Les modèles de crédit et de scoring de risque restent soumis à l’AI Act aujourd’hui
Un accord politique repoussant l’application des obligations liées aux systèmes à haut risque de l’AI Act de l’UE à décembre 2027 a conduit de nombreuses institutions financières à considérer l’ensemble du règlement comme un « problème pour l’année prochaine ». Cette lecture est erronée, et expose réellement les institutions qui utilisent déjà l’IA pour l’octroi de crédits, la détection de fraudes ou la notation des risques. Le report ne concerne qu’un chapitre précis du texte. Plusieurs autres obligations n’ont jamais été concernées et certaines s’appliquent déjà.
Il est facile de confondre un report ciblé avec un sursis général, surtout lorsque les titres de presse simplifient à l’extrême : « Les règles de l’AI Act sont repoussées », sans préciser lesquelles. Le risque concret, c’est qu’une institution cesse discrètement toute préparation, pour découvrir ensuite que les obligations qui la concernent encore — transparence, devoirs imposés aux fournisseurs de modèles d’IA généralistes qui alimentent souvent les outils de scoring — n’ont jamais fait l’objet d’un report. Cet article détaille ce que le report couvre réellement pour les institutions financières, ce qui reste inchangé, et ce que cela implique pour la gouvernance de l’IA qui devrait déjà être engagée.
Résumé Exécutif
L’amendement Digital Omnibus à l’AI Act de l’UE a repoussé l’application des obligations liées aux systèmes à haut risque, actuellement jusqu’en décembre 2027, en raison de normes techniques inachevées. Ce report est réel et précis : il s’applique au chapitre III. Il ne concerne pas les interdictions de pratiques prohibées, ni les obligations imposées aux fournisseurs de modèles d’IA généralistes, ni les exigences de transparence sur les contenus générés par l’IA ou la divulgation des interactions avec l’IA, dont plusieurs s’appliquent déjà aux institutions financières. Pour les responsables risques et conformité, cela signifie que la date de 2027 n’est pas le bon jalon si l’objectif est de traiter chaque obligation de l’AI Act comme encore non applicable.
Résumé des points clés
- Seules les obligations du chapitre III sur les systèmes à haut risque ont été reportées, pas l’ensemble du texte. Le scoring de crédit figure dans l’annexe III des catégories à haut risque, reporté à décembre 2027, tandis que les autres chapitres suivent leur calendrier initial.
- Les obligations de transparence de l’article 50 n’ont pas été repoussées et sont déjà en vigueur. Divulguer l’interaction avec l’IA et signaler les contenus générés par l’IA sont des obligations actuelles pour tout service client utilisant l’IA, pas futures.
- Les obligations imposées aux fournisseurs de modèles d’IA généralistes ne sont pas concernées par le report. De nombreux outils de scoring de crédit ou de fraude reposent sur ces modèles, et les obligations associées s’appliquent depuis avant même la proposition de report.
- Les pratiques d’IA interdites restent proscrites, indépendamment du calendrier des systèmes à haut risque. Le report concerne le moment où les systèmes à haut risque devront être évalués pour leur conformité, pas la possibilité de recourir à des pratiques à risque inacceptable.
- La gouvernance mise en place dès maintenant pour la transparence et la documentation servira aussi à la préparation aux exigences à haut risque plus tard. Attendre 2027 pour commencer revient à devoir tout reconstruire deux fois.
Ce que le Digital Omnibus a réellement reporté pour le scoring de crédit et la gestion du risque
Le mécanisme de report a été introduit parce que les normes techniques et les outils d’évaluation de conformité nécessaires à l’application des obligations à haut risque n’étaient pas prêts à temps, et non parce que les objectifs politiques sous-jacents auraient changé.
Un report ciblé sur le chapitre III, pas une remise à zéro du texte
Le report concerne l’évaluation de conformité, la documentation technique et le régime de conformité complet auquel sont soumis les systèmes de scoring de crédit et de détection de fraude, en tant que catégories de l’annexe III. Tout ce qui relève d’un autre chapitre suit le calendrier initial du texte.
Des dates butoirs existent précisément parce que les normes doivent encore être finalisées
La nouvelle date fait office de date limite : les obligations à haut risque s’appliqueront dès que les normes nécessaires seront prêtes, avec décembre 2027 comme échéance maximale. Les régulateurs attendent des institutions qu’elles poursuivent leur préparation durant cette période.
Ce qui s’applique déjà aux institutions financières, report ou non
Plusieurs obligations relèvent entièrement d’autres chapitres et s’appliquent selon le calendrier initial.
Les obligations pour les modèles d’IA généralistes sont antérieures au report
Les fournisseurs de modèles d’IA généralistes, qui sous-tendent de nombreux outils de scoring et de détection de fraude, sont soumis à des obligations de documentation, de transparence et de sécurité depuis avant même la proposition du Digital Omnibus.
Les obligations de transparence et de divulgation sont déjà en vigueur
L’obligation d’informer les clients lorsqu’ils interagissent avec un système d’IA s’applique selon le calendrier initial du texte et n’a pas été modifiée par l’Omnibus. Une institution qui déploie une IA orientée client pour le crédit ou la fraude sans traiter ces obligations n’est pas dans une période de grâce.
Pourquoi considérer le report comme une pause coûtera plus cher plus tard
Une institution qui arrête toute gouvernance de l’IA sous prétexte que « l’échéance est repoussée à 2027 » abandonne des fondations qui auraient facilité le respect des exigences à haut risque le moment venu.
La documentation et la traçabilité mises en place dès maintenant ne sont pas du travail perdu
Les capacités de tenue de registres et de contrôle d’accès requises à terme pour les systèmes à haut risque recoupent largement ce qu’exigent déjà les obligations de transparence et celles sur les modèles généralistes.
Construire une gouvernance de l’IA en fonction de ce qui s’applique aujourd’hui
La démarche concrète consiste à distinguer les obligations de l’AI Act déjà en vigueur de celles qui relèvent d’un calendrier différé jusqu’en 2027, et à prioriser immédiatement la gouvernance sur la première catégorie.
Comment un Data Control Plane soutient les obligations de gouvernance de l’IA déjà en vigueur
Le Data Control Plane de Kiteworks applique des contrôles zero trust à chaque action réalisée par un utilisateur ou un agent IA sur tous les canaux, et consigne chaque événement dans un journal d’audit inviolable et non échantillonné qui alimente directement les outils SIEM. Grâce à une traçabilité exhaustive et jamais échantillonnée, les institutions peuvent produire un historique détaillé et interrogeable des accès aux données liés à l’IA, conforme aux exigences actuelles de transparence et de documentation, et qui répondra demain à des exigences accrues pour les systèmes à haut risque.
Les institutions qui souhaitent voir comment des preuves continues et multi-canaux soutiennent leurs obligations actuelles de gouvernance de l’IA peuvent planifier une démo personnalisée.
Foire aux questions
Seules les obligations du chapitre III sur les systèmes à haut risque ont été reportées à décembre 2027 ; le report ne concerne pas le reste du texte.
Oui, les exigences de transparence de l’article 50 sur la divulgation de l’interaction avec l’IA et l’étiquetage des contenus générés par l’IA sont déjà en vigueur et n’ont pas été repoussées.
Oui, ces obligations n’ont pas été concernées par le Digital Omnibus et s’appliquent depuis avant même la proposition de report, impactant de nombreux outils de scoring de crédit et de fraude.
La documentation et la traçabilité mises en place dès maintenant pour les obligations actuelles de transparence recoupent les exigences à venir pour les systèmes à haut risque ; reporter le travail revient à devoir tout reconstruire plus tard.