EU AI Act et secteur financier : scoring crédit, détection de fraude, obligations 2026

Le secteur financier est un des plus touches par l'EU AI Act. Le scoring crédit, la détection de fraude, l'évaluation des risques d'assurance et le trading algorithmique sont classes à haut risque par le règlement européen. Pour les banques, fintechs et assureurs français, la deadline du 2 août 2026 approche et les obligations sont lourdes. Ce guide explique concrètement ce qu'il faut faire.

Quels systèmes d'IA financiers sont à haut risque ?

L'article 6 de l'EU AI Act, combine a l'annexe III point 5, classe à haut risque les systèmes d'IA utilisés pour :

• Évaluer la solvabilite des personnes physiques (scoring crédit immobilier, crédit a la consommation, cartes de paiement)
• Etablir leur score de crédit (hors fraude)
• Évaluer les risques et tarifer les assurances vie et santé

Attention : la détection de fraude n'est PAS classee à haut risque par l'annexe III. C'est une distinction importante. Un système de scoring crédit est à haut risque, un système de détection de fraude bancaire ne l'est pas automatiquement (mais peut le devenir selon son impact sur les droits fondamentaux).

Les 7 obligations principales pour les systèmes à haut risque

1. Système de gestion des risques (article 9)

La banque doit mettre en place un système documente de gestion des risques lies à l'IA, tout au long du cycle de vie du système. Cela inclut : identification des risques, évaluation, mesures de mitigation, suivi des risques residuels.

2. Gouvernance des données (article 10)

Les données d'entrainement, de validation et de test doivent être pertinentes, representatives, exemptes d'erreurs et complètes. Pour un scoring crédit, cela signifie : audit des biais dans les données historiques, détection des correlations discriminantes (genre, origine, code postal), documentation des sources.

3. Documentation technique (article 11 - Annexe IV)

Le document le plus lourd a produire. Il doit contenir : description générale du système, finalites, architecture technique, données utilisées, métriques de performance, tests réalisés, mesures de cybersécurité, instructions d'utilisation. Pour une banque, ce document fait souvent 50 a 100 pages.

4. Enregistrement des logs (article 12)

Tous les evenements significatifs doivent être logges : décisions prises par le système, inputs utilisés, scores calcules, anomalies detectees. Les logs doivent être conserves au minimum 6 mois (article 19).

5. Transparence et information des utilisateurs (article 13)

Le système doit fournir des instructions d'utilisation claires : capacités, limites, conditions d'utilisation prévues, mesures de surveillance humaine recommandees. Pour un scoring crédit, cela inclut le droit d'information du client refuse (article 22 RGPD).

6. Supervision humaine (article 14)

Un humain doit pouvoir intervenir a tout moment : arreter le système, remettre en question une décision, interpreter les résultats. Pour un scoring crédit, cela signifie qu'un refus automatique doit pouvoir être revu par un conseiller clientèle, qui peut decider d'octroyer le crédit malgre le score.

7. Exactitude, robustesse, cybersécurité (article 15)

Le système doit atteindre un niveau approprie d'exactitude, de robustesse face aux erreurs et de sécurité face aux attaques (empoisonnement des données, attaques adversariales, vol de modèle).

Analyse d'impact sur les droits fondamentaux (AIPD - article 27)

Avant toute mise en service, la banque doit réaliser une AIPD. C'est un document spécifique qui evalue :

• Les catégories de personnes physiques impactees
• Les risques spécifiques pour leurs droits fondamentaux (non-discrimination, vie privee, recours effectif)
• Les mesures de gouvernance mises en place
• Les procédures en cas de materialisation des risques

La AIPD doit être notifiee a l'autorité de surveillance (en France, probablement la DGCCRF ou une nouvelle autorité dédiée a l'IA).

Articulation EU AI Act, RGPD, ACPR et CNIL

Les banques françaises ont déjà des obligations lourdes. L'EU AI Act s'ajoute sans remplacer :

• RGPD : le scoring crédit est déjà soumis au RGPD (article 22 sur les décisions automatisées, étude d'impact DPIA obligatoire)
• ACPR : recommandations sur la gouvernance des modèles (avril 2020, mise à jour 2025)
• CNIL : recommandation sur les systèmes d'IA (février 2024)
• EU AI Act : obligations supplementaires spécifiques IA haut risque

En pratique, une banque qui a déjà fait sa DPIA et respecte les recommandations ACPR a déjà 60 a 70 pourcent du travail fait. Il reste a produire l'Annexe IV, la AIPD et à mettre en place le système de logs spécifique.

Sanctions en cas de non-conformité

Les sanctions maximales de l'EU AI Act sont severes :

• 35 millions EUR ou 7 pourcent du CA mondial (le plus élève) pour les violations d'IA à risque inacceptable
• 15 millions EUR ou 3 pourcent du CA mondial pour les violations sur IA haut risque
• 7,5 millions EUR ou 1 pourcent du CA mondial pour les violations administratives

Pour une banque avec 1 milliard de CA, le risque maximal est de 30 millions EUR. Même pour une petite banque regionale, le risque est incompatible avec une approche wait-and-see.

Plan d'action pour les banques et fintechs françaises

Étape 1 : Inventaire des systèmes IA (semaine 1)

Lister tous les systèmes d'IA utilisés : scoring crédit, KYC, détection fraude, chatbot client, pricing assurance. Pour chacun, identifier le niveau de risque EU AI Act.

Étape 2 : Gap analysis (semaines 2 a 4)

Pour chaque système à haut risque, évaluer l'écart avec les 7 obligations. Ou est-on déjà conforme grace au RGPD et aux recommandations ACPR ? Quels documents manquent ?

Étape 3 : Production des documents (mai a juin 2026)

Rediger l'Annexe IV et la AIPD pour chaque système haut risque. Mettre en place les logs spécifiques. Documenter la supervision humaine.

Étape 4 : Audit interne (juillet 2026)

Revue juridique par le DPO et la direction conformité. Validation par la direction générale. Pre-notification a l'autorité de surveillance si demandee.

Étape 5 : Mise en conformité (2 août 2026)

Date butoir. A partir de cette date, tout système d'IA à haut risque non conforme expose la banque a des sanctions.

Comment MaConformite aide les acteurs financiers

MaConformite propose un Pole Finance dédié qui adapte les questionnaires, templates et checklists aux spécificités du secteur :

• Questionnaires scoring crédit, détection fraude, pricing assurance
• Templates Annexe IV avec terminologie bancaire
• AIPD guidee sur les droits fondamentaux des clients bancaires
• Articulation RGPD, ACPR, CNIL, EU AI Act
• Export PDF pour transmission au regulateur

Le diagnostic gratuit permet en 3 minutes d'identifier quels systèmes de votre banque sont à haut risque et quelles obligations s'appliquent.

Questions fréquentes — EU AI Act et finance

Le scoring de crédit IA est-il à haut risque sous l'EU AI Act ?

Oui. Les systèmes d'IA utilisés pour l'évaluation de la solvabilité ou le scoring de crédit des personnes physiques sont explicitement listés à l'Annexe III (point 5b) de l'EU AI Act. Ils imposent une documentation complète, une supervision humaine des décisions de refus, et une explication donnée au client sur les facteurs déterminants.

Les outils de détection de fraude bancaire sont-ils soumis à l'AI Act ?

Oui, si la détection de fraude conduit à des décisions automatisées ayant un impact sur le client (blocage de compte, refus de transaction). Ces systèmes relèvent du haut risque si leur décision affecte l'accès aux services financiers essentiels. La supervision humaine et la possibilité de recours pour le client sont obligatoires.

Quelles sont les obligations des banques françaises avant le 2 août 2026 ?

D'ici au 2 août 2026, les établissements financiers doivent : inventorier tous leurs systèmes d'IA, identifier ceux à haut risque (scoring, détection fraude, AML), vérifier les obligations de transparence article 50 pour leurs chatbots client, et s'assurer que leurs contrats avec les fournisseurs de logiciels IA incluent les clauses de conformité AI Act.

L'IA d'allocation automatique de crédit immobilier est-elle concernée ?

Oui. Tout système qui influence la décision d'octroyer ou de refuser un crédit immobilier est à haut risque. Cela inclut les modèles de scoring hypothécaire, les outils d'évaluation de la capacité de remboursement, et les algorithmes d'estimation de la valeur de nantissement. La CNIL et l'ACPR sont co-compétentes pour le contrôle.

Comment articuler la conformité EU AI Act avec le RGPD dans le secteur financier ?

Les deux réglementations se cumulent. Pour les algorithmes de scoring utilisant des données personnelles, il faut une base légale RGPD (article 22 pour les décisions automatisées), une AIPD si le traitement est à haut risque RGPD, et une FRIA AI Act si le système est à haut risque. En pratique, les équipes conformité financière doivent aligner les deux référentiels dès 2026.