Intelligence artificielle, data science et agents conversationnels : audit, conseil, formation et réalisation pour la banque

Cadre réglementaire de l'intelligence artificielle dans un établissement bancaire

Le règlement (UE) 2024/1689 et son calendrier

Le règlement (UE) 2024/1689, dit « AI Act », est entré en vigueur le 1er août 2024. Les pratiques interdites et l'obligation de développer la maîtrise de l'intelligence artificielle par les équipes s'appliquent depuis le 2 février 2025, les obligations des fournisseurs de modèles d'IA à usage général depuis le 2 août 2025. L'application générale était prévue le 2 août 2026, pour les systèmes à haut risque de l'annexe III, et le 2 août 2027, pour ceux qui sont intégrés à des produits relevant d'une législation sectorielle (annexe I).

Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l'Union européenne le 24 juillet 2026 (dit « omnibus numérique sur l'IA »), a modifié ce calendrier. Selon la Commission européenne et les sources secondaires que nous avons lues, les obligations de l'annexe III sont reportées au 2 décembre 2027 et celles de l'annexe I au 2 août 2028. Les obligations de transparence de l'article 50 s'appliquent, elles, depuis le 2 août 2026, avec un aménagement jusqu'au 2 décembre 2026 pour le marquage des contenus générés par des systèmes déjà sur le marché. Ces dates se vérifient dans le texte publié sur EUR-Lex et sur la page de la Commission consacrée au cadre réglementaire de l'IA, avant toute décision.

Les systèmes à haut risque : solvabilité des personnes physiques

L'annexe III classe parmi les systèmes à haut risque ceux qui évaluent la solvabilité des personnes physiques ou établissent leur note de crédit, à l'exception des systèmes qui détectent la fraude financière. Pour une banque, un modèle de scoring d'octroi de crédit à des particuliers entre donc dans cette catégorie, alors qu'un outil de détection de fraude n'y entre pas au titre de ce point. Les exigences portent notamment sur le système de gestion des risques, la gouvernance des données, la documentation technique, la journalisation, la transparence envers le déployeur, le contrôle humain, l'exactitude, la robustesse et la cybersécurité.

Le règlement distingue le fournisseur, qui développe ou fait développer le système, et le déployeur, qui l'utilise sous sa propre autorité. Un établissement peut être l'un, l'autre ou les deux, notamment lorsqu'il adapte substantiellement un système acquis. Cette qualification se fait cas par cas et relève de l'établissement. Elle conditionne les obligations : documentation et évaluation de conformité pour le fournisseur, surveillance, conservation des journaux et information des personnes pour le déployeur, auxquelles s'ajoute, pour les systèmes d'évaluation de solvabilité, une analyse d'impact sur les droits fondamentaux. Le texte prévoit des aménagements pour les établissements financiers qui respectent déjà des règles de gouvernance interne.

RGPD, article 22 et décisions automatisées

Le règlement (UE) 2016/679 reconnaît à la personne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques ou l'affecte de manière significative (article 22). Des exceptions existent, par exemple lorsque la décision est nécessaire à la conclusion ou à l'exécution d'un contrat, avec des garanties : intervention humaine, possibilité d'exprimer son point de vue et de contester. Dans l'arrêt SCHUFA du 7 décembre 2023 (affaire C-634/21), la Cour de justice de l'Union européenne a jugé qu'un score de crédit peut constituer une telle décision lorsque le tiers destinataire s'en remet de façon déterminante à ce score.

La CNIL (Commission nationale de l'informatique et des libertés) a publié le 7 mai 2026 une recommandation sur l'octroi de crédit, qui traite notamment de l'évaluation de la solvabilité, des durées de conservation et des décisions automatisées. L'analyse d'impact sur la protection des données (article 35) est requise pour les traitements à risque élevé, et la liste de la CNIL cite le score d'octroi de crédit. L'espace de la CNIL consacré à l'intelligence artificielle rassemble ses fiches sur le développement et l'usage de systèmes d'IA.

Superviseurs, doctrine et référentiels

L'ACPR, la Banque de France et l'ABE

L'ACPR figure parmi les autorités de surveillance du marché du schéma national présenté en septembre 2025 pour le secteur financier, la désignation formelle restant à confirmer dans les textes nationaux. Elle a publié en juin 2020 un document de réflexion sur la gouvernance des algorithmes d'intelligence artificielle dans le secteur financier, et en juillet 2026 un document de réflexion sur l'équité algorithmique, soumis à consultation jusqu'au 30 septembre 2026. Ces documents ne créent pas d'obligation en tant que tels : ils indiquent comment le superviseur lit les risques de biais, d'explicabilité et de gouvernance.

L'Autorité bancaire européenne a conduit en 2025 une cartographie de l'AI Act au regard de la législation bancaire et de paiement. Selon sa lettre du 21 novembre 2025, aucune contradiction significative n'a été relevée, et le cadre prudentiel existant couvre déjà une part des exigences du règlement. Cela ne dispense pas l'établissement d'articuler les deux régimes.

Gouvernance interne, externalisation et DORA

Un modèle d'IA est d'abord un modèle au sens du contrôle interne : l'arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d'investissement attend un dispositif de maîtrise des risques, des responsabilités claires et un contrôle permanent et périodique. Lorsque le modèle, la plateforme ou l'hébergement sont fournis par un tiers, le règlement (UE) 2022/2554 (DORA), applicable depuis le 17 janvier 2025, impose un registre d'informations sur les prestataires de services TIC (technologies de l'information et de la communication) et des clauses contractuelles. Les orientations de l'ABE (Autorité bancaire européenne) sur l'externalisation (EBA/GL/2019/02) et l'arrêté du 3 novembre 2014 s'appliquent aux prestations essentielles ou importantes. Les données de clients restent couvertes par le secret professionnel de l'article L. 511-33 du code monétaire et financier.

Référentiels et normes

La norme ISO/IEC 42001:2023 décrit un système de management de l'intelligence artificielle, et l'ISO/IEC 23894 la gestion des risques associée. Le cadre de gestion des risques de l'IA du NIST (National Institute of Standards and Technology, institut américain de normalisation) américain (AI RMF 1.0) est une référence de méthode utilisée à l'international. Ces textes sont volontaires. Les normes harmonisées européennes, dont le retard a motivé le report de 2026, ne sont pas toutes publiées. Une certification d'un système de management ne vaut pas conformité au règlement, qui s'apprécie par l'établissement et ses autorités.

Ce que recouvre un cas d'usage bancaire d'IA

Modèles prédictifs, grands modèles de langage et génération augmentée par la recherche

Les modèles de machine learning et de deep learning servent au scoring, à la détection d'anomalies et à la prévision. Les grands modèles de langage (LLM) servent à rédiger, résumer, classer et répondre. Leur limite principale est connue : ils produisent des réponses plausibles qui peuvent être fausses. La génération augmentée par la recherche (RAG) réduit ce risque en faisant citer des sources internes, par exemple les procédures et notes réglementaires, mais elle ne le supprime pas. Le travail porte donc sur la qualité du corpus, les droits d'accès aux documents, l'évaluation sur des cas réels et le refus de répondre hors périmètre.

Les thèmes du domaine citent des plateformes (par exemple Dataiku, IBM watsonx) et des modèles d'éditeurs (par exemple Mistral AI, Anthropic Claude). Ce sont des outils étudiés en audit, en conception ou en formation. Optédif n'est ni partenaire ni revendeur de ces éditeurs, dont les marques appartiennent à leurs titulaires.

Agents conversationnels et agents capables d'agir

Un assistant conversationnel répond. Un agent enchaîne des actions : lire un dossier, appeler un outil, préparer un document. Plus l'agent agit, plus le périmètre de ses droits, la validation humaine et la journalisation comptent. Dans la banque, les cas d'usage d'agents (accueil, documentation, service après-vente, relation téléphonique) sont des exemples encadrés, à déployer avec des actions limitées, des garde-fous contre les consignes détournées, des tests et un circuit d'escalade vers une personne. Nous ne présentons aucun agent comme une solution sans risque.

Mise en production, suivi et réversibilité

Un modèle en service dérive : les données changent, les usages aussi. L'exploitation de modèles de langage (LLMOps) comprend la supervision de la qualité, la gestion des versions, le suivi des coûts, la gestion des incidents et la possibilité de revenir à un fonctionnement sans IA. Ces éléments sont aussi ceux que demandent le contrôle interne, DORA (Digital Operational Resilience Act, règlement européen sur la résilience opérationnelle numérique) et, pour les systèmes à haut risque, le règlement sur l'IA.

Rôles et responsabilités

Dans l'établissement

La direction générale et le conseil d'administration arrêtent la stratégie et l'appétence au risque. Le directeur des risques et le responsable conformité cadrent les usages et leurs contrôles. Le délégué à la protection des données instruit les traitements et l'analyse d'impact. Le responsable de la donnée et les data scientists conçoivent et documentent les modèles. Le responsable de la sécurité des systèmes d'information traite les menaces propres aux modèles de langage. L'audit interne contrôle l'ensemble. Le métier utilisateur reste responsable de la décision finale.

Pour les prestataires

Un prestataire ne porte pas la responsabilité de l'établissement. Il fournit une analyse, un prototype, un déploiement ou une formation, avec des livrables définis. Si la prestation soutient une fonction essentielle ou importante, ou fait intervenir un prestataire de services TIC, l'établissement apprécie les obligations de notification, de registre et de contrat qui en découlent.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons les cas d'usage et la gouvernance, nous conseillons sur la stratégie, le choix de plateforme et l'organisation, nous concevons des prototypes évalués, nous déployons dans vos environnements d'intégration et de recette, nous accompagnons les métiers et nous formons. Le secret bancaire et la confidentialité s'appliquent à toute notre équipe. Nous travaillons sur des données anonymisées ou fictives par défaut, et nous n'accédons à des données de clients que dans un cadre contractuel, avec des droits d'accès limités et l'accord de l'établissement. Optédif intervient sous sa responsabilité et sa direction, dans le cadre d'un contrat de prestation de services portant sur un objectif, un livrable ou un périmètre défini avec vous.

Ce que nous ne faisons pas

Optédif n'est pas un établissement de crédit, ne reçoit aucun fonds du public et n'exerce aucune opération de banque, de paiement, d'intermédiation ni d'investissement. Nous ne délivrons aucun agrément, aucune certification, aucun avis de conformité à l'AI Act, au RGPD ou à DORA, et nous ne garantissons le résultat d'aucun contrôle. Nous ne prenons aucune décision à la place de l'établissement, nous n'exerçons pas la fonction de délégué à la protection des données d'un client dont nous conseillons les traitements, et nous ne promettons aucun gain chiffré. Les cas d'usage décrits sur ce site sont des exemples construits.

Références officielles

Pour aller plus loin : le règlement (UE) 2024/1689, le règlement (UE) 2016/679, le règlement (UE) 2022/2554, le site de l'ACPR et celui de l'Autorité bancaire européenne. EUR-Lex s'ouvre parfois mal selon le navigateur. Les textes doivent être relus dans leur version en vigueur.