Pour les institutions financières, la date la plus importante du calendrier du règlement IA de l’UE est le 2 août 2026. C’est à ce moment que les obligations du règlement relatives aux systèmes d’IA à haut risque commencent à s’appliquer — et, contrairement au lancement d’un produit, l’échéance n’attend pas les systèmes déjà en service. Si un modèle est en production et relève d’une catégorie à haut risque, il doit satisfaire aux exigences d’ici là, quelle que soit sa date de création.

Les services financiers sont plus exposés à cet enjeu que presque tout autre secteur, car de très nombreux cas d’usage quotidiens de l’IA dans la branche entrent pleinement dans les définitions à haut risque du règlement.

Pourquoi les banques et les assureurs sont exposés

Le règlement désigne certains usages comme étant à haut risque, et plusieurs d’entre eux sont au cœur de la finance : l’évaluation de la solvabilité des particuliers et le scoring de crédit, ainsi que l’évaluation des risques et la tarification en assurance vie et santé. Ajoutez l’attention prudentielle intense qui pèse désormais sur l’IA utilisée dans la détection de la fraude et les décisions de lutte contre le blanchiment, et une large part des modèles qu’exploite une institution type sont concernés, ou presque.

L’échéance s’applique aux systèmes déjà en production — le travail n’est donc pas « avant le lancement », mais « avant août 2026 », sur des modèles qui tournent aujourd’hui.

Ce qu’exige réellement le statut « haut risque »

Le statut de haut risque n’est pas une étiquette que l’on déclare avant de passer à autre chose. Il s’accompagne d’un ensemble d’obligations qui touchent à la manière dont le système est construit, exploité et gouverné :

  • Un processus documenté de gestion des risques couvrant tout le cycle de vie du système.
  • Une gouvernance des données portant sur la qualité, la pertinence et la représentativité des données d’entraînement et d’entrée.
  • Une documentation technique et une tenue de registres, y compris une journalisation rendant traçable le comportement du système.
  • Une supervision humaine effective, intégrée dès la conception plutôt qu’ajoutée après coup.
  • Des niveaux appropriés d’exactitude, de robustesse et de cybersécurité.
  • Une surveillance après commercialisation une fois le système en service.

Le piège : la traiter comme un exercice documentaire

L’erreur la plus fréquente que nous observons est d’aborder le règlement comme un problème de paperasse — quelque chose que l’équipe conformité pourra décrire a posteriori. Or la plupart de ces exigences sont des propriétés d’ingénierie. On ne peut pas documenter après coup la traçabilité, la robustesse ou la supervision humaine si elles n’ont jamais été intégrées au système. Une conformité ajoutée à la fin tend à être à la fois coûteuse et fragile, et elle survit rarement aux questions d’un superviseur.

Les institutions qui franchiront le plus vite l’échéance d’août 2026 sont celles qui traitent la gouvernance et l’ingénierie comme un seul et même effort : les contrôles qu’exige le règlement sont en grande partie ceux qui rendent un système d’IA suffisamment digne de confiance pour tourner dans une banque.

Que faire dès maintenant

  • Recenser chaque système d’IA et d’apprentissage automatique en service ou en développement — y compris ceux intégrés dans des produits de fournisseurs.
  • Classer chacun d’eux selon les catégories de risque du règlement, en étant honnête sur les cas limites.
  • Réaliser une analyse d’écart pour les systèmes à haut risque au regard des obligations ci-dessus.
  • Intégrer les contrôles manquants au cycle de vie du modèle, et non dans un classeur distinct.
  • Attribuer une responsabilité claire pour chaque système et commencer à réunir les preuves qu’un régulateur demanderait à voir.

Rien de tout cela n’est rapide, et c’est précisément pourquoi la date compte. Il reste du temps pour bien faire — mais moins que ne le suggère le calendrier, une fois pris en compte l’inventaire, la remédiation et les tests.