AI Act européen 2026 : les obligations de transparence

Par Jonas Osman Abdelghafour.

L'AI Act européen s'applique de manière horizontale, ce qui explique précisément pourquoi il est délicat pour les institutions financières : les obligations se rattachent au rôle que joue une organisation vis-à-vis d'un système — fournisseur, déployeur, importateur, distributeur — plutôt qu'à l'activité réglementée qu'elle exerce. Une banque qui achète un outil de filtrage est un déployeur ; une banque qui affine et commercialise un tel outil devient quelque chose de plus proche d'un fournisseur. Se tromper sur cette classification est l'erreur la plus coûteuse possible, car elle détermine l'ensemble des obligations applicables.

La classification est le premier contrôle

Deux questions guident le travail. Premièrement, le système entre-t-il seulement dans le champ de la définition de l'IA au sens de l'AI Act ? Deuxièmement, quelle catégorie de risque s'applique ? Pour les services financiers, les catégories déterminantes sont les pratiques interdites (étroites mais absolues), les usages à haut risque — les plus pertinents étant l'évaluation de solvabilité des personnes physiques et l'évaluation du risque et la tarification en assurance vie et santé — et le niveau de transparence applicable aux systèmes interagissant avec des personnes ou générant du contenu.

Tout ce qui suit dépend de cette cartographie, qui doit donc figurer dans l'inventaire des modèles comme un attribut enregistré doté d'un propriétaire et d'une date de revue, et non dans un tableur de conformité séparé.

La transparence en pratique

Les obligations de transparence sont généralement résumées par « dire aux gens qu'ils parlent à une machine ». La réalité opérationnelle est plus large. Les systèmes qui interagissent directement avec des personnes doivent le préciser clairement au point d'interaction, dans l'interface elle-même, et non dans une politique enfouie trois clics plus loin. Le contenu synthétique ou manipulé nécessite un marquage lisible par machine. Les usages d'inférence émotionnelle et de catégorisation biométrique comportent leurs propres obligations de divulgation et, dans le contexte de l'emploi, sont fortement contraints.

Pour une banque de détail, le résultat pratique est peu spectaculaire : des interfaces de discussion qui s'identifient, des scripts de centre de contact divulguant le traitement automatisé, des chaînes de production de contenu marketing qui étiquettent les actifs générés, et une piste de preuves montrant à quel moment chaque divulgation a été mise en œuvre.

Les obligations liées au haut risque se rattachent à des contrôles que vous avez déjà

Lorsqu'un usage relève de la catégorie à haut risque — notation de crédit pour les consommateurs, tarification assurance dans les branches nommées —, les exigences se lisent comme un dispositif de gestion du risque de modèle bien tenu, avec de la paperasse supplémentaire : un système de gestion du risque sur l'ensemble du cycle de vie, une gouvernance des données couvrant représentativité et biais, une documentation technique, une journalisation automatique, une supervision humaine intégrée au flux de travail, et une exactitude, une robustesse et une cybersécurité proportionnées à l'usage.

La réponse efficace consiste à cartographier plutôt qu'à dupliquer. Les exigences de gouvernance des données se rattachent aux contrôles existants de traçabilité et de qualité des données. La documentation technique se rattache à la documentation de développement des modèles, complétée par les champs spécifiques de l'AI Act. La supervision humaine se rattache à la conception des mécanismes de dérogation et d'escalade que la validation devrait déjà tester. La journalisation se rattache aux exigences de piste d'audit. Les institutions qui construisent une pile de conformité AI Act parallèle finissent par entretenir deux descriptions du même modèle, qui divergent en moins d'un an.

Les déployeurs portent également des obligations propres — utiliser le système conformément aux instructions du fournisseur, s'assurer que les données d'entrée sont pertinentes, désigner une supervision humaine compétente, surveiller le fonctionnement, et dans plusieurs cas informer les personnes affectées. Une banque ne peut pas externaliser cela au fournisseur.

Les modèles à usage général et la chaîne d'approvisionnement

La plupart des institutions consomment des modèles à usage général plutôt qu'elles ne les construisent. Le fournisseur porte la documentation et, au-delà du seuil de risque systémique, des obligations supplémentaires ; le déployeur a néanmoins besoin de suffisamment d'informations pour s'acquitter de ses propres obligations. Cela fait de l'accès contractuel à la documentation technique, de la notification des changements matériels du modèle et des preuves étayant les revendications d'usage prévu une exigence d'approvisionnement, et non un simple plus. Lorsqu'un fournisseur ne les fournit pas, l'institution devrait présumer qu'elle aura besoin de tests compensatoires et intégrer ce coût dans la décision de construire ou d'acheter.

Que faire dans les deux prochains trimestres

• Étiqueter chaque système d'IA de l'inventaire avec son rôle, sa catégorie de risque et sa base légale, et faire revoir cette classification de façon indépendante.
• Combler d'abord les lacunes de transparence dans les canaux orientés client ; elles sont visibles, peu coûteuses à corriger, et les plus faciles à sanctionner.
• Faire correspondre les exigences de haut risque aux artefacts existants de gestion du risque de modèle et combler les écarts plutôt que d'en rédiger de nouveaux.
• Corriger les modèles d'approvisionnement afin que la documentation, la notification des changements et les droits d'audit soient standard.
• Intégrer des obligations de culture de l'IA dans la formation du personnel qui exploite ou supervise ces systèmes.

Les institutions qui trouveront l'AI Act gérable sont celles dont la gouvernance des modèles produit déjà des preuves à la demande. Pour elles, il s'agit d'un exercice de classification et de divulgation. Pour celles dont le parc d'IA n'est pas documenté, c'est d'abord un exercice de découverte — et la découverte sous contrainte de délai réglementaire est la façon la plus coûteuse d'apprendre ce que l'on possède.

Sources principales : Règlement (UE) 2024/1689 (AI Act) ; orientations du service d'assistance AI Act de la Commission européenne sur les obligations de transparence de l'article 50.