Le secteur financier est le seul auquel l’AI Act consacre des équivalences de conformité explicites. Elles sont réelles, mais plus étroites qu’on ne le lit généralement, et aucune ne renvoie à DORA.
Trois des quatre dispositions d’aménagement — articles 17, paragraphe 4, 26, paragraphes 5 et 6 — visent nommément « la législation de l’Union sur les services financiers » et les « établissements financiers ». La quatrième, l’article 9, paragraphe 10, ne nomme aucun secteur. Cette catégorie est plus large que le champ du règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, dit DORA : elle englobe aussi la directive sur les exigences de fonds propres (CRD IV), la directive Solvabilité II et la directive sur les marchés d’instruments financiers (MiFID II). Un raisonnement construit sur « l’AI Act renvoie à DORA » part d’un périmètre faux.
La réglementation financière absorbe-t-elle l’IA Act ?
En partie seulement, et l’exception vaut plus que la règle. L’article 17, paragraphe 4 admet que la conformité aux exigences de gouvernance issues du droit des services financiers vaille système de gestion de la qualité — sauf sur trois points, g), h) et i). Ce qui est absorbé est l’architecture ; ce qui ne l’est jamais, c’est le fond.
Quatre dispositions, quatre techniques différentes. La nuance entre elles décide de ce qu’il reste à produire.
Le système de gestion de la qualité, article 17, paragraphe 4. C’est la disposition centrale.
Si les fournisseurs sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l’Union sur les services financiers, la conformité avec les règles relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues dans la législation pertinente de l’Union sur les services financiers vaut respect de l’obligation de mettre en place un système de gestion de la qualité, à l’exception du paragraphe 1, points g), h) et i) du présent article. À cette fin, toute norme harmonisée visée à l’article 40 est prise en considération.
L’exception est le vrai sujet. Les points g), h) et i) de l’article 17, paragraphe 1 sont le système de gestion des risques de l’article 9, la surveillance après commercialisation de l’article 72 et le signalement des incidents graves de l’article 73. La gouvernance bancaire absorbe dix des treize composantes du système qualité. Jamais ces trois-là.
La gestion des risques, article 9, paragraphe 10 — et elle n’est pas propre au secteur financier. Ce paragraphe vise tout fournisseur soumis à des exigences de gestion interne des risques « en vertu d’autres dispositions pertinentes du droit de l’Union », quel que soit le secteur. Le texte ouvre la possibilité que les aspects des paragraphes 1 à 9 « peuvent faire partie des procédures de gestion des risques établies conformément à ladite législation, ou être combinées à celles-ci ». Le verbe est « peuvent » : c’est une faculté d’intégration, pas une dispense. Le contenu du dispositif reste dû.
La surveillance par le déployeur, article 26, paragraphe 5. Ici l’effet est plus fort : la conformité aux règles financières « vaut respect de l’obligation de surveillance énoncée au premier alinéa ». C’est une équivalence.
Les journaux, article 26, paragraphe 6. L’effet est encore différent : les journaux sont tenus « dans le cadre de la documentation conservée en vertu de la législation pertinente de l’Union sur les services financiers ». C’est un rattachement documentaire, et il ne dit rien de la durée de conservation ; c’est le premier alinéa qui la règle, en fixant un plancher de six mois « sauf disposition contraire dans le droit de l’Union ou le droit national applicable » du premier alinéa de l’article 26, paragraphe 6.
« Vaut respect », articles 17, paragraphe 4 et 26, paragraphe 5 : équivalence, l’obligation est réputée satisfaite.
« Peuvent faire partie », article 9, paragraphe 10 : faculté d’intégration, l’obligation demeure.
« Dans le cadre de la documentation conservée », article 26, paragraphe 6 : rattachement, le régime documentaire change de source.
Qu’est-ce qui n’est jamais absorbé par le droit financier ?
Trois obligations, exclues nommément de l’équivalence : la gestion des risques de l’article 9, la surveillance après commercialisation de l’article 72, et le signalement des incidents graves de l’article 73. Le socle prudentiel dispense de refaire une architecture qualité, jamais de construire ces trois-là.
Trois obligations traversent tous les aménagements.
La gestion des risques de l’article 9, exclue de l’équivalence par le point g). L’article 9, paragraphe 10 permet de l’intégrer aux procédures existantes, pas de s’en dispenser.
La surveillance après commercialisation de l’article 72, exclue par le point h).
Le signalement des incidents graves de l’article 73, exclu par le point i). Son paragraphe 9 aménage le périmètre de notification lorsque le fournisseur est déjà soumis à des obligations de signalement équivalentes : la notification est alors limitée aux incidents de l’article 3, point 49) c), c’est-à-dire à la perturbation grave et irréversible d’une infrastructure critique. Le canal reste dû ; c’est son assiette qui se réduit.
Autrement dit : le socle prudentiel d’un établissement dispense de refaire une architecture de gestion de la qualité, mais jamais de construire un dispositif de gestion des risques au sens de l’article 9, ni un suivi après mise sur le marché, ni un canal de signalement d’incident.
Qui contrôle une banque ou un assureur au titre de l’IA Act ?
Votre autorité de surveillance financière, et non l’autorité IA de droit commun. L’article 74, paragraphe 6 déplace la compétence vers l’autorité désignée au titre de la législation de l’Union sur les services financiers, pour les systèmes mis sur le marché ou utilisés par des établissements financiers régis par cette législation.
L’article 74, paragraphe 6 déplace la compétence :
Pour les systèmes d’IA à haut risque mis sur le marché, mis en service ou utilisés par des établissements financiers régis par la législation de l’Union sur les services financiers, l’autorité de surveillance du marché aux fins du présent règlement est l’autorité nationale responsable de la surveillance financière de ces établissements en vertu de cette législation dans la mesure où la mise sur le marché, la mise en service ou l’utilisation du système d’IA est directement liée à la fourniture de ces services financiers.
Deux limites à retenir. La compétence est bornée par le lien direct avec la fourniture de services financiers : un système de ressources humaines interne n’y entre pas. Et le paragraphe 7 permet à l’État membre de désigner une autre autorité, à condition d’assurer la coordination.
Quelle autorité française occupe cette fonction n’est établi par aucun texte identifié. L’Autorité de contrôle prudentiel et de résolution (ACPR) se présente comme autorité de surveillance du marché pour le secteur financier sur son propre site, sans citer l’article 74 ni aucune autre base juridique. C’est une auto-désignation, et il faut la rapporter comme telle plutôt que comme une compétence acquise.
Comment l’IA Act se cumule-t-il avec DORA et le RGPD ?
DORA et la directive (UE) 2022/2555 sur la cybersécurité, dite NIS 2, ne se cumulent pas sur les mêmes matières. Une entité financière entre dans le champ de NIS 2, mais DORA se déclare lex specialis à son considérant 16, au motif qu’il fixe en matière de gestion du risque lié aux technologies de l’information et de la communication (TIC) et de notification d’incident « des exigences plus strictes que celles prévues par l’actuel droit de l’Union sur les services financiers ». Écrire qu’une banque doit se conformer à NIS 2 et à DORA sur la gestion du risque TIC est faux sur le fond.
Le règlement général sur la protection des données (RGPD), lui, se cumule entièrement. Aucune disposition de l’AI Act n’aménage les obligations du responsable de traitement pour les établissements financiers. Une décision de crédit entièrement automatisée relève de l’article 22 du RGPD, et cette qualification se détermine indépendamment de celle de fournisseur ou de déployeur au sens de l’AI Act.
L’analyse d’impact sur les droits fondamentaux de l’article 27 est due, y compris par un déployeur purement privé, dès lors que le système relève des points 5 b) ou 5 c) de l’annexe III. Elle peut renvoyer aux sections pertinentes de l’analyse d’impact relative à la protection des données ou en intégrer les parties pertinentes ; celle-ci ne peut pas s’y substituer.
Vos systèmes déjà en production sont-ils couverts ?
Le plus souvent non, tant qu’ils ne subissent pas d’importantes modifications de conception. L’article 111, paragraphe 2 exonère les systèmes mis sur le marché ou mis en service avant la date d’application, sans limite de durée — sauf pour les systèmes destinés aux autorités publiques, conformes en tout état de cause au 2 août 2030. Et cette antériorité ne couvre jamais l’article 5.
Les sections 1, 2 et 3 du chapitre III, à l’exception de l’article 6, paragraphe 5, s’appliquent au 2 décembre 2027 pour les systèmes de l’annexe III. L’article 111, paragraphe 2 exonère les systèmes mis sur le marché ou mis en service avant cette date, tant qu’ils ne subissent pas d’importantes modifications de leur conception, et le projet de lignes directrices de la Commission sur la classification confirme expressément que ce régime joue pour les systèmes des établissements financiers. Le même paragraphe ajoute toutefois que les fournisseurs et déployeurs de systèmes destinés à être utilisés par des autorités publiques prennent en tout état de cause les mesures nécessaires pour se conformer au plus tard le 2 août 2030.
Mais l’article 111 s’ouvre par la réserve des pratiques interdites. Un dispositif hérité qui remplirait les conditions de l’article 5 est interdit aujourd’hui, sans considération de sa date de mise en service.
Quatre points qui décident du régime applicable
Sur quel fondement de droit financier repose votre gouvernance ? L’aménagement de l’article 17, paragraphe 4 suppose des exigences de gouvernance issues de la législation de l’Union sur les services financiers. C’est ce fondement qu’il faut être capable de désigner.
Les trois obligations exclues sont-elles construites ? Gestion des risques, surveillance après commercialisation, signalement d’incident grave. C’est le périmètre de travail réel.
Le système est-il directement lié à la fourniture de services financiers ? Cette réponse décide de l’autorité compétente.
Le système entre-t-il dans les points 5 b) ou 5 c) de l’annexe III ? Si oui, l’analyse d’impact de l’article 27 est due, et le périmètre exact du point 5 b) mérite d’être examiné séparément.
Sur quoi cette page s’appuie
Les articles 9, 17, 26, 27, 72, 73, 74 et 111 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744. Le texte qui fait foi reste celui publié au Journal officiel, la version consolidée n’ayant qu’une valeur documentaire. Le règlement (UE) 2022/2554, considérant 16. Le projet de lignes directrices de la Commission sur la classification des systèmes à haut risque, mis en ligne le 19 mai 2026 et non adopté au 28 août 2026, en anglais uniquement.
Deux points sont ouverts et signalés comme tels : la désignation formelle de l’autorité française de surveillance du marché pour le secteur financier, et le périmètre résiduel de notification de l’article 73, paragraphe 9.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026, règlement (UE) 2026/1744, règlement (UE) 2022/2554, directive (UE) 2022/2555 et projet de lignes directrices sur la classification des systèmes à haut risque, consultés le 28 août 2026.
Questions fréquentes
L’AI Act renvoie-t-il à DORA ?
Non. Le règlement ne cite jamais DORA nommément dans ses dispositions d’aménagement. Il parle de « la législation de l’Union sur les services financiers » et d’« établissements financiers », une catégorie plus large qui englobe aussi CRD IV, Solvabilité II et MiFID II. Écrire que les dispositions d’aménagement de l’AI Act renvoient à DORA est inexact.
Notre gouvernance bancaire dispense-t-elle du système de gestion de la qualité ?
En grande partie, mais pas entièrement. L’article 17, paragraphe 4 prévoit que la conformité aux règles de gouvernance du droit financier vaut respect de l’obligation de mettre en place un système de gestion de la qualité, « à l’exception du paragraphe 1, points g), h) et i) ». Ces trois points sont le système de gestion des risques, la surveillance après commercialisation et le signalement des incidents graves. Ils restent dus intégralement.
Quelle autorité surveille l’AI Act pour une banque française ?
L’article 74, paragraphe 6 désigne le superviseur financier national comme autorité de surveillance du marché, dans la mesure où l’usage du système est directement lié à la fourniture de services financiers. Quelle autorité française occupe formellement cette fonction n’est établi par aucun texte identifié à ce jour. L’ACPR se présente comme telle sur son propre site, sans citer de base juridique.
Une banque doit-elle se conformer à NIS 2 et à DORA ?
Une entité financière entre dans le champ de la directive (UE) 2022/2555 sur la cybersécurité, dite NIS 2, mais ses obligations de gestion du risque lié aux TIC et de notification d’incident sont celles de DORA, qui se déclare lui-même lex specialis à son considérant 16. Présenter les deux régimes comme cumulatifs sur ces matières est inexact.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.