IA Act banque et assurance : ce qui s’applique au 2 août 2026 et ce qui bascule en 2027

Le Digital Omnibus reporte au 2 décembre 2027 les obligations applicables aux systèmes d’IA à haut risque de l’annexe III, parmi lesquels figurent ceux dédiés à l’évaluation de la solvabilité et à la tarification en assurance. Il ne modifie ni la date d’application générale du Règlement sur l’Intelligence Artificielle, fixée au 2 août 2026, ni le contenu de ces obligations. Le calendrier se desserre sur un point précis, et sur ce point seulement.

Au 2 août 2026, le règlement (UE) 2024/1689 relatif à l’intelligence artificielle devient applicable dans son ensemble, à l’exception des obligations propres aux systèmes d’IA à haut risque¹. Pour un établissement bancaire ou un organisme d’assurance, deux effets se produisent : les obligations de transparence de l’article 50 deviennent exigibles et le dispositif de surveillance du marché devient opérationnel. Les exigences applicables aux systèmes de l’annexe III, parmi lesquels ceux dédiés à l’évaluation de la solvabilité et à la tarification en assurance-vie et santé, attendront quant à elles le 2 décembre 2027.

Ce qui s’applique au 2 août 2026, ce qui bascule ensuite

L’application générale du règlement n’a pas bougé

L’article 113 du RIA fixe la date d’application générale au 2 août 2026. Le Digital Omnibus modifie bien cet article pour décaler certaines échéances, mais il laisse cette date intacte.

L’article 50 s’applique donc sans report. Il impose notamment d’informer les personnes lorsqu’elles interagissent avec un système d’IA, de rendre identifiable le contenu de synthèse, de signaler les hypertrucages et d’identifier les textes d’intérêt public produits par une IA. Un établissement qui exploite un assistant conversationnel est concerné dès août 2026.

Une seule nuance doit être relevée. Les systèmes mis sur le marché avant le 2 août 2026 disposent d’un délai supplémentaire, jusqu’au 2 décembre 2026, pour le seul marquage lisible par machine du paragraphe 2 de l’article 50. Il s’agit d’une mesure transitoire ciblée, et non d’un report général de l’article 50.

Le reste est déjà en place : les pratiques interdites et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025 et les obligations relatives aux modèles à usage général depuis le 2 août 2025.

Les obligations des SI à « haut risque » basculent en 2027 et en 2028

Le compromis final retient des dates fixes et non le report conditionné aux normes harmonisées qu’envisageait la proposition initiale. Les systèmes d’IA de l’annexe III utilisés de façon autonome relèveront des obligations correspondantes au 2 décembre 2027. Ceux qui sont intégrés à des produits couverts par l’annexe I suivront au 2 août 2028².

Le report ne touche pas au contenu des obligations. Gestion des risques, gouvernance des données, documentation technique, journalisation, contrôle humain, exactitude et cybersécurité, évaluation de la conformité, enregistrement : le bloc reste identique. L’enregistrement du système que le fournisseur estime ne pas être à haut risque a même été maintenu, sous une forme simplifiée.

Les cas d’usage financiers visés par l’annexe III

L’annexe III ne vise pas le secteur financier dans son ensemble. Elle retient deux cas d’usage, rattachés à l’accès aux services privés essentiels.

L’évaluation de la solvabilité et le scoring de crédit

Le point 5 b) de l’annexe III vise les « systèmes d’IA destinés à être utilisés pour évaluer la solvabilité des personnes physiques ou pour établir leur note de crédit, à l’exception des systèmes d’IA utilisés à des fins de détection de fraudes financières »³.

Le projet de lignes directrices publié par la Commission le 19 mai 2026, encore en consultation, y rangerait tout système évaluant la solvabilité en vue de l’accès à des services essentiels. En seraient écartés les outils servant exclusivement à la tarification, ceux dont la finalité première est la détection de la fraude ainsi que les modèles internes à usage prudentiel.

La tarification et l’évaluation des risques en assurance

Le point 5 c) vise les « systèmes d’IA destinés à être utilisés pour l’évaluation des risques et la tarification en ce qui concerne les personnes physiques en matière d’assurance-vie et d’assurance maladie ». Le même projet en retiendrait une lecture large, couvrant le fait de proposer, de refuser, de retirer ou de fournir un service, mais aussi d’établir ou de modifier des garanties, des exclusions et des franchises. L’assurance maladie serait entendue par référence aux branches « accidents » et « maladie » définies par la réglementation européenne Solvabilité II, tandis que l’assurance-vie couvrirait notamment l’assurance emprunteur et la dépendance.

Trois points appellent l’attention. La finalité prévue serait le seul critère de qualification, l’intervention d’un opérateur humain restant sans incidence. Les activités des points 5 b) et 5 c) impliquent généralement un profilage, ce qui rend difficile, en pratique, le recours à l’exception de l’article 6, paragraphe 3. Enfin, plusieurs systèmes combinés pour influencer une même décision seraient traités comme un système unique⁴.

Notre article consacré à l’auto-classification au titre de l’article 6 détaille le raisonnement attendu. Les cas limites, eux, appellent un cadrage personnalisé.

Fournisseur ou déployeur : ce que l’article 27 impose au secteur

La qualification porte aussi sur le rôle joué par l’établissement.

L’établissement qui développe son propre moteur de scoring en assume le régime de fournisseur, évaluation de la conformité et enregistrement compris. Celui qui déploie une solution acquise relève de l’article 26 : usage conforme aux instructions, pertinence des données d’entrée, attribution du contrôle humain, conservation des journaux.

Une obligation désigne le secteur de façon nominative. L’article 27 impose une analyse d’impact sur les droits fondamentaux aux organismes de droit public, aux entités privées fournissant des services publics et aux déployeurs des systèmes visés aux points 5 b) et 5 c) de l’annexe III⁵. Sur ces deux cas d’usage, banques et assureurs sont donc les seuls opérateurs privés désignés par leur activité, et non par une mission de service public. L’analyse précède la première utilisation et complète l’analyse d’impact relative à la protection des données sans s’y substituer.

Pourquoi l’ACPR se retrouve en position de superviser certains usages de l’IA dans le secteur financier

Le mécanisme figure dans le règlement lui-même. Son article 74, paragraphe 6, prévoit que pour les systèmes à haut risque « mis sur le marché, mis en service ou utilisés par des établissements financiers régis par la législation de l’Union sur les services financiers », l’autorité de surveillance du marché est l’autorité nationale chargée de leur surveillance financière⁶. La compétence suit ainsi le superviseur sectoriel, plutôt que la technologie.

Le règlement Digital Omnibus renforce cette logique. Le Bureau de l’IA devient seul compétent pour certains systèmes fondés sur un modèle d’IA à usage général, lorsque le modèle et le système sont développés par le même fournisseur ou par des fournisseurs appartenant à la même entreprise, mais les systèmes fournis par les établissements financiers demeurent placés sous la surveillance des autorités nationales lorsqu’ils relèvent de l’article 74, paragraphe 6.

En France, l’ACPR prépare sa supervision dans l’hypothèse de sa désignation comme autorité de surveillance du marché pour certains systèmes d’IA à haut risque du secteur financier. Prévue par le projet de loi DDADUE, cette désignation doit encore être validée par le Parlement⁷ : cette compétence demeure donc prospective tant que le texte national n’est pas entré en vigueur.

La différence avec une supervision généraliste est concrète. L’autorité sectorielle connaît déjà les établissements soumis à son contrôle, dispose de pouvoirs de contrôle sur place et pratique de longue date la validation de modèles. Ses compétences en matière d’IA proviendraient de deux sources : les exigences nouvelles du règlement et celles qui découlent déjà d’une réglementation sectorielle technologiquement neutre. Une cartographie IA ne se juxtapose donc pas au dispositif de conformité existant : elle s’y intègre.

L’ACPR a engagé des travaux méthodologiques avec la Place autour de quatre domaines : performance et robustesse, explicabilité, équité, cybersécurité et protection de la vie privée. Un document de réflexion sur l’équité algorithmique est en consultation jusqu’au 30 septembre 2026. Sans constituer encore une position officielle, ces travaux préfigurent la future méthodologie d’audit de l’ACPR. Le cabinet propose un accompagnement juridique du secteur Banque & Assurance sur ces sujets.

Trois chantiers qui ne dépendent pas des normes harmonisées

Les normes harmonisées du CEN-CENELEC, qui doivent permettre de démontrer la conformité, sont toujours attendues. Leur absence explique largement le report. Elle ne bloque aucun des trois chantiers suivants.

Cartographier les systèmes d’IA

L’inventaire doit couvrir les systèmes développés en interne, acquis auprès d’un éditeur ou intégrés à un outil existant. Pour chacun, il faut décrire précisément la finalité prévue, puisqu’elle commande la qualification, et identifier le rôle tenu. Deux angles morts reviennent : les usages non déclarés dans les métiers, et les fonctions génératives ajoutées par un éditeur à un logiciel en production.

Fixer la gouvernance et la politique d’usage

Il s’agit de désigner qui décide, qui valide et qui documente. Une politique d’usage fixe les usages autorisés, ceux qui sont proscrits et le circuit de validation avant mise en production, en s’articulant avec le contrôle interne existant. La traçabilité des qualifications compte autant que la qualification retenue : c’est elle qui la rend défendable.

Encadrer les contrats avec les fournisseurs de modèles

C’est le chantier le plus contraint par le temps, pour une raison simple : un contrat signé aujourd’hui produira encore ses effets en décembre 2027. Il sera alors trop tard pour négocier ce qui n’aura pas été prévu dès l’origine.

Ce qu’un contrat signé aujourd’hui doit déjà prévoir

Pour un système qui deviendra à haut risque en 2027, plusieurs points méritent d’être intégrés au contrat dès à présent, sous réserve d’adaptation à votre situation :

• l’accès à la documentation dont le déployeur a besoin pour respecter ses propres obligations : instructions d’utilisation, limites de performance, conditions de surveillance humaine ;
• un engagement de mise en conformité à l’échéance applicable, avec un calendrier et un point de contact identifié ;
• l’accès aux journaux, leur durée de conservation et la coopération due lorsqu’une autorité réclame des éléments, y compris les jeux de données d’entraînement ;
• le traitement des mises à jour et des modifications substantielles du modèle, avec information préalable et examen de leur effet sur la qualification ;
• le sort des cas où le déployeur devient lui-même fournisseur au sens de l’article 25 : apposition de sa marque, changement de destination, modification substantielle ;
• l’articulation avec les cadres déjà applicables, dont le régime des prestataires informatiques critiques et le RGPD, notamment le traitement de données sensibles pour corriger les biais, désormais ouvert aux déployeurs sous réserve de stricte nécessité ;
• la réversibilité et la continuité de service.

Cette liste ne dispense pas d’un examen au cas par cas, que le cabinet conduit au titre de sa pratique des contrats informatiques. Les points de friction se logent souvent dans ce que le fournisseur accepte, ou non, de garantir.

Le cabinet accompagne banques et assureurs dans le cadrage de leur cartographie IA et la construction de leur documentation de qualification, au titre de son expertise en intelligence artificielle. Pour un cadrage adapté à votre organisation, demandez un devis.

Questions fréquentes

L’IA Act est-il reporté pour la banque et l’assurance ?

Non, pas dans son ensemble. Le Digital Omnibus², modifiant le RIA et entré en vigueur le 27 juillet 2026, reporte uniquement l’entrée en application des obligations pesant sur les systèmes d’IA à haut risque : au 2 décembre 2027 pour les systèmes autonomes de l’annexe III et au 2 août 2028 pour ceux qui sont intégrés à des produits réglementés de l’annexe I. La date d’application générale du règlement reste fixée au 2 août 2026, notamment pour les obligations de transparence de l’article 50. Le contenu des obligations applicables aux SIA à haut risque est inchangé. Seul le calendrier bouge.

Le scoring de crédit est-il un système d’IA à haut risque ?

Oui. Le point 5 b) de l’annexe III du Règlement sur l’Intelligence Artificielle vise les systèmes destinés à évaluer la solvabilité des personnes physiques ou à établir leur note de crédit, à l’exception de ceux qui servent à détecter des fraudes financières. Le projet de lignes directrices de la Commission du 19 mai 2026, encore soumis à consultation, écarterait également les outils dédiés exclusivement à la tarification et les modèles internes à finalité uniquement prudentielle. Les obligations correspondantes deviendront exigibles au 2 décembre 2027, mais la qualification se documente en amont.

Quelle autorité contrôle l’intelligence artificielle dans le secteur financier ?

L’article 74, paragraphe 6, du règlement (UE) 2024/1689 confie la surveillance du marché des systèmes d’IA à haut risque utilisés par les établissements financiers à l’autorité nationale chargée de leur surveillance financière. En France, l’ACPR se prépare à une éventuelle désignation à ce titre, portée par le projet de loi DDADUE et encore soumise à la validation du Parlement. L’autorité a engagé des travaux méthodologiques avec la Place autour de quatre axes : performance et robustesse, explicabilité, équité, cybersécurité et vie privée.

Une banque doit-elle réaliser une analyse d’impact sur les droits fondamentaux ?

Oui, lorsqu’elle déploie un système d’IA à haut risque relevant des points 5 b) ou 5 c) de l’annexe III, c’est-à-dire l’évaluation de solvabilité ou la tarification en assurance-vie et santé. L’article 27 du règlement soumet à cette analyse les organismes de droit public, les entités privées fournissant des services publics et les déployeurs de systèmes relevant de ces deux cas d’usage. L’exercice précède la première utilisation et complète l’analyse d’impact relative à la protection des données sans s’y substituer. Il deviendra exigible avec le régime à haut risque, à compter du 2 décembre 2027.

Que peut faire un établissement avant la publication des normes harmonisées ?

Trois chantiers ne dépendent pas des normes du CEN-CENELEC, toujours attendues. Le premier est la cartographie des systèmes d’IA, avec pour chacun sa finalité prévue, le rôle tenu par l’établissement et son rattachement éventuel à l’annexe I ou à l’annexe III. Le deuxième est la gouvernance : politique d’usage, circuit de validation avant mise en production, traçabilité des décisions de qualification. Le troisième est contractuel : un contrat signé aujourd’hui produira ses effets en décembre 2027, et les garanties non négociées à la signature seront ensuite difficiles à obtenir.

Footnotes

1 Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, article 113.

2 Parlement européen, adoption du 16 juin 2026 ; Conseil de l’Union européenne, adoption définitive du 29 juin 2026 (Digital Omnibus sur l’IA, procédure 2025/0359(COD)).

3 Règlement (UE) 2024/1689, annexe III, point 5, b) et c).

4 Commission européenne, projet de lignes directrices sur la classification des systèmes d’IA à haut risque, 19 mai 2026, soumis à consultation publique.

5 Règlement (UE) 2024/1689, article 27, paragraphe 1.

6 Règlement (UE) 2024/1689, article 74, paragraphe 6.

7 ACPR, « Encadrement et surveillance de l’IA dans le secteur financier », support de la réunion de Place du 1er juillet 2026.