Supervision du marché de l’IA par la BaFin depuis juillet 2026 : analyse

Le document d’IA le plus important dans une banque est rarement la fiche de modèle. C’est le dossier de gouvernance que quelqu’un peut réellement produire lorsqu’un superviseur demande qui a approuvé le système, ce qu’il fait et ce qui se passe lorsqu’il échoue. Depuis juillet 2026, cette question a en Allemagne un propriétaire institutionnel plus clairement identifié : la BaFin. Pour les entreprises financières, la conformité de l’IA est passée de l’architecture abstraite de l’UE au travail plus terne et plus coûteux des inventaires, des contrôles, des dossiers fournisseurs et de la responsabilité au niveau du conseil d’administration.

La BaFin est désormais dans la pièce

Banking.Vision a rapporté le 27 octobre 2026 que la BaFin est responsable de la surveillance du marché de l’IA dans le secteur financier depuis juillet 2026. C’est important, car les banques et les assureurs évoluent déjà dans des régimes de supervision denses ; la surveillance de l’IA n’arrivera donc pas comme une nouvelle case séparée. Elle sera interprétée à travers la gestion des risques, l’externalisation, les contrôles et la responsabilité documentée. La traduction pratique est simple : si un système d’IA soutient une activité financière réglementée, le dossier de conformité doit être prêt à être examiné par le superviseur.

Ce calendrier s’inscrit dans une séquence juridique plus large. Le site de la législation européenne sur l’intelligence artificielle indique que le règlement européen sur l’IA a été publié au Journal officiel de l’Union européenne le 12 juillet 2024. Le Journal officiel fédéral allemand a ensuite publié la loi nationale de mise en œuvre du règlement (UE) 2024/1689 sous la référence « BGBl. 2026 I Nr. 223 vom 28.07.2026 », en l’identifiant comme la loi mettant en œuvre le règlement de l’UE sur les règles harmonisées en matière d’IA. C’est la partie que LinkedIn a tendance à passer sous silence : même un règlement de l’UE directement applicable a encore besoin d’un mécanisme national pour déterminer qui supervise, où vont les plaintes et comment l’application des règles est organisée.

@title Horloge de la supervision de l’IA financière
@source EU AI Act Bundesgesetzblatt
@source Banking Vision BaFin speech

  12 July 2024 ··· EU AI Act published
  July 2026 ······ BaFin AI role
  28 July 2026 ··· German law published
  1 Jan 2027 ····· WpI MaRisk applies

@caption Quatre dates que les équipes d’IA financière devraient inscrire à leur calendrier dès maintenant.

Ce qui change avant la première lettre d’inspection

Le rapport allemand de Banking.Vision formule clairement le point inconfortable, en disant : « Viele Pflichten gelten für Banken und Versicherer schon heute. » En français : n’attendez pas le lancement officiel d’une saison d’application des règles pour commencer le travail de conformité de base. Pour les banques et les assureurs, la question utile n’est pas de savoir si un modèle est impressionnant. Elle est de savoir si l’institution peut classer son utilisation, documenter les contrôles, démontrer une supervision humaine lorsque cela est requis et expliquer ses dépendances vis-à-vis de fournisseurs tiers.

Cela signifie que les inventaires d’IA doivent devenir des registres opérationnels plutôt qu’un théâtre de l’innovation. Un flux de travail de crédit utilisant un soutien par IA, un outil de tri des sinistres d’assurance ou un assistant de service client qui touche à des processus réglementés devrait avoir un responsable, un objectif, une documentation des entrées et des sorties, des critères de suivi et des procédures d’escalade. Les contrats fournisseurs ont besoin des clauses ennuyeuses : accès à la documentation, rapports d’incidents et de performance, notification des changements, visibilité sur les sous-traitants et coopération lors des audits. Si votre équipe achats ne peut pas obtenir ces conditions, le modèle est peut-être intelligent, mais le déploiement n’est pas prêt pour un superviseur.

La gestion des risques est le pont

Le propre langage de la BaFin concernant les entreprises d’investissement va dans le même sens. Dans un discours du 26 octobre 2026, le directeur exécutif Thorsten Pötzsch a déclaré que les nouvelles exigences WpI MaRisk applicables aux entreprises d’investissement entreront en vigueur le 1er janvier 2027. Il a également indiqué que ce cadre réunit la gouvernance, le pilotage des risques, les fonctions de contrôle et l’externalisation dans un seul corpus de règles. Ce n’est pas une règle sur l’IA en tant que telle, mais cela indique aux concepteurs où la BaFin s’attend à voir les contrôles.

Pour les équipes fintech qui vendent au secteur financier allemand, c’est la carte à suivre. Un acheteur demandera moins souvent un manifeste sur l’IA responsable et plus souvent des preuves qui s’intègrent dans son processus existant de gestion des risques. Le système peut-il être surveillé ? La banque peut-elle expliquer les changements apportés au modèle ? Un assureur peut-il remonter d’un résultat contesté jusqu’aux données, au processus et à la fonction de contrôle responsable ? Si la réponse est « nos avocats sont en train d’examiner la question », traduisez cela par : pas encore déployable dans un flux de travail réglementé.

Le dossier de conformité à constituer maintenant

Le Journal officiel fédéral confirme que la loi allemande de mise en œuvre est liée au règlement (UE) 2024/1689, tandis que Banking.Vision identifie le rôle de la BaFin dans le secteur financier depuis juillet 2026. Mettez ces éléments ensemble et l’obligation immédiate n’est pas de prédire chaque future amende. Elle est de rendre l’utilisation de l’IA lisible pour le superviseur déjà responsable du secteur.

Le paquet pratique minimal n’a rien de glamour. Tenez un registre des usages de l’IA par processus métier, et non par équipe expérimentale. Classez les systèmes selon les catégories du règlement sur l’IA et leur impact sur la réglementation financière, en conservant le raisonnement. Ajoutez les approbations de gouvernance, les conditions fournisseurs, les indicateurs de suivi, les circuits de gestion des incidents et les critères de retrait. Séparez les affirmations marketing des preuves réelles de contrôle, car les superviseurs ne notent pas les adjectifs.

La prochaine chose à surveiller sera la manière dont la BaFin décrira ses inspections et ses constats une fois que la supervision de l’IA financière aura mûri. D’ici là, les banques, les assureurs et les fournisseurs fintech devraient traiter l’examen actuel comme une feuille de route de mise en œuvre. Les entreprises qui font le travail documentaire tôt ne feront pas disparaître le risque lié à l’IA. Elles sauront au moins où il se trouve, qui en est responsable et quelles preuves elles peuvent transmettre lorsque l’e-mail poli du superviseur arrivera.