L’AI Act est entré en vigueur pour les banques

Dans la semaine où les marchés regardaient la Fed et le CLARITY Act, une deadline réglementaire passait presque inaperçue. Le 2 août 2026, les obligations de transparence de l’AI Act européen sont devenues contraignantes pour toutes les institutions financières qui déploient des chatbots, des systèmes génératifs ou des applications interagissant avec des clients. Ce n’est pas la partie «high-risk» de l’AI Act — reportée à décembre 2027 par le Digital Omnibus. C’est la partie que personne n’a reportée.

Ce qui est entré en vigueur le 2 août — précisément

L’AI Act européen (Règlement (UE) 2024/1689) a une structure chronologique en paliers. Les pratiques interdites (Article 5) — systèmes de manipulation inconsciente, notation sociale de masse, reconnaissance faciale en temps réel dans l’espace public — étaient applicables depuis le 2 février 2025. Les obligations de littératie IA (Article 4) — former les équipes à un usage approprié des systèmes IA — étaient actives depuis la même date. C’est la troisième couche qui est devenue contraignante le 2 août 2026 : les obligations de transparence de l’Article 50. (Sources : financialregulations.eu, regulation-dora.eu, fontvera.eu, 2026.)

Concrètement, l’Article 50 impose trois obligations principales. Tout système IA qui interagit avec des personnes physiques doit informer ces personnes qu’elles interagissent avec un système IA — sauf si cela est «évident dans le contexte». Les systèmes IA qui génèrent du contenu — textes, images, vidéos, audio — doivent signaler que ce contenu a été généré par IA. Les systèmes d’emotion recognition ou de biométrie dans des contextes réglementés doivent informer les personnes concernées de leur utilisation.

Ce qui n’est pas dans l’Article 50 — et c’est important : les systèmes à haut risque de l’Annexe III. Credit scoring, souscription d’assurance, screening RH, conseil financier automatisé — ces catégories étaient initialement dans la deadline du 2 août 2026. Le Digital Omnibus, adopté par le Conseil le 29 juin 2026, les a déplacées au 2 décembre 2027. Ce report a été massivement couvert dans la presse spécialisée. La date du 2 août pour la transparence, elle, n’a presque pas été mentionnée. (Sources : financialregulations.eu, regulation-dora.eu, 2026.)

Pourquoi les institutions financières sont particulièrement concernées

La combinaison de DORA et de l’AI Act crée une superposition réglementaire dense pour le secteur financier. DORA — applicable depuis le 17 janvier 2025 — impose un cadre de gestion du risque ICT, une journalisation des incidents, des tests de résilience et une supervision des tiers fournisseurs. L’AI Act Article 50 s’y ajoute avec ses propres obligations de documentation, d’information et de traçabilité. Les deux réglementations s’appliquent simultanément aux mêmes systèmes IA déployés en production : un chatbot bancaire alimenté par un LLM hébergé chez un fournisseur cloud tiers est soumis à DORA (tiers ICT critique), à l’Article 50 de l’AI Act (transparence envers l’utilisateur), et potentiellement à l’Article 53-55 si le modèle sous-jacent dépasse 10^25 FLOPs d’entraînement. (Sources : fontvera.eu, regulation-dora.eu, financialregulations.eu, 2026.)

L’AI Act prévoit des sanctions allant jusqu’à 15 millions d’euros ou 3% du chiffre d’affaires mondial pour les manquements aux obligations des fournisseurs. Pour les systèmes à haut risque de l’Annexe III — dont la deadline est reportée à décembre 2027 — c’est jusqu’à 30 millions ou 6% du CA mondial. L’AMF a indiqué en 2026 son intention de superviser activement l’usage de l’IA dans les services d’investissement — le cadre de l’AI Act lui donne désormais les outils pour le faire.

Ce que les équipes conformité fintech auraient dû faire avant le 2 août

Un inventaire exhaustif des points d’interaction IA avec les clients. Tout chatbot, assistant vocal, système de recommandation ou générateur de rapports qui interagit avec un utilisateur final doit avoir été audité. La question n’est pas «est-ce que nous utilisons de l’IA ?» mais «est-ce que chaque système IA interagissant avec un humain affiche clairement sa nature ?». Pour les équipes qui n’ont pas encore fait cet inventaire, il est trop tard pour être conformes depuis le 2 août — mais il est encore temps de régulariser rapidement avant que les régulateurs nationaux commencent leurs inspections de terrain.

La mise en conformité pratique passe par quatre étapes : cartographier tous les systèmes IA déployés, évaluer chacun à l’aune de l’Article 50, implémenter les disclosures, documenter pour démontrer la conformité à l’ACPR, à l’AMF ou à l’ESMA si elles demandent une justification. Les obligations de transparence sont les plus simples à implémenter — des obligations d’information, pas de performance technique. Le plus compliqué reste à venir en décembre 2027 — mais le travail préparatoire commence maintenant.