Face à une IA qui ne se limite plus à assister l’humain, mais qui peut agir, le superviseur est appelé à faire évoluer ses méthodes de supervision. Chronique juridique de Marie-Aude Noury, avocat au Barreau de Paris, associée, Squair A.A.R.P.I.

L’usage de l’intelligence artificielle s’est répandu dans le secteur financier et est naturellement devenu un enjeu de la supervision financière[1]. L’accélération des usages conduit le superviseur à préciser comment il entend apprécier non seulement la gouvernance mise en place autour de l’IA mais également la maîtrise effective du système.

De la conformité du dispositif de gouvernance

L’usage de l’IA dans le secteur financier a naturellement posé des questions de gouvernance et de conformité du dispositif : qui décide, qui en assume la responsabilité, quelles sont les limites, quels contrôles, quelle intervention humaine ? Ces questions restent d’actualité.

A partir du moment où le système peut également intervenir et agir[2], comme le soulignait le Premier sous-gouverneur de la Banque de France et Président désigné de l’ACPR, la question ouvre une nouvelle perspective. Le risque réglementaire peut dépendre aussi du comportement effectif du système. Apprécier le risque réglementaire d’une entité régulée soulève alors la question de l’appréciation de la maîtrise effective d’un système dont le fonctionnement ne relève pas entièrement de l’entité régulée. Le sujet rejoint celui de la dépendance technologique[3]. L’ACPR a relevé les risques liés au recours croissant aux grands fournisseurs technologiques notamment du cloud et de l’IA et à la dépendance technologique qui peut en résulter pour les établissements financiers[4]. Le premier bilan de la mise en œuvre de DORA publié par l’AMF le 24 septembre 2026 révèle que plus de 80% des 33 incidents majeurs déclarés en 2025 par les entités financières françaises régulées étaient liés à des prestataires[5].

C’est ainsi que s’orientent les travaux de l’ACPR[6].

Travaux de méthodologie de l’ACPR

Comme annoncé dans sa feuille de route en 2026, l’ACPR prépare des instruments qui lui permettront, lorsque le niveau de risque le justifie, d’aller au-delà de la seule appréciation du dispositif de gouvernance. La robustesse, la performance, l’explicabilité, l’équité d’un système ou encore sa cybersécurité sont des points d’attention. Au-delà des vérifications administratives, « il pourra être nécessaire, dans certains cas, d’ouvrir le capot des algorithmes pour en examiner les caractéristiques techniques »[7].

L’ACPR a ouvert une consultation publique sur l’équité algorithmique[8] en juillet 2026 et indiqué développer une méthodologie d’évaluation des systèmes d’IA du secteur financier destinée à constituer, à terme, un référentiel tant pour les établissements que pour le superviseur. Cette méthodologie doit notamment permettre d’apprécier les méthodes d’identification, de mesure et de correction des biais. A travers cette approche, l’ACPR précise non seulement ce qu’elle attend des établissements assujettis mais construit également l’instrument avec lequel elle va apprécier leurs systèmes.

Dans le cadre de cette consultation, l’ACPR relève qu’un modèle peut ne pas utiliser directement une donnée sensible tout en produisant indirectement des résultats fortement corrélés à celle-ci. Ces illustrations démontrent les limites de la seule conformité formelle.

Dans ce contexte, les établissements assujettis seront confrontés à un niveau de preuve accru. Au-delà d’un modèle de gouvernance de l’IA approuvé, documenté et audité, c’est la preuve de l’effectivité de la gouvernance mise en place qui devra être démontrée. Cette preuve est d’autant plus complexe dans un environnement où la technologie est externalisée, souvent partagée par plusieurs entités et relevant de différentes juridictions.

En parallèle, le superviseur se dote d’une capacité d’évaluation propre afin d’apprécier la réalité de la maîtrise du système par les établissements régulés. Cette évolution prend une dimension particulière à l’aune des futures missions de surveillance du marché que l’ACPR devrait endosser au titre du Règlement IA pour les systèmes à haut risque relevant du secteur financier.

[1] Voir notamment Marie-Aude Noury, « L’intervention humaine face à l’intelligence artificielle dans le secteur financier », Finascope, 6 janvier 2026

[2] Denis Beau, Premier sous-gouverneur de la Banque de France et Président désigné de l’ACPR, remarquait très récemment : « Si, jusqu’à récemment, l’IA assistait l’humain, elle peut désormais prendre des initiatives et agir » dans « Intelligence artificielle : les nouvelles frontières du risque », mis en ligne le 9 septembre 2026, site ACPR

[3] Voir notamment Marie-Aude Noury, « Le défi posé par les risques ICT pour les acteurs financiers », Finascope, 9 juin 2026

[4] Denis Beau, « Cybersécurité : le secteur financier face aux risques de dépendance », mis en ligne le 9 septembre 2026, site ACPR

[5] Rapport sur les incidents majeurs DORA déclarés à l’AMF en 2025, mis en ligne le 24 septembre 2026, site AMF

[6] Voir notamment présentation ACPR, « Encadrement et surveillance de l’IA dans le secteur financier », réunion de place du 1er juillet 2026, site ACPR

[7] Denis Beau, « Une boussole pour nous guider vers une supervision intelligente de l’IA », mis en ligne le 26 novembre 2025, site ACPR

[8] Mise en ligne le 1er juillet 2026, site ACPR