1 · Ce qu'est le règlement, et qui il atteint
Le règlement européen sur l'IA (règlement (UE) 2024/1689, en vigueur depuis le 1er août 2024) est la première loi complète sur l'IA au monde. Il réglemente par niveau de risque plutôt que par secteur : plus l'usage est risqué, plus les obligations sont lourdes. Les services financiers n'ont pas leur propre chapitre, et n'en ont pas besoin, car deux des usages à haut risque nommés par le règlement se trouvent au cœur du secteur : la notation de crédit et la tarification en assurance.
La portée est la première chose à établir correctement. Le règlement s'impose aux fournisseurs qui mettent des systèmes d'IA sur le marché de l'Union, où qu'ils soient établis, aux déployeurs situés dans l'Union, et aux fournisseurs ou déployeurs hors de l'Union lorsque les sorties du système sont utilisées à l'intérieur de celle-ci. Un établissement londonien qui note des demandeurs européens est dans le champ. Une fintech américaine dont les sorties de modèle atteignent des clients européens aussi.
La deuxième chose à établir, c'est votre rôle. La plupart des institutions financières sont des déployeurs : elles achètent ou licencient de l'IA et la mettent au travail. Les obligations du déployeur sont plus légères que celles du fournisseur, mais elles ne sont pas légères, et un établissement qui modifie substantiellement un système, ou qui y appose son propre nom, peut glisser vers le rôle de fournisseur sans s'en apercevoir.