AI Act : ce qu'une banque luxembourgeoise doit documenter dès aujourd'hui

Ce qui est déjà exigible

L'AI Act est entré en vigueur le 1er août 2024. Les interdictions (notation sociale, manipulation, identification biométrique à distance hors cadre pénal) s'appliquent depuis février 2025 ; les obligations des systèmes à haut risque arrivent en août 2026, et une banque en a presque toujours au moins un : le scoring de crédit des personnes physiques est nommément classé à haut risque à l'annexe III.

Pour une banque de la Place, la question n'est donc pas « sommes-nous concernés » mais « où en est notre registre ». Trois documents doivent exister avant que le premier modèle ne serve un client.

1. L'inventaire et la classification

Chaque système d'IA en production ou en projet est listé, avec son propriétaire métier, ses données d'entrée, sa finalité et sa classe de risque. Un assistant de rédaction interne est à risque minimal ; un moteur qui pré-remplit une décision de crédit ne l'est pas. La classification se justifie par écrit, avec la référence à l'annexe qui la fonde — c'est elle que la CSSF lira en premier.

Notre pratique : un registre unique, versionné, relu à chaque mise en production. Un modèle qui change de finalité est un nouveau système.

2. La gouvernance des données

Pour un système à haut risque, l'article 10 exige que les jeux d'entraînement, de validation et de test soient documentés : provenance, périmètre, biais examinés, traitements appliqués. En pratique, cela suppose une lignée des données (data lineage) que la plupart des entrepôts bancaires n'ont pas au niveau du champ.

Nous commençons toujours par là. Une gouvernance des données défaillante coûte plus cher à rattraper qu'un modèle à réentraîner.

3. La supervision humaine et l'information des utilisateurs

Un système à haut risque doit pouvoir être interrompu, corrigé ou ignoré par une personne formée. Cette personne doit exister dans l'organigramme, et les cas où elle intervient doivent être écrits. Côté clients, l'article 50 impose d'informer toute personne qui interagit avec une IA, et d'expliquer une décision automatisée qui la concerne — ce que le RGPD demandait déjà.

Ce que nous mettons en place sur chaque projet IA

• un registre des systèmes, tenu dès le cadrage, jamais reconstitué après ;
• une fiche de données par modèle : sources, périmètre, biais examinés, personnes responsables ;
• une journalisation des décisions assistées, conservée selon la politique de rétention de la banque ;
• un point de supervision humaine nommé, avec la procédure qui le déclenche ;
• une revue conjointe conformité–technique avant la première mise en production, puis à chaque changement de finalité.

Ce socle n'est pas un surcoût de conformité : c'est ce qui permet de mettre un modèle en production sans le retirer trois mois plus tard.