L’AI Act déploie ses obligations par phases et l’ESMA a prévenu dès 2024 : la responsabilité ne se délègue pas à la machine. Nous vous aidons à inventorier les usages de l’IA de votre entité, à classer leur risque et à mettre en place les contrôles que MiFID II exige dès aujourd’hui.
Vous utilisez l’IA avec vos clients ou dans vos opérations ? Diagnostic gratuit
Dites-nous quels outils d’IA votre entité utilise (ou souhaite utiliser) et nous vous remettons une cartographie priorisée des risques et des contrôles.
De l’inventaire des usages au contrat avec le prestataire : les six services par lesquels nous appliquons l’AI Act et MiFID II à vos opérations réelles.
Nous classons vos systèmes au regard du règlement (UE) 2024/1689 — pratiques interdites, haut risque, GPAI —, nous les priorisons selon le calendrier d’application et nous concevons un plan de conformité proportionné à votre usage réel.
La réglementation des services d’investissement n’attend pas 2026 : si l’IA intervient dans l’adéquation, les recommandations ou l’information du client, l’entité répond dès maintenant de son contrôle et de son explicabilité. Nous intégrons l’IA dans vos politiques.
Si l’IA ne se contente pas d’assister mais recommande ou gère, il faut revoir l’ensemble de la plateforme et son agrément.
Profilage par IA : utile pour détecter des incohérences, dangereux sans traçabilité. Le test reste le vôtre, pas celui du modèle.
L’IA arrive souvent par un prestataire : registre d’informations, clauses de l’art. 30 et gestion des incidents au titre de DORA.
Modèles de tiers dans des processus critiques : ce que l’entité doit se réserver par contrat et ce qu’elle doit pouvoir auditer.
Quatre conversations réelles de ces derniers mois. L’IA est déjà là ; la question est de savoir si elle est gouvernée.
« Notre équipe utilise un assistant d’IA pour préparer des propositions d’investissement. Cela nous fait gagner des heures, mais que se passe-t-il si une recommandation tourne mal ? Peut-on dire que c’est l’outil qui l’a suggérée ? »
« Notre modèle note la solvabilité de clients particuliers. On nous a dit que c’est du haut risque au regard de l’AI Act et qu’août 2026 est une échéance sérieuse. Il nous faut un plan avec des jalons. »
« Nous générons des créations et des audiences avec l’IA pour attirer des investisseurs. La conformité a bloqué une campagne : elle voulait savoir qui relisait les messages avant leur publication. »
« Nous utilisons l’IA pour les rapprochements, les alertes et les synthèses d’appels. Cela semble à faible risque, mais nous voulons des critères clairs sur ce qu’elle peut décider seule et ce qu’elle ne peut pas. »
Aucun de ces défauts n’est technologique. Les trois relèvent de la gouvernance : qui répond, ce qui s’explique et comment on classe.
Déléguer la responsabilité à l’outil : l’ESMA l’a dit publiquement en 2024 : l’entité répond des décisions même si elles sont générées par une IA. « C’est le modèle qui l’a dit » ne tient ni devant le client ni devant le superviseur.
Utiliser l’IA pour l’adéquation sans pouvoir l’expliquer : si le profilage ou la proposition sortent d’un modèle que personne ne sait justifier, votre test d’adéquation perd sa valeur probante précisément là où vous en avez le plus besoin.
Mal classer (ou classer trop tard) au regard de l’AI Act : confondre un usage à haut risque — comme le credit scoring de personnes physiques — avec un usage mineur, ou découvrir le calendrier échelonné quand l’échéance est déjà là, transforme un projet ordonné en incendie.
| Usage de l’IA | Niveau de risque réglementaire | Contrôle attendu |
|---|---|---|
| Credit scoring de personnes physiques | Haut risque au regard de l’AI Act ; l’essentiel des obligations s’applique à partir d’août 2026 | Gestion des risques du système, qualité des données, documentation technique, supervision humaine et transparence. |
| Profilage d’adéquation et génération de recommandations | Pas de haut risque en soi, mais MiFID II exige déjà contrôle, explicabilité et responsabilité pleine de l’entité | Traçabilité du profilage, validation du modèle, revue humaine des propositions et intégration aux politiques MiFID II. |
| Marketing, communication et automatisation interne | Risque réglementaire moindre en règle générale, sans échapper au cadre | Revue préalable des messages publicitaires, critères d’usage interne et supervision proportionnée à l’impact sur les clients. |
Nous inventorions vos usages de l’IA, nous les classons au regard de l’AI Act, nous les intégrons à vos politiques MiFID II et nous bouclons les contrats et contrôles avec les prestataires. Une conformité proportionnée : ni freiner l’innovation, ni signer des chèques en blanc sur le risque.
Non. Le règlement (UE) 2024/1689 encadre l’IA par niveaux de risque : il interdit quelques pratiques extrêmes, impose des obligations renforcées aux systèmes à haut risque et soumet le reste à des exigences bien plus légères.
Le conseil financier ne figure pas parmi les usages à haut risque en soi. Cela ne signifie pas carte blanche : cela signifie que votre cadre exigeant n’est pas (encore) l’AI Act, mais la réglementation sectorielle qui vous est déjà applicable — MiFID II et tout son dispositif de conduite et de contrôle. Nous le développons dans notre service de mise en conformité à l’AI Act.
Il est échelonné, et mieux vaut retenir les trois dates :
Conséquence pratique : en 2026, il n’y a plus de marge pour des inventaires en suspens. Si un système de votre entité pouvait être à haut risque, la classification aurait dû être faite hier.
Le cas emblématique du secteur est l’évaluation de la solvabilité ou credit scoring de personnes physiques, expressément inclus parmi les usages à haut risque. Un tel système doit respecter l’ensemble du dispositif : gestion des risques, gouvernance des données, documentation technique, supervision humaine et transparence.
Le conseil en investissement, le profilage d’adéquation ou la génération de propositions ne sont pas listés comme à haut risque en soi, mais la classification se fait système par système et usage par usage : la même technologie peut relever de catégories différentes selon l’usage que vous en faites.
Dans une déclaration publique de 2024 sur l’usage de l’IA dans les services d’investissement, l’ESMA a fixé le critère qui structure tout le reste : les obligations de MiFID II s’appliquent intégralement lorsqu’une IA intervient, et la responsabilité envers le client reste celle de l’entité, pas celle de l’outil ni de son prestataire.
En clair : agir au mieux des intérêts du client, contrôler la technologie que vous utilisez et pouvoir expliquer les résultats ne sont pas de bonnes pratiques facultatives, c’est le standard exigible aujourd’hui. C’est le prisme par lequel nous examinons chaque cas dans la conformité MiFID II.
Oui, avec des contrôles proportionnés à l’impact. Trois règles pratiques : rien de ce qui est généré par l’IA n’arrive au client sans revue humaine définie (qui valide, selon quels critères) ; les limites d’usage sont écrites (ce que l’outil peut faire et ce qui lui est interdit) ; et tout est enregistré afin de pouvoir être reconstitué.
Et une frontière qui n’admet aucune nuance : si l’outil finit par formuler des recommandations personnalisées portant sur des instruments précis, vous fournissez du conseil en investissement, avec son activité réservée et son régime complet. L’encadrement des plateformes est traité dans la page robo-advisors.
L’entité. Face au client comme face au superviseur, aucun transfert n’est possible : la recommandation est la vôtre, qu’elle ait été rédigée par un salarié, par un algorithme interne ou par un modèle acquis auprès d’un tiers.
Le contrat avec le prestataire sert à répartir les coûts en interne — garanties, indemnités, niveaux de service —, mais ne déplace pas d’un millimètre la responsabilité réglementaire. C’est pourquoi les contrats d’IA se négocient selon une logique d’externalisation de fonctions : information, audit et sortie ordonnée.
Comme appui, très bien ; comme substitut opaque, non. L’IA peut aider à détecter des incohérences dans les réponses, à tenir les profils à jour ou à préparer des propositions soumises à relecture. Ce qu’elle ne peut pas faire, c’est transformer le test d’adéquation en boîte noire : le profil et la recommandation doivent pouvoir être justifiés par des critères compréhensibles et reconstituables.
Règle d’or : si demain la CNMV vous demande d’expliquer pourquoi ce client a reçu cette proposition, la réponse doit exister par écrit, avec dates et versions. Si elle dépend de ce que le modèle voudra bien vous répondre, vous n’avez pas de preuve : vous avez un problème.
Un rôle central, car la plupart des IA entrent dans les entités par l’intermédiaire de tiers. DORA — applicable depuis janvier 2025 — oblige à tenir le registre d’informations des prestataires TIC, à intégrer les clauses contractuelles de l’art. 30 et à gérer les incidents ; et si le modèle soutient une fonction critique, s’y ajoute le régime d’externalisation, avec un contrôle effectif de l’entité.
En pratique : avant de brancher un modèle externe sur un processus important, passez en revue le contrat, l’information disponible sur le système et le plan de sortie. Nous vous accompagnons via nos services DORA.
Vous n’avez pas besoin d’un nouveau département : vous avez besoin d’un inventaire, d’une classification et de contrôles dotés d’un responsable. Dans cet ordre.
Listez tous les usages réels de l’IA, y compris les non officiels : l’assistant que l’équipe commerciale utilise de son propre chef compte autant que le modèle de l’entreprise. Ce qui n’est pas dans l’inventaire ne peut pas être gouverné.
Chaque usage est examiné au prisme de l’AI Act (interdit, haut risque, autre ?) et de MiFID II (touche-t-il le client, l’adéquation, l’information ?). Du croisement ressortent la priorité et le niveau de contrôle exigible.
Validation avant déploiement, supervision humaine dotée d’autorité, enregistrement des décisions et revue périodique. Le tout documenté : le jour de la demande d’informations, on n’improvise pas.
Pour le détail normatif, consultez notre service de mise en conformité à l’AI Act ; pour l’intégration dans votre activité d’investissement, la conformité MiFID II.
Neuf termes qui croisent l’AI Act et la réglementation des services d’investissement. Vous les retrouverez dans les questionnaires des superviseurs, les contrats de prestataires et les comités internes.
Le cadre européen de l’intelligence artificielle : il réglemente par niveaux de risque, des pratiques interdites aux usages à risque minimal, avec une application échelonnée.
Systèmes listés par l’AI Act et soumis à des obligations renforcées : gestion des risques, données de qualité, documentation et supervision humaine. Le credit scoring de personnes physiques en fait partie.
Les grands modèles qui servent à de multiples tâches. Leurs obligations spécifiques s’appliquent depuis août 2025 et pèsent surtout sur leurs fournisseurs.
Catégories d’usage que l’AI Act interdit directement depuis février 2025. Aucun projet d’une entité financière ne devrait s’en approcher.
Capacité d’expliquer pourquoi le système a profilé, recommandé ou écarté quelque chose, en des termes que comprennent le client et le superviseur.
Des responsables disposant de l’autorité et des moyens pour relire les résultats de l’IA, les corriger et arrêter le système si nécessaire.
Prise de position publique de l’ESMA sur l’IA dans les services d’investissement : les obligations MiFID restent entières et la responsabilité incombe à l’entité.
Usage de modèles pour classer les clients et estimer leur profil d’investisseur. Utile comme appui ; délicat s’il remplace le test sans traçabilité.
La plupart des modèles arrivent via des tiers. DORA exige un registre d’informations, des clauses contractuelles et la gestion des incidents ; l’externalisation, un contrôle effectif.
Plein cadre MiFID II : l’appui de l’IA n’abaisse ni les exigences du test ni sa valeur probante.
Traçabilité du profil, validation documentée du modèle et revue humaine des cas limites.
Responsabilité entière de l’entité pour chaque proposition, avec explicabilité et revue avant qu’elle n’atteigne le client.
Circuit d’approbation humain, enregistrement des propositions générées et justification reproductible de chaque recommandation.
Messages générés par IA soumis au même filtre que toute publicité financière : clarté, équilibre et approbation préalable.
Procédure de revue publicitaire, versions approuvées et registre des campagnes.
Traitement à haut risque au regard de l’AI Act, avec l’essentiel des obligations applicable à partir d’août 2026.
Classification formelle du système, plan de mise en conformité avec jalons et documentation technique du modèle.
Usage proportionné : critères clairs sur ce que la machine décide seule et supervision adaptée à l’impact.
Politique d’usage interne de l’IA, matrice des décisions automatisables et registre des incidents.
Cinq symptômes que nous retrouvons dans presque tous les diagnostics initiaux. Aucun ne se règle tout seul.
L’IA ne se gouverne pas dans le vide : elle s’appuie sur la fonction de contrôle des risques, sur la gestion des prestataires et sur le cadre des données personnelles. Ces pièces complètent votre dispositif de gouvernance.
La deuxième ligne doit aussi surveiller le risque de modèle : comment intégrer l’IA dans la cartographie des risques de l’entité.
Pour les projets innovants avec de l’IA, l’espace de test contrôlé de la loi 7/2020 peut être la voie d’entrée.
L’IA se nourrit de données personnelles : le délégué à la protection des données fait partie du dispositif de gouvernance.
Intégrez l’IA à votre programme de conformité général au lieu de la traiter comme un projet isolé.
Commencez par le diagnostic AI Act et son articulation avec la conformité MiFID II. Si votre cas est une plateforme automatisée complète, consultez la page robo-advisors ; si l’IA entre par des prestataires, DORA.
Dites-nous quels processus l’IA soutient dans votre entité — profilage, propositions, marketing, back office — et nous vous expliquons ce qu’exige l’AI Act et ce qu’exige déjà MiFID II.
L’intelligence artificielle travaille déjà au sein des entités d’investissement espagnoles : elle profile les clients, prépare des propositions, génère des campagnes et automatise le back office. Le règlement (UE) 2024/1689 (AI Act) l’encadre avec une application échelonnée, mais l’erreur la plus coûteuse est de croire qu’il existe un vide tant que ce calendrier n’est pas achevé : une entité supervisée ne part jamais de zéro, car MiFID II exige déjà contrôle, explicabilité et responsabilité pleine sur toute technologie qui touche le client. Cette page ordonne les deux plans et en fait une feuille de route.
L’AI Act s’applique par phases : les interdictions de pratiques proscrites sont en vigueur depuis février 2025 ; les obligations des modèles d’IA à usage général (GPAI) depuis août 2025 ; et l’essentiel des obligations pour les systèmes à haut risque depuis août 2026. Dans le secteur financier, le cas de haut risque par excellence est l’évaluation de la solvabilité ou credit scoring de personnes physiques, qui entraîne gestion des risques, gouvernance des données, documentation technique, supervision humaine et transparence. La classification se fait système par système : la même technologie peut être à haut risque dans un usage et ne pas l’être dans un autre.
Le conseil financier ne figure pas parmi les usages à haut risque de l’AI Act. Y voir une zone franche serait une erreur : l’ESMA a publié en 2024 une déclaration sur l’usage de l’IA dans les services d’investissement, au message sans équivoque : les obligations de MiFID II s’appliquent intégralement et la responsabilité ne se délègue pas à l’IA ni à son prestataire. Si un modèle intervient dans le test d’adéquation, dans la génération de recommandations ou dans l’information du client, l’entité doit le contrôler, pouvoir expliquer ses résultats et en répondre comme s’ils avaient été produits par un salarié. C’est le standard que nous appliquons dans la conformité MiFID II.
En pratique, nous ordonnons les usages en quatre familles aux exigences décroissantes. Le profilage et l’adéquation : vigilance maximale, car ils touchent au cœur probatoire du conseil. La génération de recommandations : revue humaine préalable et justification reproductible ; si le système recommande de façon autonome, vous êtes sur le terrain du robo-advisor et l’analyse inclut l’agrément. Le marketing : les messages générés par IA passent le même filtre que toute publicité financière. Et l’automatisation interne : risque moindre, mais avec des critères écrits sur ce qui peut être décidé sans intervention humaine et un registre des incidents.
Presque toute l’IA entre par des tiers : la gouvernance se joue donc dans les contrats. DORA — applicable depuis janvier 2025 — impose de tenir le registre d’informations des prestataires TIC, d’intégrer les clauses de l’art. 30 et de gérer les incidents ; lorsque le modèle soutient une fonction importante, s’ajoute le régime d’externalisation avec des droits d’information, d’audit et de sortie. Le point d’orgue du dispositif, ce sont les preuves : inventaire vivant, classifications documentées, validations, interventions humaines enregistrées et revue périodique. Lorsque le superviseur posera la question — et il la posera —, la réponse devra avoir été écrite à l’avance.
Textes de référence, avec lien vers le texte officiel :
Textes et liens vérifiés en .