Le report de l’AI Act européen est un piège pour les banques qui utilisent l’IA. Voici pourquoi

La plupart des banques ont appris que l’UE avait reporté l’AI Act et ont alors cessé d’y prêter attention. Cette lecture est compréhensible, mais elle est aussi incomplète. La mise en œuvre des obligations de l’AI Act européen relatives aux systèmes à haut risque a été repoussée : les règles applicables aux systèmes d’IA à haut risque autonomes s’appliqueront désormais à compter du 2 décembre 2027, tandis que celles concernant les systèmes d’IA à haut risque intégrés dans des produits réglementés s’appliqueront à partir du 2 août 2028.

Cependant, les règles de transparence de l’AI Act sont bien entrées en vigueur le 2 août 2026. Ce report ne signifie pas que les risques liés à l’IA ont diminué pour les banques. Il reflète plutôt un principe de réalité : les normes, orientations et outils nécessaires pour accompagner la mise en œuvre n’étaient pas prêts. La Commission Européenne a présenté ce nouveau calendrier comme un moyen de garantir que les règles s’appliquent lorsque les entreprises disposent des outils d’accompagnement appropriés, tels que des normes, afin d’en faciliter la mise en œuvre.

Ces 16 mois supplémentaires constituent donc à la fois un piège et une opportunité. Les banques qui interprètent ce délai comme une invitation à attendre devront effectuer le même travail plus tard, mais sous une pression temporelle accrue. Celles qui mettent ce délai à profit peuvent poser les fondations techniques et de gouvernance nécessaires pour déployer l’IA en toute sécurité, assurer la traçabilité de leurs décisions et se préparer aux règles applicables aux systèmes à haut risque avant leur entrée en vigueur.

Que signifie le report de l’AI Act européen pour les banques ?

La première étape consiste à distinguer ce qui a changé de ce qui n’a pas changé.

Ce qui a changé, c’est la date d’application des obligations relatives aux systèmes à haut risque. Le règlement omnibus sur l’IA est entré en vigueur le 27 juillet 2026, fixant leur entrée en application au 2 décembre 2027 pour les systèmes d’IA à haut risque autonomes et au 2 août 2028 pour les systèmes d’IA à haut risque intégrés dans des produits.

Ce qui n’a pas changé est tout aussi important. Les obligations de transparence sont entrées en vigueur le 2 août 2026. Les exigences juridiques existantes restent également en vigueur. Les banques qui utilisent l’IA restent soumises au RGPD, à DORA et aux réglementations propres au secteur financier. DORA, par exemple, s’applique depuis le 17 janvier 2025 et continue d’orienter les attentes en matière de résilience opérationnelle et de gestion des risques liés aux TIC dans les services financiers.

La logique fondamentale de l’AI Act n’a pas changé non plus. Les systèmes d’IA à haut risque restent soumis à des obligations strictes en matière de gestion des risques, de qualité des données, de journalisation, de documentation, de transparence, de contrôle humain, de robustesse, de cybersécurité et de précision. Dans sa présentation de l’AI Act, la Commission Européenne classe notamment le scoring de crédit parmi les cas d’usage à haut risque liés à l’accès aux services privés et publics essentiels.

Le report ne doit donc pas être interprété comme un assouplissement de la réglementation. Il s’agit d’un calendrier de mise en œuvre révisé. L’objectif reste le même.

AI Act : ces 16 mois supplémentaires doivent servir à poser les fondations

Les 16 mois supplémentaires ne changent pas ce que les banques devront, à terme, être en mesure de démontrer dans le cadre de l’AI Act européen. Les systèmes d’IA à haut risque devront toujours satisfaire à des exigences en matière de gouvernance des données, de documentation, de tenue de registres, de transparence, de contrôle humain et de supervision continue.

Un socle de données gouverné est essentiel, car il fournit aux banques les données, les mécanismes de contrôle et l’auditabilité nécessaires pour répondre concrètement à ces exigences.

Relier la gouvernance des données à la conformité AI Act

Pour les systèmes d’IA à haut risque, la conformité commence par les données elles-mêmes. Les banques doivent savoir quelles données sont utilisées, d’où elles proviennent, comment elles ont été transformées et si elles sont adaptées au cas d’usage prévu.

Cela devient difficile lorsque les données sont dispersées entre des systèmes hérités, des lignes de produits et différentes unités opérationnelles. Un socle de données gouverné permet d’obtenir une vision plus cohérente. Il fournit aux banques des données fiables, une attribution claire des responsabilités et des définitions communes à l’ensemble des systèmes alimentant les applications d’IA. 

Il assure également la traçabilité des données. Les banques peuvent être amenées à démontrer non seulement ce qu’un système d’IA a produit, mais aussi de quelle manière les données sous-jacentes ont contribué au résultat obtenu. Sans cette traçabilité, la gouvernance des données reste une déclaration de principe plutôt qu’une capacité opérationnelle.

Les règles encadrant l’utilisation des données sont tout aussi importantes. Les banques doivent s’assurer que les données ne sont accessibles et utilisées que dans les conditions autorisées, en particulier lorsque les systèmes d’IA s’appuient sur des données sensibles relatives aux clients, aux transactions ou aux risques.

Faciliter la documentation et la tenue de registres

L’AI Act accorde également une importance considérable à la documentation technique et à la tenue de registres. Pour les banques, ces obligations ne peuvent pas se résumer à un modèle à remplir en fin de processus.

Une piste d’audit complète doit établir le lien entre les données, le modèle, la politique, l’approbation et l’action qui sous-tendent une décision assistée par l’IA.

C’est particulièrement important dans le secteur bancaire, où l’IA peut contribuer à des décisions ayant une incidence sur l’accès au crédit, la détection de la fraude, le traitement des clients ou les décisions en matière de conformité. Les équipes internes chargées des risques, les auditeurs et les régulateurs ont besoin de preuves, et pas seulement d’assurances.

Un socle de données gouverné donne aux banques la structure nécessaire pour produire ces preuves de manière cohérente.

Maintenir la supervision et le contrôle

La conformité repose sur une supervision efficace. Les banques doivent savoir où sont déployés les systèmes d’IA, comment ils se comportent et à quel moment une intervention humaine est nécessaire.

Le contrôle du déploiement fait donc partie intégrante de l’architecture de conformité. Les banques doivent comprendre où les données sont traitées, quels systèmes y ont accès et comment les technologies tierces sont gouvernées.

C’est là que la souveraineté devient plus qu’un simple argument commercial dans les décisions d’achat. Les modèles de déploiement on-premise, dans le cloud du client ou dans un cloud souverain répondent tous à la même exigence fondamentale : les banques doivent maintenir l’IA au sein d’un périmètre de contrôle qu’elles peuvent gérer, surveiller et documenter.

La résilience opérationnelle, l’auditabilité et la souveraineté doivent donc être intégrées aux fondations elles-mêmes. Elles ne peuvent pas être ajoutées ultérieurement sous la forme de contrôles distincts, une fois l’IA déjà en production.

Pourquoi les banques doivent commencer leur conformité AI Act dès maintenant

Ces exigences ne peuvent pas être satisfaites par la seule documentation. Elles reposent sur une architecture de données, des processus de gouvernance, des capacités de surveillance et des mécanismes d’audit qui s’étendent souvent à plusieurs systèmes hérités.

C’est pourquoi cette prolongation de 16 mois est importante. Elle donne aux banques le temps de poser les fondations avant l’entrée en application des obligations relatives aux systèmes à haut risque. Elle ne rend pas ces fondations facultatives.

Les banques qui commencent dès maintenant peuvent avancer vers la mise en production avec des mécanismes de gouvernance, d’auditabilité et de contrôle déjà en place. Celles qui considèrent le report comme une pause risquent de reporter les travaux de mise en œuvre les plus complexes jusqu’aux derniers mois.

Mythe	Réalité
L’AI Act a été reporté, les banques peuvent donc attendre.	Le report offre une période de 16 mois pour poser les fondations, et non une pause.
La conformité commence en décembre 2027.	Les obligations de transparence prévues à l’article 50 s’appliquent depuis le 2 août 2026, tandis que les exigences existantes au titre du RGPD, de DORA et de la réglementation bancaire restent en vigueur.
La conformité de l’IA concerne principalement la documentation.	La documentation repose sur des capacités sous-jacentes telles que la gouvernance des données, la traçabilité, l’auditabilité et les contrôles opérationnels.
Les banques peuvent s’occuper de la gouvernance une fois l’IA en production.	La gouvernance, la surveillance et les contrôles du déploiement doivent être intégrés aux systèmes d’IA dès le départ.
Tout développer en interne est l’option la plus sûre.	Un développement interne peut accroître les coûts, les délais et les risques d’exécution, car les banques doivent elles-mêmes mettre en place les capacités en matière de données, de gouvernance et de déploiement nécessaires à une IA conforme.

La mise en place constitue elle-même un risque

Le report cache un autre piège. Les banques peuvent penser que, puisqu’elles disposent désormais de plus de temps, elles peuvent mettre en place entièrement en interne les capacités nécessaires en matière de données, de gouvernance et de déploiement.

Pour certains établissements, cela peut être possible. Mais ce choix n’est pas sans risque.

Un développement interne implique de réunir des données bancaires fragmentées, d’établir leur traçabilité, de mettre en place les contrôles liés aux politiques, de créer des pistes d’audit de bout en bout, de prendre en charge un déploiement sécurisé et de conserver l’expertise spécialisée nécessaire pour exploiter cet environnement dans la durée. Tout cela doit être réalisé alors même que la banque continue de gérer les risques réglementaires, opérationnels, de sécurité et de mise en œuvre.

Le marché plus large de l’IA d’entreprise montre à quel point cette transition peut être difficile. S&P Global Market Intelligence a constaté que la proportion d’entreprises abandonnant la majorité de leurs initiatives d’IA avant leur mise en production est passée de 17 % à 42 % en un an. En moyenne, les organisations abandonnent 46 % de leurs projets de preuve de concept avant leur mise en production.

Pour les banques, il ne faut pas en conclure que l’IA doit être externalisée sans contrôle. La gouvernance et la responsabilité restent du ressort de l’établissement. Il faut plutôt retenir que la mise en place des fondations nécessaires à une IA conforme constitue elle-même une source de risque.

Travailler avec un fournisseur spécialisé

C’est sur ce point que les décisions d’achat devraient se concentrer au cours des 16 prochains mois. Les banques n’ont pas besoin d’expérimentations en matière d’IA qui créent de nouvelles failles en matière de gouvernance. Elles ont besoin d’un socle permettant de mettre l’IA en production dans un périmètre qu’elles peuvent contrôler, avec les données, la traçabilité, les contrôles liés aux politiques et l’auditabilité nécessaires aux cas d’usage réglementés.

Travailler avec un fournisseur spécialisé peut donner aux banques accès à ces capacités sans les obliger à développer l’intégralité de ce socle à partir de zéro. Cela peut également accélérer le passage de l’expérimentation à la production, tout en permettant à la banque de conserver la responsabilité de la supervision et du contrôle.

SBS AI Foundation est conçue pour répondre à ce besoin. Elle fournit un socle de données gouverné et conçu pour les usages bancaires, sur lequel vient s’appuyer l’IA générative. Elle peut être déployée selon les modalités choisies par la banque : on-premise, dans le cloud du client ou dans un environnement de cloud souverain. Elle comprend une sémantique bancaire préconfigurée, une traçabilité complète des données, des contrôles liés aux politiques et une piste d’audit couvrant les données, le modèle, la politique, l’approbation et l’action.

C’est important, car l’AI Act ne demande pas aux banques de prouver qu’elles ont rédigé une politique. Il leur demande de démontrer que les systèmes d’IA à haut risque peuvent être compris, gouvernés et contrôlés concrètement.

Le report donne aux banques le temps d’effectuer ce travail dans de bonnes conditions. Mais il ne le rend pas facultatif. Les établissements qui agissent dès maintenant peuvent profiter de ce délai pour poser les fondations, passer en production et se préparer aux exigences de conformité avant 2027. Ceux qui attendent risquent de découvrir que la partie la plus difficile de l’AI Act n’a jamais été l’échéance, mais la construction de ces fondations.

Contactez dès aujourd’hui un membre de l’équipe SBS pour découvrir comment votre banque peut mettre à profit ces 16 mois afin de construire un socle gouverné et souverain pour déployer une IA conforme.

FAQ : les points essentiels à connaître sur le report de l’AI Act