. Cette page ne les décrit pas, et le règlement ne nomme aucune législation précise sur les services financiers.

• Exemple : un inventaire unique des systèmes d’IA

  Exemple, sans valeur d’exigence du règlement : un prêteur ou un assureur pourrait tenir un inventaire unique de ses systèmes d’IA. Il pourrait y indiquer, pour chaque système, le classement au titre de l’annexe III, l’évaluation au titre de l’article 6, paragraphe 3, lorsqu’il l’invoque, et si l’entreprise est fournisseur ou déployeur.

Chaque page applique un article à l’IA de scoring de crédit et d’assurance.

• Article 9 pour l’IA fintech : système de gestion des risques

  Système de gestion des risques pour l’IA de scoring de crédit et d’assurance.

• Article 10 pour l’IA fintech : données et gouvernance des données

  Jeux de données, examen des biais et catégories particulières de données à caractère personnel.

• Article 12 pour l’IA fintech : enregistrement et journaux

  Journalisation automatique et qui conserve les journaux.

• Article 13 pour l’IA fintech : transparence et notice d’utilisation

  Notice d’utilisation et explication due aux personnes concernées.

• Article 14 pour l’IA fintech : contrôle humain

  Contrôle humain et ce que le règlement n’exige pas.

• Article 15 pour l’IA fintech : exactitude, robustesse et cybersécurité

  Exactitude, robustesse et cybersécurité.

• Article 17 pour l’IA fintech : système de gestion de la qualité

  Système de gestion de la qualité et règle des établissements financiers.

• Article 26 dans la fintech : obligations des déployeurs

  Obligations des banques et des assureurs en tant que déployeurs.

• Article 50 pour l’IA fintech : transparence et divulgation

  Obligations de transparence pour les chatbots et les contenus générés.

• Article 53 dans la fintech : obligations des fournisseurs de modèles d’IA à usage général

  Fournisseurs de modèles d’IA à usage général.

• Annexe III en détail : les 8 catégories à haut risque

  Le point 5 de l’annexe III dans le contexte des huit catégories.

• Article 6 : classification des systèmes IA à haut risque

  Comment l’article 6 classe les systèmes d’IA à haut risque, y compris l’exception de l’article 6, paragraphe 3.

• Article 27 : analyse d’impact sur les droits fondamentaux (FRIA)

  L’analyse d’impact que l’article 27, paragraphe 1, exige des déployeurs visés au point 5 b) et 5 c).