Intelligence artificielle générative, agents IA et gouvernance des modèles : audit, conseil, formation et réalisation pour la finance de marché

Le règlement européen sur l'IA et son calendrier

Les échéances, état au 23 octobre 2026

Le règlement (UE) 2024/1689 (texte sur EUR-Lex) est entré en vigueur le 1er août 2024 et s'applique par étapes. La chronologie publiée par la Commission en donne l'état, après la modification apportée en 2026 par le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA ».

• 2 février 2025 : pratiques interdites et dispositions générales, dont la maîtrise de l'IA (article 4).
• 2 août 2025 : obligations des fournisseurs de modèles d'IA à usage général et mise en place de la gouvernance européenne.
• 2 août 2026 : application de la plupart des règles, dont les obligations de transparence de l'article 50.
• 2 décembre 2026 : nouvelles interdictions (contenus intimes non consentis, contenus pédopornographiques) et fin du délai accordé, pour le marquage des contenus de l'article 50, paragraphe 2, aux systèmes déjà sur le marché avant le 2 août 2026.
• 2 décembre 2027 : obligations des systèmes à haut risque de l'annexe III, qui étaient prévues au 2 août 2026.
• 2 août 2028 : obligations des systèmes à haut risque intégrés dans des produits réglementés (annexe I).

Selon les sources secondaires consultées, le règlement 2026/1744 a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Un acteur qui prépare un projet d'IA doit donc distinguer ce qui s'applique déjà (interdictions, maîtrise de l'IA, modèles à usage général, transparence) de ce qui est reporté (haut risque).

Qualifier un cas d'usage

La première question est celle du rôle : fournisseur d'un système d'IA, ou déployeur qui l'utilise sous sa propre autorité. Une société de gestion qui utilise un assistant du marché est en général déployeur ; elle peut devenir fournisseur si elle met sous son nom un système à haut risque ou en modifie substantiellement la destination. La deuxième est celle de la finalité. L'annexe III classe parmi les systèmes à haut risque ceux qui évaluent la solvabilité de personnes physiques ou établissent leur note de crédit, à l'exception de la détection de fraude financière, ainsi que ceux qui évaluent le risque et fixent les prix de l'assurance vie et santé de personnes physiques. Un assistant de synthèse de documents, un moteur de recherche documentaire, un agent de préparation de comptes rendus n'y figurent pas en tant que tels.

Cela ne rend pas ces usages libres : la maîtrise de l'IA impose de former et de sensibiliser les personnes qui l'utilisent, les règles de transparence peuvent s'appliquer lorsque le système interagit avec des personnes ou génère des contenus, et l'ensemble des autres textes reste applicable. Pour les déployeurs de systèmes d'évaluation de la solvabilité ou de l'assurance de personnes, l'article 27 prévoit en outre une analyse d'impact sur les droits fondamentaux.

Établissements financiers et autorités

Le règlement contient des dispositions propres aux institutions financières. L'article 17, paragraphe 4, répute remplie l'obligation de système de gestion de la qualité d'un fournisseur qui est une institution financière lorsqu'il respecte ses règles de gouvernance interne, à l'exception de certains points (gestion des risques, surveillance après commercialisation, signalement des incidents graves). L'article 74, paragraphe 6, désigne l'autorité nationale de supervision financière comme autorité de surveillance du marché pour les systèmes à haut risque que ces institutions utilisent. Le premier sous-gouverneur de la Banque de France a indiqué le 9 septembre 2026 que l'ACPR sera chargée de la surveillance des systèmes à haut risque utilisés pour l'octroi de crédit et pour l'évaluation des risques en assurance à compter de décembre 2027. L'organisation française complète de la surveillance du marché reste à suivre.

Modèles à usage général et chaîne de valeur

Les fournisseurs de modèles à usage général (les grands modèles de langage) ont des obligations propres depuis le 2 août 2025, au titre de l'article 53 : documentation technique, information des utilisateurs en aval, politique de respect du droit d'auteur. La Commission a publié le 10 juillet 2025 un code de bonnes pratiques, outil volontaire qui aide à démontrer cette conformité. Pour l'utilisateur financier, l'intérêt est contractuel : demander à son fournisseur la documentation du modèle, ses limites connues et ses engagements sur les données.

Données, résilience et attentes des autorités financières

Ce que disent les autorités financières

L'ESMA a publié le 30 mai 2024 une déclaration sur l'usage de l'IA dans les services d'investissement : les obligations de MiFID II en matière d'organisation, de règles de conduite et d'intérêt du client s'appliquent quelle que soit la technique, avec des risques identifiés comme les biais, la qualité des données, l'opacité des décisions et la dépendance excessive à l'outil. L'ACPR a proposé dès 2020 un document de réflexion sur la gouvernance des algorithmes d'IA, fondé sur quatre critères (traitement des données, performance, stabilité, explicabilité), qui reste une grille de lecture utile pour un assistant ou un agent. L'AMF a publié le 2 février 2026 une étude sur l'usage de l'IA par les acteurs des marchés financiers français. Dans son intervention du 9 septembre 2026, le premier sous-gouverneur de la Banque de France relève que l'IA peut désormais prendre des initiatives et agir, ce qui déplace la question de l'explication vers celle du contrôle des actions.

RGPD, secret professionnel et abus de marché

Un assistant qui traite des données de clients ou de salariés relève du RGPD : finalité, base légale, minimisation, durée de conservation, information des personnes, analyse d'impact (article 35) lorsque le risque est élevé. L'article 22 encadre les décisions fondées exclusivement sur un traitement automatisé. La CNIL a publié en février 2025 des recommandations sur l'IA et le RGPD (information des personnes, exercice des droits) et des fiches sur l'intérêt légitime ; le Comité européen de la protection des données a rendu le 18 décembre 2024 un avis (28/2024) sur le traitement de données personnelles dans les modèles d'IA.

Deux autres contraintes sont propres à la finance. Le secret professionnel (article L. 511-33 du code monétaire et financier pour les banques) et les clauses de confidentialité interdisent de transmettre des informations de clients à un service dont on ne maîtrise pas l'hébergement. Le règlement (UE) n° 596/2014 (MAR) interdit l'utilisation et la divulgation illicite d'informations privilégiées : une consigne ou un document confidentiel saisi dans un outil externe peut constituer une fuite. Nous construisons donc nos prototypes sur des documents publics ou de test.

DORA et sécurité des applications d'IA

Le règlement (UE) 2022/2554 (DORA), applicable depuis le 17 janvier 2025, s'applique aux fournisseurs de modèles, de plateformes et d'hébergement lorsqu'ils sont des prestataires tiers de services TIC (technologies de l'information et de la communication) d'une entité financière : registre, évaluation avant contrat, clauses de l'article 30, stratégie de sortie. Le premier sous-gouverneur de la Banque de France a rappelé le 9 septembre 2026 que le cadre de DORA (Digital Operational Resilience Act, règlement sur la résilience opérationnelle numérique du secteur financier), fondé sur des principes, intègre les risques liés aux usages de l'IA, et que les systèmes d'IA des organisations deviennent eux-mêmes des cibles. Les attaques par injection d'instructions, la fuite de données par les réponses, les droits excessifs donnés à un agent ou l'empoisonnement d'un corpus sont des risques à traiter dès la conception, avec les référentiels de la sécurité applicative comme l'OWASP (Open Worldwide Application Security Project, projet ouvert de sécurité des applications web).

Gouverner les modèles et les agents

Inventaire, classification et responsabilités

Le premier livrable d'une gouvernance de l'IA est un inventaire : chaque cas d'usage avec sa finalité, son propriétaire, son fournisseur, ses données, son hébergement et son niveau de risque. Sans inventaire, on ne peut ni former, ni classer, ni contrôler. Viennent ensuite des rôles clairs : un propriétaire métier du cas d'usage, une fonction qui challenge (conformité, risques, sécurité, protection des données), une instance de décision, et une procédure d'incident. La proportionnalité s'applique : un assistant de synthèse sur documents publics n'appelle pas la même documentation qu'un système qui intervient dans une décision concernant un client.

Contrôle humain, journalisation et évaluation

Un assistant produit des réponses plausibles, parfois fausses. Le contrôle humain n'est utile que s'il est possible : sources affichées, citations vérifiables, signalement des incertitudes, temps laissé à la relecture. L'évaluation de la qualité repose sur un jeu de questions rédigé avec les experts métier, rejoué à chaque changement de modèle, d'instruction ou de corpus. La journalisation des requêtes, des sources consultées et des actions permet de reconstituer un incident, sous réserve de la protection des données qu'elle contient.

Les agents : périmètre d'action et délégation

Un agent raccordé à des outils (messagerie, bases documentaires, protocoles comme MCP) agit à la place d'un utilisateur. Les principes de prudence sont connus : droits minimaux, validation humaine pour les actions d'écriture ou de diffusion, limites de dépenses et de durée, journal des appels d'outils, possibilité d'arrêt immédiat. Un agent à vocation documentaire ou juridique aide à lire et à résumer des textes ; sa sortie n'est pas une consultation juridique, réservée aux avocats, et un juriste ou le service conformité en reste le relecteur. Aucun agent ne doit manipuler d'ordres, de positions ni d'informations privilégiées en dehors d'un cadre défini par la conformité de l'entité.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons les cas d'usage et les modèles : inventaire, gouvernance, qualité, sécurité. Nous conseillons sur la stratégie, la gouvernance et le choix de plateforme. Nous concevons des prototypes (recherche augmentée, agents documentaires) sur des documents publics ou de test. Nous déployons et industrialisons des assistants, avec journalisation et surveillance. Nous accompagnons les gérants, les analystes et les fonctions support dans l'adoption. Nous formons les équipes en intra-entreprise, y compris sur le calendrier du règlement sur l'IA.

Ce que nous ne faisons pas

• Nous n'exerçons aucune activité réglementée : ni conseil en investissement, ni gestion de portefeuille pour compte de tiers, ni recommandation d'investissement, y compris par un assistant ou un agent.
• Notre intervention porte sur la compréhension du règlement, l'inventaire des systèmes d'IA, la gouvernance et la documentation. Elle ne constitue pas une consultation juridique, et nous ne délivrons aucun marquage ni aucune évaluation de conformité au sens du règlement.
• Nous ne traitons ni ordres, ni positions, ni informations privilégiées, ni données confidentielles en dehors d'un cadre convenu : nos exemples reposent sur des documents publics ou de test.
• Nous ne promettons aucun gain, aucune fiabilité absolue des réponses et aucune conformité à un texte.
• Nous ne délivrons aucune certification, et nos formations ne valent pas validation de l'obligation de maîtrise de l'IA qui incombe à chaque entité.

Sources officielles

Pour vérifier les textes, consultez la chronologie de la Commission, le règlement 2024/1689 sur EUR-Lex, la déclaration de l'ESMA et les publications de la CNIL, de l'ACPR et de l'AMF. Cette page décrit un cadre en évolution : elle ne constitue pas une consultation juridique, et toute décision qui s'en inspire doit être relue par un spécialiste du droit financier et de la protection des données.