Banque & AI Act : encadrer le scoring et la décision assistée

De quoi parle AI Act ?

L’AI Act qualifie de haut risque, à son annexe III, l’évaluation de la solvabilité et l’établissement de scores de crédit des personnes physiques — sauf lorsqu’il s’agit de détecter des fraudes financières. Les systèmes à haut risque supportent des obligations de gestion des risques, de qualité des données, de transparence, de supervision humaine et de robustesse.

Les usages internes ou conversationnels relèvent généralement du risque limité ou minimal.

Le secteur « Banque » est-il concerné ?

Les banques sont concernées comme déployeurs et, si elles développent leurs propres modèles sous leur marque, comme fournisseurs. Le scoring de crédit des particuliers est le cas emblématique de haut risque.

La détection de fraude, bien que reposant sur l’IA, échappe au classement haut risque prévu pour le scoring de crédit ; elle reste néanmoins soumise au RGPD.

Obligations détaillées

Sanctions & risques

Jusqu’à 35 M€ ou 7 % du CA pour les pratiques interdites et 15 M€ ou 3 % pour les manquements du haut risque. S’y ajoute le risque RGPD sur le profilage.

Pour une banque, un scoring mal documenté ou biaisé expose à la sanction et à un risque de discrimination lourd de conséquences.

Calendrier d’application

• 1Entrée en vigueur. 1er août 2024.
• 2Haut risque. Obligations principales à partir du 2 août 2026 pour le scoring de crédit.

Erreurs fréquentes dans le secteur

• 1Haut risque non identifié. Traiter le scoring de crédit comme un usage ordinaire.
• 2Biais non maîtrisés. Ignorer les biais des données, source de discrimination et de non-conformité.
• 3Cumul RGPD oublié. Ne pas articuler AI Act et RGPD sur le profilage.
• 4Supervision de façade. Afficher une supervision humaine sans moyens réels d’influer sur la décision.

Cas pratique

Une banque déploie un modèle de scoring pour l’octroi de crédits à la consommation. Classé à haut risque, il impose une documentation technique, un contrôle des biais et une supervision humaine des refus. La banque articule ces exigences avec l’information RGPD sur le profilage et le droit du client à une intervention humaine, traitant les deux textes d’un seul mouvement.

Feuille de route de mise en conformité

1. 1

   Inventorier. Recenser tous les usages d’IA (crédit, fraude, relation client, interne).

2. 2

   Qualifier. Isoler les systèmes à haut risque (scoring de crédit).

3. 3

   Fiabiliser les données. Traiter la qualité et les biais des données d’entraînement.

4. 4

   Documenter. Produire documentation technique et évaluation de conformité.

5. 5

   Encadrer. Mettre en place supervision humaine et information, articulées avec le RGPD.

Questions fréquentes