Réglementation IA allemande

La conformité IA consiste à s'assurer qu'une organisation construit, achète et utilise l'IA dans le respect de la loi. Pour une société financière en Allemagne, ce droit a plusieurs sources. Le règlement européen sur l'IA fixe des obligations par classe de risque, et le règlement européen sur l'IA dans les services financiers définit les usages financiers à haut risque et les obligations des fournisseurs et des déployeurs. Autour se trouvent le RGPD, les règles de résilience opérationnelle de DORA et les règles sectorielles pour les banques, les assureurs et les entreprises d'investissement.

En pratique, une fonction de conformité IA tient un inventaire des systèmes d'IA, les classe par risque, vérifie les contrats avec les fournisseurs d'IA, forme le personnel et documente le tout. Certaines sociétés nomment pour cela un responsable de la conformité IA; d'autres placent cette tâche dans la conformité, la sécurité de l'information ou la gestion du risque de modèle. Le règlement sur l'IA n'exige pas de titre précis, mais il exige que la société puisse montrer ce qu'elle a fait.

L'Allemagne a adopté sa loi de mise en œuvre du règlement sur l'IA. La loi de mise en œuvre fait de la Bundesnetzagentur (en allemand), l'Agence fédérale des réseaux, le point de contact central, l'autorité de surveillance du marché et l'organe de réclamation pour l'IA. Pour les sociétés financières surveillées, la situation est partagée: au titre de la même loi, la BaFin surveille l'IA que les banques, les assureurs et d'autres sociétés surveillées utilisent en lien direct avec des activités financières réglementées, comme l'évaluation du crédit et l'évaluation des risques en assurance vie et santé. L'IA que la même société utilise ailleurs, par exemple dans les RH, relève de la Bundesnetzagentur.

La Bundesnetzagentur gère un service d'assistance IA destiné aux petites et moyennes entreprises et aux start-up. L'outil en ligne de la Bundesnetzagentur, le compas de conformité IA, guide une entreprise à travers quelques questions pour voir si un système relève du règlement sur l'IA et dans quelle classe de risque; le résultat est une orientation, pas une décision contraignante. Le règlement sur l'IA exige aussi que chaque État membre exploite au moins un bac à sable réglementaire de l'IA, où des sociétés peuvent tester l'IA sous supervision avant sa mise en service.

La BaFin applique les exigences DORA à l'IA indépendamment des classes de risque du règlement sur l'IA. Dans son orientation sur les risques TIC liés à l'IA (en allemand), elle traite les systèmes d'IA comme des réseaux et systèmes d'information au sens de DORA. Un modèle d'IA est donc un actif TIC comme un autre, et une société le couvre dans sa gestion du risque TIC sur tout son cycle de vie: identification, protection, détection, réponse et rétablissement. L'orientation vise toutes les sociétés qui appliquent les articles 5 à 15 de DORA, d'abord les banques CRR et les assureurs relevant de Solvabilité II.

Pour la conformité IA, cela signifie deux listes de contrôle pour le même système. Un chatbot qui répond aux questions des clients peut être à faible risque au titre du règlement sur l'IA et exiger quand même des contrôles d'accès, une journalisation, des vérifications des fournisseurs et une inscription au registre d'informations DORA s'il fonctionne sur un service cloud. Un modèle acheté à un fournisseur fait aussi entrer son contrat dans le régime DORA.

Une obligation du règlement sur l'IA s'applique déjà à toute société qui utilise l'IA: l'article 4 exige des fournisseurs et des déployeurs qu'ils assurent un niveau suffisant de maîtrise de l'IA chez le personnel qui exploite des systèmes d'IA. La Bundesnetzagentur a publié une orientation sur la maîtrise de l'IA (en allemand) et recommande aux sociétés de documenter leurs mesures de formation pour pouvoir montrer à tout moment qu'elles remplissent l'obligation. Pour une banque, cela signifie une formation adaptée au rôle: un chargé de crédit qui lit le score d'un modèle doit savoir d'autres choses qu'un développeur.

Le droit de la protection des données ajoute une limite aux décisions automatisées. Dans son arrêt SCHUFA, la Cour de justice de l'UE a jugé que le calcul d'un score de crédit peut lui-même constituer une décision automatisée au sens de l'article 22 du RGPD lorsqu'un prêteur s'appuie de manière déterminante sur ce score pour accorder ou refuser un crédit. Les agences de scoring et les prêteurs en Allemagne ont dû revoir comment les scores entrent dans les décisions de crédit et quel examen humain suit. Cet arrêt s'applique aux grilles de score statistiques classiques autant qu'à l'apprentissage automatique.

La première tâche est un inventaire qui couvre l'IA dans les logiciels achetés, les outils bureautiques et les services cloud. La deuxième est la gouvernance: qui approuve un nouveau cas d'usage de l'IA, qui valide le modèle, qui le surveille en production et comment les trois lignes de défense se répartissent le travail. Les équipes de gestion des risques apportent leur expérience de la validation de modèles issue du scoring de crédit, tandis que la sécurité de l'information apporte la vision DORA traitée sur la page sur la cybersécurité en finance en Allemagne.

L'IA agentique est le sujet le plus récent. Un agent qui lit des documents, appelle des outils et prépare une décision a besoin d'une piste d'audit, de limites claires et d'une validation humaine là où de l'argent ou des droits de clients sont en jeu. Le livre Building AI Agents for Finance de Fayssal El Mofatiche et Hanane Dupouy montre un tel pipeline pour des sinistres d'assurance, qui se termine par une validation conformité avec une piste d'audit complète.

Finance Loop est le lieu de rencontre des responsables de la conformité, des validateurs de modèles, des data scientists et des juristes qui placent l'IA des banques et des assureurs sous ces règles. Finance Loop relie les milieux de la finance, de l'IT et de l'IA à Francfort et organise aussi des événements à Munich, Berlin et Hambourg.

Finance Loop a présenté fAInance, une conférence de Sopra Steria et du Fraunhofer IAIS pour le personnel des établissements financiers, avec des stations sur la gouvernance de l'IA, le risque et la conformité et un auditeur IA. Finance Loop a annoncé KI Exchange 2026 à Hambourg, où la gouvernance de l'IA et la conformité DORA figuraient au programme. Finance Loop a une coopération avec Frankfurt Data Science sur la data science et l'IA en finance, et lors du side event de l'AI Week Frankfurt, des interventions ont porté sur l'IA de confiance et les tests d'IA.

La conformité IA consiste à construire, acheter et utiliser l'IA légalement et pouvoir le prouver. Dans une société financière allemande, elle couvre le règlement européen sur l'IA, le RGPD, DORA et les règles sectorielles, et elle commence en général par un inventaire de tous les systèmes d'IA utilisés.

La Bundesnetzagentur est l'autorité centrale du règlement sur l'IA. La BaFin surveille l'IA des sociétés financières surveillées dans des activités réglementées comme l'évaluation des risques de crédit et d'assurance, et les autorités de protection des données contrôlent les décisions automatisées au titre du RGPD.

La BaFin traite les systèmes d'IA comme des actifs TIC. L'orientation (en allemand) de la BaFin demande aux sociétés de couvrir l'IA dans leur gestion du risque TIC sur tout le cycle de vie, de l'identification du système à la réponse et au rétablissement, comme le reste de l'IT.

La Bundesnetzagentur propose le compas de conformité IA, un outil en ligne qui montre si un système relève du règlement sur l'IA et quelle classe de risque peut s'appliquer. Le compas de conformité IA donne seulement une orientation; la société reste responsable de sa propre évaluation.