EU AI Act et Finance : crédit scoring, assurance et IA bancaire — obligations pour les établissements financiers

Le secteur financier est l'un des premiers concernés par l'EU AI Act. Les banques, assureurs et fintechs qui utilisent l'intelligence artificielle pour évaluer la solvabilité de leurs clients, tarifier des contrats ou détecter des fraudes entrent directement dans le périmètre des systèmes haut risque de l'Annexe III. Avec la deadline du 2 août 2026, il reste moins de 90 jours pour se mettre en conformité — et la double supervision ACPR-CNIL rend le sujet particulièrement sensible pour les établissements français.

Quels systèmes IA finance sont classes haut risque ?

L'Annexe III du règlement EU AI Act (UE) 2024/1689 liste explicitement les cas d'usage finances dans la catégorie haut risque. Trois types de systèmes sont directement nommes.

Le crédit scoring et l'évaluation de solvabilité (point 5b)

Tout système d'IA qui évalue la solvabilité d'une personne physique pour l'attribution d'un crédit, prêt ou financement est classe haut risque. Cela couvre les modèles de scoring de crédit des banques de détail, les algorithmes d'octroi de prêt des fintechs, les systèmes d'évaluation du risque pour les crédits immobiliers, les outils de scoring pour le BNPL (Buy Now Pay Later), et les modèles d'analyse de comportement bancaire pour l'évaluation du risque.

Le règlement ne se limite pas au crédit consommation : tout produit financier dont l'attribution repose sur une décision algorithmique influençant les droits économiques d'une personne physique entre dans le périmètre.

La tarification en assurance santé et vie (point 5c)

Les systèmes d'IA utilisés pour l'évaluation du risque et la tarification en assurance vie et santé sont classes haut risque. Cela inclut les algorithmes de scoring de risque medial, les modèles de tarification personnalisée en assurance emprunteur, les systèmes d'underwriting automatise, et les modèles comportementaux utilisés dans les contrats d'assurance usage au kilomètre ou de santé connectée.

La détection de fraude et la surveillance des services essentiels

Les systèmes d'IA utilisés pour détecter des fraudes dans les paiements ou pour surveiller les comportements sur des services financiers essentiels entrent également dans le périmètre. La frontière est nuancée : un système de filtrage de transactions en temps réel qui peut bloquer automatiquement un compte sans intervention humaine est haut risque. Un système qui alerte un analyste humain l'est généralement moins — mais la configuration exacte compte.

La double supervision ACPR-CNIL : un enjeu spécifiquement français

En France, l'application de l'EU AI Act dans le secteur financier implique deux autorités de régulation distinctes dont les périmètres se chevauchent.

La CNIL est l'autorité nationale de référence pour l'EU AI Act au sens de l'article 70 du règlement. Elle est l'interlocuteur principal pour les questions de conformité IA, les déclarations d'incidents, et les contrôles. La CNIL a déjà publie des recommandations spécifiques sur l'IA en 2024 et a intégré la conformité EU AI Act dans ses axes de contrôle prioritaires pour 2026.

L'ACPR (Autorité de Contrôle Prudentiel et de Résolution, sous l'autorité de la Banque de France) est l'autorité sectorielle de supervision bancaire et assurantielle. Elle applique depuis 2020 un cadre de gouvernance des algorithmes IA dans le secteur financier — et ce cadre s'articule désormais avec l'EU AI Act. L'ACPR a publie un guide de gouvernance des algorithmes IA spécifique au secteur financier et attend des établissements qu'ils prouvent la traçabilité et l'explicabilite de leurs modèles.

La conséquence pratique : un établissement financier non conforme peut faire face à des sanctions de la CNIL (jusqu'à 15 millions d'euros ou 3% du CA mondial au titre de l'EU AI Act) ET à des sanctions de l'ACPR (incluant potentiellement une restriction d'activité ou une mise en demeure prudentielle). La double exposition est un risque spécifique au secteur qui justifie une préparation anticipée.

Les 6 obligations clés pour les deployers financiers

Les établissements financiers qui déploient des systèmes IA haut risque (et non qui les développent) ont des obligations distinctes de celles des fournisseurs. En tant que déployer, voici ce que l'EU AI Act vous impose.

1. Gestion des risques continue (Article 9)

Le système de gestion des risques doit être documente, mis à jour et couvrir tout le cycle de vie du modèle : de son entraînement initial jusqu'à son decommissionnement. Cette gestion des risques doit identifier les risques pour la santé, la sécurité et les droits fondamentaux, et les atténuer par des mesures concrètes. La simple déclaration "notre modèle de scoring a été valide par notre équipe risque" ne suffit plus : il faut un processus formalisé, date, et traçable.

2. Gouvernance des données (Article 10)

Les données utilisées pour l'entraînement et la validation du modèle doivent être pertinentes, representives et exemptes de biais excessifs. Pour un modèle de crédit scoring, cela implique de documenter les sources de données, de tester pour les biais discriminatoires (proxies de genre, d'origine, d'age), et de justifier les données exclues. L'ACPR exigé déjà ce niveau de documentation dans son cadre de gouvernance algorithmique — l'EU AI Act rend cette exigence réglementairement contraignante.

3. Transparence et journalisation (Article 13)

Les deployers doivent conserver les logs de fonctionnement de leurs systèmes haut risque pendant au minimum six mois (ou plus selon les exigences sectorielles). Chaque décision influencée par l'IA doit être traçable. Dans le crédit scoring, cela signifie que vous devez être en mesure de retrouver pourquoi un dossier a été refuse à une date donnée, avec quel modèle et quels paramètres.

4. Supervision humaine effective (Article 14)

La supervision humaine n'est pas une formalité : elle doit être réelle et documentée. Un analyste doit être en capacité de comprendre les outputs du modèle, de les remettre en question, et de prendre une décision différente de celle du modèle sans que le système l'en empeche. Dans le crédit scoring, cela signifie qu'un dossier refuse par l'algorithme doit pouvoir être accepte manuellement avec une justification documentée — et que ce mécanisme doit être accessible et utilise en pratique, pas juste prévu théoriquement.

5. Information des personnes concernées (Article 13 et 86)

Les personnes dont la situation financière est évaluée par un système IA haut risque doivent être informées. En pratique pour une banque, cela signifie mentionner l'utilisation de l'IA dans les conditions contractuelles et dans la FICHE DIN ou la notice pre-contractuelle pour les crédits. Pour un assureur, l'obligation de transparence s'étend a l'explication des critères pris en compte dans la tarification algorithmique.

6. Analyse d'Impact sur les Droits Fondamentaux (Article 27 — AIPD)

Avant de déployer (ou de continuer à utiliser) un système IA haut risque en finance, l'établissement doit réaliser une Analyse d'Impact relative à la Protection des Droits fondamentaux. Pour un modele de crédit scoring, cette AIPD doit évaluer le risque de discrimination systématique, l'impact d'un refus automatise sur l'accès aux services financiers, et les mécanismes de recours disponibles pour les personnes concernées. Voir notre guide complet AIPD pour la méthodologie détaillée.

Fintechs : des obligations identiques, des ressources moindres

Le règlement ne distingue pas la taille de l'établissement. Une startup fintech de 15 personnes qui utilise un modèle de scoring IA pour son produit de crédit est soumise aux mêmes obligations qu'une grande banque. La seule différence : une grande banque à une Direction de la Conformité et une équipe risque — la fintech doit souvent trouver les mêmes réponses avec des ressources inférieures.

Pour les fintechs, trois points sont particulièrement critiques. La documentation technique du modèle est souvent inexistante ou informelle — elle doit être formalisée. Les tests de biais sont rarement systematises — ils doivent le devenir. Le processus de supervision humaine est souvent réduit à un tableau de bord sans véritable mécanisme de contestation — il doit être repense.

Assureurs : la tarification algorithmique sous surveillance renforcée

En assurance, les enjeux de la conformité EU AI Act portent sur deux axes principaux.

Le premier est la tarification algorithmique en assurance santé, vie et emprunteur. L'utilisation de données comportementales (tracking santé, conduite au kilomètre, historique de remboursement) pour personnaliser les primes doit être documentée, transparente et sans discrimination prohibée. Un assureur qui utilise un modèle ML pour discriminer les risques doit pouvoir justifier chaque variable incluse dans le modèle et prouver qu'elle ne constitue pas un proxy discriminatoire.

Le second est la gestion des sinistres automatisée. Les systèmes qui évaluent automatiquement la recevabilité d'un sinistre ou estiment son montant d'indemnisation entrent dans le périmètre haut risque si leur output influe directement sur les droits de l'assuré.

Les sanctions : pourquoi l'inaction est plus risquée que la conformité

Les sanctions EU AI Act pour les systèmes haut risque non conformes atteignent 15 millions d'euros ou 3% du chiffre d'affaires mondial, le montant le plus élevé étant retenu. Pour les établissements financiers, ce risque s'ajoute aux sanctions prudentielles de l'ACPR — qui peuvent inclure des restrictions d'activité ou l'obligation de suspendre l'usage d'un système non conforme.

Le calcul est simple : mettre en conformité un modèle de crédit scoring existant coute généralement entre 50 000 et 200 000 euros en ressources internes et externes. Une sanction CNIL peut atteindre 15 millions. Le rapport est de 1 à 75 dans le pire des cas. La conformité est un investissement, pas un coût.

Par ailleurs, les établissements soumis à des appels d'offres publics ou à des due diligences d'investisseurs doivent anticiper que la conformité EU AI Act deviendra une exigence contractuelle — comme l'est devenue la conformité RGPD pour les contrats avec les grands comptes depuis 2018.

Plan d'action 90 jours pour les établissements financiers

Jours 1-15 : Cartographie des systèmes. Inventorier tous les systèmes IA en production ou en pilote. Qualifier chaque système selon l'Annexe III. Identifier les systèmes haut risque prioritaires (crédit scoring, tarification assurance, underwriting).

Jours 16-45 : Documentation et gouvernance. Formaliser la documentation technique de chaque système haut risque. Mettre à jour les notices pre-contractuelles et les CGV pour mentionner l'usage de l'IA. Mettre en place ou renforcer les mécanismes de supervision humaine. Lancer les tests de biais sur les jeux de données d'entraînement.

Jours 46-75 : AIPD et logs. Réaliser les AIPD pour chaque système haut risque déployé. Configurer les systèmes de journalisation pour conserver les logs pendant six mois minimum. Définir les procédures de déclaration d'incident à la CNIL et a l'ACPR.

Jours 76-90 : Validation et déclaration. Valider la conformité avec la Direction de la Conformité et le DPO. Préparer la déclaration de conformité. Former les équipes utilisatrices (analystes crédit, gestionnaires sinistres) aux obligations de supervision humaine.

Questions fréquentes — EU AI Act et Finance

Notre modèle de scoring a été développé en interne il y à 5 ans. Sommes-nous déployer ou fournisseur ?

Si votre établissement a développé et utilise le modèle en interne, vous endossez les deux rôles : fournisseur et déployer. Vous êtes donc soumis aux obligations cumulées des deux statuts, incluant la documentation technique complète (obligation fournisseur) ET les obligations de supervision humaine et de transparence (obligation déployer). C'est le cas le plus exigeant mais aussi le plus fréquent dans les grandes banques qui ont construit leurs propres modèles de scoring.

Nous achetons notre solution de scoring à un éditeur tiers. L'éditeur est-il responsable ?

L'éditeur (fournisseur) est responsable de la documentation technique, de la conformité du modèle et de la fourniture de la documentation nécessaire. Mais vous, en tant que déployer, restez responsable de la supervision humaine, de la transparence envers les clients, des logs, et de l'AIPD. La responsabilité est partagée et contractuelle : vérifiez que votre contrat avec l'éditeur prévoit explicitement la fourniture des documents de conformité EU AI Act, car sans eux vous ne pouvez pas remplir vos obligations.

Notre chatbot de conseil financier est-il classe haut risque ?

Cela dépend de ce que fait le chatbot. S'il donne des conseils généraux et oriente vers un conseiller humain, il n'est généralement pas haut risque. S'il réalise une qualification automatisée du profil de risque d'un investisseur et recommande des produits financiers spécifiques sans intervention humaine dans le processus decisonnel, il peut entrer dans le périmètre haut risque. La clé est de déterminer si l'output du système IA influe directement sur une décision financière consequentielle pour la personne.

Nos modèles de détection de fraude en temps réel sur les paiements sont-ils concernés ?

Les systèmes de détection de fraude qui bloquent automatiquement des transactions sans intervention humaine entrent probablement dans le périmètre haut risque, notamment si le blocage affecte l'accès à des services financiers essentiels. La distinction opérationnelle entre un système qui "alerte un analyste" et un système qui "bloque automatiquement" est cruciale. Une revue de l'architecture de vos systèmes anti-fraude avec votre équipe conformité est recommandée avant de conclure sur le périmètre.

L'accord Digital Omnibus de mai 2026 reporte-t-il les obligations pour le secteur financier ?

Partiellement. L'accord Omnibus du 7 mai 2026 a reporte de 18 mois certaines obligations documentaires pour les PME. Mais les établissements financiers (banques, assureurs) sont généralement des entités de taille significative qui ne bénéficient pas des seuils PME. Et surtout, l'ACPR n'a pas annonce d'ajustement de ses attentes prudentielles — la gouvernance des algorithmes IA reste dans son agenda de supervision 2026. Voir notre analyse complete de l'accord Omnibus.

Conclusion : le secteur financier en première ligne de la conformité IA

Le crédit scoring, la tarification assurance et les algorithmes de détection de fraude sont les cas d'usage IA les plus impactants pour les droits économiques des personnes. Ce n'est pas un hasard si le législateur européen les a places en tete de l'Annexe III. Pour les établissements financiers français, la double supervision ACPR-CNIL cree une pression réglementaire sans équivalent dans d'autres secteurs.

Avec 87 jours avant la deadline du 2 août 2026, les établissements qui n'ont pas encore commence leur cartographie IA sont en situation de risque. Ceux qui ont commence mais n'ont pas formalise leur documentation se trouvent dans une position intermédiaire — correctable, mais qui demande de s'accélérer.

Le diagnostic sectoriel MaConformite Pôle Finance identifie en 12 minutes quels systèmes IA de votre établissement sont classes haut risque, quelles obligations s'appliquent à votre profil (banque de détail, fintech, assureur), et le plan d'action prioritaire pour les 90 jours restants. Le diagnostic est gratuit et ne nécessite aucune inscription.

Pour aller plus loin : notre guide complet EU AI Act et notre guide méthodologique pour réaliser votre AIPD.