Répercussions du EU AI Act sur le Secteur Fintech

L’Union européenne a mis en œuvre la première réglementation au monde établissant un cadre juridique complet face à la prolifération rapide des technologies d’intelligence artificielle. Le Règlement européen sur l’intelligence artificielle (« AI Act »), publié le 13 juin 2024 et entré en vigueur le 1er août 2024, adopte une approche fondée sur les risques et impose des obligations contraignantes à l’ensemble des acteurs développant, commercialisant et utilisant des systèmes d’intelligence artificielle.

Le secteur des services financiers constitue l’un des domaines où l’intelligence artificielle est le plus intensément utilisée. L’utilisation de l’IA dans les mécanismes de notation de crédit, d’évaluation des risques d’assurance, de lutte contre le blanchiment de capitaux, de détection de la fraude et de prise de décision automatisée connaît une croissance rapide. L’AI Act classe une part significative de ces applications comme « à haut risque », et il est prévu que les exigences fondamentales relatives aux systèmes d’IA à haut risque entrent pleinement en vigueur le 2 août 2026. La présente note d’information traite des obligations fondamentales de l’AI Act à l’égard du secteur FinTech, tant sur le plan juridique que dans le contexte des conditions de marché.

Classification des Risques et Services Financiers

L’AI Act classe les systèmes d’intelligence artificielle selon une hiérarchie de risques à quatre niveaux : risque inacceptable (applications interdites), risque élevé, risque limité et risque minimal. Cette classification est déterminée dans le cadre de l’article 6 de l’AI Act et des dispositions de l’Annexe III.

La section 5 de l’Annexe III, intitulée « Accès aux services privés et publics essentiels », définit deux domaines d’application directement pertinents pour le secteur des services financiers comme étant à haut risque. Le premier concerne les systèmes d’IA utilisés pour évaluer la solvabilité des personnes physiques ou établir un score de crédit ; toutefois, les systèmes destinés à la détection de la fraude financière sont exclus de ce champ d’application. Le second concerne les systèmes d’IA utilisés pour l’évaluation des risques et la tarification à l’égard des personnes physiques dans le cadre de l’assurance vie et santé. Il convient de souligner que les systèmes d’IA procédant au profilage de personnes physiques sont en toute circonstance considérés comme à haut risque et ne peuvent bénéficier de l’exemption prévue à l’article 6/3.

Obligations Fondamentales Relatives aux Systèmes d’IA à Haut Risque

L’AI Act impose des obligations étendues aux fournisseurs développant des systèmes d’IA à haut risque ainsi qu’aux déployeurs les utilisant.

Avant tout, il est nécessaire d’établir et d’exploiter un système de gestion des risques continu tout au long du cycle de vie du système d’IA à haut risque. L’obligation pour une entreprise FinTech effectuant de la notation de crédit d’évaluer régulièrement les risques liés à l’équité algorithmique, à la qualité des données et à la performance du modèle constitue une manifestation concrète de cette obligation.

En matière de gouvernance des données, les jeux de données d’entraînement, de validation et de test doivent être conformes à la finalité concernée, suffisamment représentatifs et aussi exempts d’erreurs que possible. L’AI Act prévoit l’examen des biais potentiels et l’élaboration d’une stratégie documentée d’atténuation. Le traitement limité de données personnelles sensibles est également autorisé lorsqu’il est nécessaire à l’élimination des biais. Cette disposition constitue un domaine critique qui intersecte avec le Règlement général sur la protection des données (« RGPD »).

Les fournisseurs sont en outre tenus de préparer un dossier de documentation technique complet tel que spécifié à l’Annexe IV. Les détails relatifs à l’architecture du système, aux caractéristiques des données d’entraînement, à la méthodologie de développement du modèle, à l’évaluation des biais et aux mécanismes de surveillance humaine doivent figurer dans ce dossier. Il est également obligatoire que les systèmes d’IA à haut risque soient conçus de manière à enregistrer automatiquement les événements.

En matière de transparence et de surveillance humaine, il doit être possible, notamment dans le cadre des décisions de crédit et d’assurance, que les résultats de l’IA soient contrôlés par un être humain et, si nécessaire, invalidés. Au-delà de cela, les organismes déployant des systèmes d’IA à haut risque effectuant de la notation de crédit et de l’évaluation des risques d’assurance sont tenus de réaliser une Évaluation de l’Impact sur les Droits Fondamentaux (« FRIA ») avant la première utilisation du système. Bien que les systèmes à haut risque dans les services financiers puissent généralement faire l’objet d’une évaluation de conformité basée sur le contrôle interne, les résultats sont soumis au contrôle des autorités de surveillance du marché et l’enregistrement dans la base de données de l’Union européenne (« UE ») est obligatoire.

Calendrier de Mise en Œuvre et Sanctions

L’AI Act prévoit un calendrier d’entrée en vigueur progressif. Depuis le 2 février 2025, les restrictions relatives aux applications d’IA interdites et les obligations en matière de culture numérique de l’IA sont en vigueur. Le 2 août 2025, les dispositions de gouvernance et les obligations relatives aux modèles d’IA à usage général ont pris effet. Le 2 août 2026, date la plus critique pour le secteur FinTech, l’ensemble des obligations relatives aux systèmes d’IA à haut risque relevant de l’Annexe III – y compris la notation de crédit et l’assurance – entreront pleinement en vigueur. La proposition Digital Omnibus présentée par la Commission européenne le 19 novembre 2025 contient des dispositions susceptibles d’affecter ces dates ; il est toutefois recommandé aux établissements de se préparer selon le calendrier actuel.

L’AI Act prévoit des sanctions progressives et dissuasives selon le type d’infraction. En cas de violation des applications d’IA interdites, une amende administrative pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel global peut être appliquée ; en cas de non-conformité aux obligations relatives à l’IA à haut risque, jusqu’à 15 millions d’euros ou 3 % ; en cas de fourniture d’informations fausses ou incomplètes aux autorités compétentes, jusqu’à 7,5 millions d’euros ou 1 %. Les sanctions peuvent être réduites pour les PME et les start-ups en vertu du principe de proportionnalité. Lorsque le même fait constitue également une infraction au titre du RGPD ou du Règlement sur la résilience opérationnelle numérique (« DORA ») conjointement avec l’AI Act, seule la sanction la plus élevée sera appliquée en vertu du principe d’interdiction de la double sanction.

Conditions de Marché et Évaluation Sectorielle

L’année 2026 constitue un tournant critique dans l’écosystème réglementaire numérique de l’UE. Outre l’AI Act, des réglementations telles que DORA et le RGPD créent des exigences de conformité simultanées. Cette densité réglementaire représente à la fois un défi et une opportunité pour les entreprises FinTech. Les organismes se conformant de manière précoce pourront obtenir un avantage concurrentiel significatif en matière d’accès au marché européen. Les exigences de transparence, d’auditabilité et de surveillance humaine prévues par l’AI Act doivent être considérées non seulement comme un coût de conformité, mais comme un investissement stratégique renforçant la confiance des consommateurs.

L’effet extraterritorial du Règlement doit également être souligné. Indépendamment du pays d’établissement, les systèmes d’IA fournissant des services au sein des frontières de l’UE ou affectant les citoyens de l’UE sont soumis à cette réglementation. Ce point revêt une importance directe pour les entreprises FinTech offrant des services depuis la Turquie vers le marché de l’UE. Par ailleurs, les travaux réglementaires s’inspirant de l’AI Act s’accélèrent au Brésil, au Canada et dans de nombreux États américains. De manière similaire au RGPD qui a défini les normes mondiales en matière de protection des données, l’AI Act devrait devenir un cadre de référence mondial dans le domaine de l’intelligence artificielle.

Conclusion et Recommandations

Le Règlement européen sur l’intelligence artificielle est une réglementation déterminante à l’échelle mondiale, transformant la gouvernance de l’IA d’une orientation volontaire en une obligation juridique contraignante. Le secteur FinTech, en particulier la notation de crédit et l’évaluation des risques d’assurance, sera confronté à des obligations de conformité étendues à partir d’août 2026.

Dans ce cadre, il est recommandé aux entreprises FinTech d’inventorier l’ensemble de leurs systèmes d’IA existants et prévus et de les classer selon les catégories de risque, de préparer une évaluation complète des risques et une documentation technique pour chaque système à haut risque, de traiter les obligations de l’AI Act, du RGPD et de DORA dans le cadre d’un dispositif de conformité intégré, et de mettre en place des mécanismes de surveillance continue. Il est de la plus haute importance de considérer les exigences réglementaires non pas comme un simple poste de coût, mais comme un avantage stratégique pour construire une infrastructure d’IA fiable et auditable.