Claire Weydert, CDO de NordFund Management S.A. (société de gestion luxembourgeoise, 18 milliards EUR d'actifs sous gestion, 240 collaborateurs), reçoit en mars 2025 une note de son responsable conformité : l'outil de scoring de risque client basé sur l'IA pourrait relever de la catégorie « haut risque » du Règlement (UE) 2024/1689. Échéance d'application des obligations haut risque : août 2026. Aucun inventaire des systèmes d'IA n'existe encore. Avant de poursuivre votre lecture : sauriez-vous classer chaque système d'IA de votre organisation selon les quatre niveaux de risque de l'AI Act ?
Le Règlement (UE) 2024/1689, dit « AI Act », est entré en vigueur le 1er août 2024. Il s'applique de façon progressive : les pratiques interdites (article 5) deviennent applicables le 2 février 2025, les obligations relatives aux modèles d'IA à usage général (GPAI) le 2 août 2025, l'essentiel des obligations pour les systèmes à haut risque le 2 août 2026, et les systèmes à haut risque liés à des produits déjà réglementés le 2 août 2027.
La classification distingue quatre niveaux : les pratiques interdites (notation sociale, manipulation), les systèmes à haut risque (annexe III : emploi, accès au crédit, services essentiels), les systèmes à obligation de transparence (chatbots, contenus générés) et les systèmes à risque minimal. Présentons le calendrier sans le surestimer : les délais ci-dessus sont ceux fixés par le règlement et peuvent faire l'objet de lignes directrices complémentaires de la Commission.
Système à haut risque et obligations associées
Un système d'IA est classé à haut risque lorsqu'il relève de l'annexe III du règlement (notamment l'évaluation de la solvabilité ou l'accès aux services financiers essentiels) ou qu'il constitue un composant de sécurité d'un produit déjà réglementé (annexe I). Les obligations incluent un système de gestion des risques, une documentation technique, la traçabilité par journalisation, une supervision humaine et une évaluation de la conformité. Au Luxembourg, la CSSF rappelle dans ses communications que l'usage de l'IA par les entités supervisées reste soumis à ses circulaires sur l'externalisation et la gouvernance interne.
| Niveau de risque AI Act | Exemple secteur financier luxembourgeois | Application à partir de | Obligations principales |
|---|---|---|---|
| Interdit (art. 5) | Notation sociale, reconnaissance émotionnelle au travail | 2 février 2025 | Interdiction totale, amende jusqu'à 35 M EUR / 7 % CA mondial |
| Haut risque (annexe III) | Scoring de solvabilité, tri automatisé de candidatures | 2 août 2026 | Gestion des risques, documentation, supervision humaine, journalisation, base de données UE |
| Haut risque (annexe I, produits réglementés) | IA composant de sécurité d'un produit déjà réglementé | 2 août 2027 | Intégration aux régimes sectoriels existants |
| GPAI (modèles à usage général) | Modèle de fondation utilisé pour un assistant interne | 2 août 2025 | Documentation technique, résumé des données d'entraînement, respect du droit d'auteur |
| Transparence (art. 50) | Chatbot de support client, contenus marketing générés | 2 août 2026 | Information de l'utilisateur, marquage des contenus générés par IA |
La génération augmentée par récupération (RAG) combine un modèle de fondation avec une base de connaissances interne stockée dans une base vectorielle. L'avantage du point de vue du RGPD : les données de l'entreprise ne sont pas injectées dans l'entraînement du modèle, mais fournies au contexte de chaque requête. Une société de gestion peut ainsi interroger ses prospectus, rapports de risque et politiques internes sans exposer ces documents à un tiers entraînant son modèle.
La CDO Weydert mandate une démarche en trois étapes. Étape 1 — inventaire : 17 systèmes d'IA recensés, dont 3 à haut risque (scoring de solvabilité du distributeur, tri de candidatures RH, détection de transactions atypiques en appui LCB-FT). Étape 2 — comité de gouvernance de l'IA : DSI, RSSI, DPO, responsable conformité et conseil juridique externe. Étape 3 — évaluation de conformité des 3 systèmes haut risque : système de gestion des risques, documentation technique, journalisation et supervision humaine (human-in-the-loop). Coût total de mise en conformité estimé : environ 180 000 EUR sur 16 mois.
⚠️Ne pas dresser d'inventaire des systèmes d'IA classés par niveau de risque
→ Sans inventaire structuré selon l'annexe III, l'organisation s'expose aux obligations applicables dès le 2 août 2026. Chaque système, y compris les solutions SaaS achetées, doit être classé, documenté et rattaché à un niveau de risque.
⚠️Utiliser des modèles GPAI (assistants génériques) sans gouvernance
→ Les obligations GPAI s'appliquent depuis le 2 août 2025. L'organisation utilisatrice doit s'assurer que le fournisseur du modèle fournit une documentation conforme et un résumé des données d'entraînement, et tracer ses propres usages.
⚠️Construire une base vectorielle RAG sans classification des données
→ Toutes les données ne peuvent pas être indexées. Les catégories particulières au sens de l'article 9 du RGPD exigent une analyse d'impact (AIPD) préalable, et le contrôle d'accès par rôle doit s'appliquer à la base vectorielle elle-même.
La répartition des responsabilités au sein du comité doit être explicite. Le DSI porte la classification technique et les choix d'architecture des modèles de fondation. Le RSSI traite les exigences de robustesse et de cybersécurité (article 15 : exactitude, robustesse, cybersécurité). Le DPO vérifie la conformité RGPD des sorties personnalisées ou portant sur des personnes physiques. Le conseil juridique sécurise l'évaluation de conformité face au risque de contrôle de la CSSF et du Centre national de protection des données (CNPD).
Retour d'expérience des projets luxembourgeois 2024-2025 : un inventaire d'IA pour un acteur exploitant une centaine de systèmes (SaaS inclus) demande 2 à 3 mois de cadrage et 30 000 à 60 000 EUR de conseil externe. La part des systèmes relevant du haut risque y est typiquement de 10 à 20 %. L'évaluation de conformité d'un système haut risque isolé — par exemple un outil de scoring de solvabilité d'un distributeur — représente 25 000 à 50 000 EUR (documentation technique, gestion des risques, supervision humaine).
Pièges récurrents de l'implémentation RAG dans la finance : premièrement, les droits d'accès — si la base vectorielle indexe les documents de toutes les directions, un gestionnaire pourrait accéder aux notes de comité d'investissement ; le contrôle d'accès par rôle au niveau de la base est obligatoire. Deuxièmement, les hallucinations — un système RAG en production doit imposer la citation de la source avec lien vers le document et une couche de revue humaine pour les réponses réglementaires ou financières. Troisièmement, l'article 22 du RGPD — toute décision entièrement automatisée produisant des effets juridiques sur une personne (refus de crédit par scoring sans intervention humaine) ouvre un droit à intervention humaine.
Estimez vos indicateurs de gouvernance : part des systèmes d'IA classés, taux de conformité des systèmes haut risque et allocation du budget de mise en conformité AI Act.
Open calculator →Conseiller en gouvernance de l'IA et conformité AI Act pour la place financière luxembourgeoise
Suggested questions
À partir de quelle date les obligations applicables aux systèmes d'IA à haut risque de l'annexe III (scoring de solvabilité, tri de candidatures) deviennent-elles applicables selon le Règlement (UE) 2024/1689 ?
Correct answer : 2 août 2026
L'essentiel des obligations pour les systèmes à haut risque de l'annexe III (emploi, accès au crédit) devient applicable le 2 août 2026. Les interdictions de l'article 5 s'appliquent depuis le 2 février 2025, les obligations GPAI depuis le 2 août 2025, et le haut risque lié aux produits réglementés (annexe I) à partir du 2 août 2027.