ACPR et IA : surveillance du crédit et de l'assurance à partir de décembre 2027

Ce que prévoit le règlement IA¶

Deux cas d'usage financiers figurent à l'annexe III du règlement (UE) 2024/1689. Le point 5 b) vise les systèmes destinés à évaluer la solvabilité des personnes physiques ou à établir leur note de crédit, à l'exception de ceux utilisés pour détecter la fraude financière. Le point 5 c) vise les systèmes destinés à l'évaluation des risques et à la tarification en assurance vie et en assurance maladie pour les personnes physiques.

Pour ces systèmes, l'article 74, paragraphe 6, désigne par défaut l'autorité de surveillance du marché : lorsque le système est utilisé par des établissements financiers régis par la législation de l'Union sur les services financiers, il s'agit de « l'autorité nationale responsable de la surveillance financière de ces établissements », dans la mesure où l'usage est directement lié à la fourniture de ces services. Le paragraphe 7 permet à un État membre de désigner une autre autorité, à condition d'assurer la coordination. Le choix de l'ACPR suit donc la logique du règlement.

Le calendrier est fixé. Le Digital Omnibus a reporté l'application des sections 1 à 3 du chapitre III au 2 décembre 2027 pour les systèmes à haut risque de l'annexe III. À cette date s'appliquent aussi les obligations des déployeurs, dont l'analyse d'impact sur les droits fondamentaux (AIDF) de l'article 27 pour l'évaluation de la solvabilité et la tarification en assurance vie et santé.

Où en est la désignation française¶

La désignation passe par le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne (DDADUE). Déposé au Sénat le 10 novembre 2025 en procédure accélérée, le texte a été adopté en première lecture par le Sénat le 18 février 2026, puis transmis à l'Assemblée nationale le 20 février 2026 (projet de loi n° 2518).

Au Sénat, le Gouvernement a fait adopter un amendement qui organise le schéma de gouvernance : la CNIL devient l'une des autorités compétentes au sens de l'article 70 du règlement IA et l'autorité de surveillance du marché pour plusieurs catégories de l'annexe III. L'exposé des motifs précise que les systèmes utilisés par des institutions financières pour l'évaluation de la solvabilité, des risques ou de la tarification des personnes physiques relèvent de la compétence de l'ACPR.

Dans le communiqué de sa consultation sur l'équité algorithmique, mis à jour le 24 septembre 2026, l'ACPR écrit que, selon le projet de loi DDADUE en cours d'examen par les Assemblées, elle serait désignée autorité de surveillance de marché pour les cas d'usage à haut risque liés aux services financiers, et que ses nouvelles missions débuteraient le 2 décembre 2027. Au 2 octobre 2026, le texte n'est pas définitivement adopté. La désignation reste donc proposée ; le règlement IA s'applique directement, quelle que soit l'autorité finalement désignée.

Ce que l'ACPR a annoncé de sa méthode¶

Lors de sa réunion de place du 1er juillet 2026, l'ACPR a présenté sa feuille de route en partant de l'hypothèse qu'elle serait désignée. Trois éléments méritent l'attention des directions conformité et risques.

Deux sources de compétence. L'ACPR tire ses compétences en matière de surveillance de l'IA du règlement IA, pour les cas 5 b) et 5 c), et des réglementations sectorielles préexistantes, pour tous les systèmes d'IA présentant des risques prudentiels ou de conduite, y compris en protection de la clientèle et en LCB-FT. Au titre de la neutralité technologique, elle dispose déjà de ces compétences, même si, selon ses supports de présentation, elle ne les utilise pas encore en pratique. Un agent d'IA qui trie des alertes LCB-FT n'est pas à haut risque au sens de l'annexe III ; il reste dans le champ de la supervision.

Quatre domaines prioritaires. Performance et robustesse, explicabilité, équité, cybersécurité et vie privée. Ce sont les axes d'une méthodologie d'audit de l'IA que l'ACPR dit vouloir co-construire avec le secteur, et qu'elle présente comme destinée à terme à devenir un référentiel.

Une feuille de route en deux objectifs. Concevoir une surveillance proportionnée (stratégie de collecte d'informations, cotation des risques, priorisation, organisation interne) et accompagner les établissements pour qu'ils se dotent des capacités humaines et techniques leur permettant d'apporter la preuve que les exigences sont respectées.

La consultation sur l'équité algorithmique¶

Le 1er juillet 2026, l'ACPR a publié un document de réflexion, « L'équité algorithmique dans le secteur financier », et l'a soumis à consultation publique jusqu'au 30 septembre 2026. Le sujet est de concilier une tarification différenciée selon le risque avec la prévention de traitements injustes ou discriminatoires, notamment liés à des caractéristiques personnelles sensibles. Le périmètre renvoie aux deux cas d'usage à haut risque : crédit et assurance vie et santé.

Le document couvre le cadre juridique applicable, les notions et métriques d'équité, les méthodes d'identification, de mesure et de correction des biais, et des pistes pour intégrer ces enjeux aux pratiques des établissements. Il s'appuie sur des ateliers techniques menés avec des établissements volontaires. L'ACPR précise qu'il ne constitue pas une position officielle.

Pour un établissement, la conséquence est concrète. L'équité sera l'un des quatre axes de contrôle, et la consultation donne le vocabulaire dans lequel les questions seront posées : quelle définition de l'équité l'établissement retient pour chaque modèle, quelles métriques il suit, comment il traite les variables corrélées à des caractéristiques sensibles, et quelle trace il garde des arbitrages.

La note CNIL–CIANum sur l'IA agentique¶

Le 20 juillet 2026, la CNIL et le Conseil de l'IA et du Numérique ont publié une note exploratoire, « IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs ». Elle ne crée pas d'obligation nouvelle. Elle décrit comment le passage à l'agentique met en tension les principes du RGPD et relève que le règlement IA ne prévoit pas de règles spécifiques pour les agents.

Plusieurs constats concernent directement les banques. Les mémoires persistantes des agents favorisent des profils très précis ; les flux de données entre services rendent l'attribution des responsabilités plus difficile ; et le manque de transparence de ces architectures accentue les risques liés aux décisions automatisées, la note citant les secteurs régulés comme la finance. Parmi les pistes : des règles de transparence renforcées sur l'action agentique, une validation humaine obligatoire pour les décisions les plus critiques, et, dès la conception, le cloisonnement de la mémoire des agents, l'exécution dans des environnements isolés et un bouton d'arrêt d'urgence.

Un établissement qui confie à un agent une partie d'un parcours de crédit ou de souscription se trouve à l'intersection des deux régimes : l'ACPR pour le système à haut risque et sa conduite, la CNIL pour les données personnelles. La note donne les questions que la CNIL posera ; elles recoupent celles de l'ACPR sur la traçabilité et le contrôle humain.

Préparer les preuves pour un contrôle¶

L'ACPR n'a pas encore publié sa méthodologie d'audit. Ses quatre domaines prioritaires et ses critères de 2020 (gestion des données, performance, stabilité, explicabilité) permettent toutefois de préparer les preuves dès maintenant. Le tableau propose une lecture pratique ; il ne reproduit pas une exigence publiée.

Ce que nous avons appris sur les exports de preuves¶

En préparant une démonstration en juillet 2026, nous avons généré un dossier de preuves scellé à partir de nos propres environnements de test. L'export s'est terminé avec la mention « terminé avec omissions » : deux événements de sécurité issus d'une source non faisant foi n'y figuraient pas, et l'export le signalait en avertissement. C'est le bon comportement : un dossier de preuves doit dire ce qu'il ne contient pas. Un contrôleur qui découvre une lacune non déclarée cesse de faire confiance au reste du dossier.

Pour une banque qui prépare un contrôle de l'ACPR, la règle s'applique au-delà de l'outil. L'inventaire des systèmes, les validations et les journaux de décision doivent indiquer leur périmètre et leurs exclusions, avec la raison de chacune.

Calendrier¶

Les dates connues au 2 octobre 2026.

Que faire d'ici décembre 2027¶

Quatre chantiers. Recenser les systèmes relevant des points 5 b) et 5 c), y compris ceux fournis par des tiers et les fonctions de crédit intégrées à des parcours plus larges. Pour chacun, préparer l'AIDF de l'article 27 et les preuves des quatre domaines prioritaires. Documenter une définition de l'équité et des métriques par modèle, en s'appuyant sur le document de réflexion de l'ACPR. Pour les agents, tracer chaque action proposée, la règle appliquée et la décision humaine lorsqu'elle est requise, de façon à pouvoir rejouer une décision devant un contrôleur.

Pour les étapes d'un parcours confiées à un agent, un point de contrôle à l'exécution évalue chaque action avant qu'elle ne s'exécute et produit les traces attendues. KLA Control Plane met en œuvre ce schéma avec quatre issues (allow, warn, require_approval, block) et un enregistrement par décision. Les obligations du déployeur sont détaillées dans le modèle d'AIDF et l'exemple d'AIDF pour la notation de crédit.