AI Act : ce qui change vraiment pour la direction financière et la trésorerie

Le règlement européen sur l'intelligence artificielle — l'AI Act, règlement (UE) 2024/1689 — est entré en vigueur le 1er août 2024 et s'applique par étapes. Son calendrier a été modifié en 2026 par un règlement dit « omnibus numérique » (règlement (UE) 2026/1744), publié au Journal officiel de l'UE le 24 juillet 2026 et entré en vigueur le 27 juillet, qui a notamment reporté les obligations applicables aux systèmes à haut risque.

Pour une direction financière, l'essentiel tient en une phrase : la plupart des usages de l'IA en trésorerie ne sont pas à haut risque, mais l'entreprise reste tenue à quelques obligations générales, et certains usages voisins de la fonction finance — le recrutement, le crédit aux particuliers — sont classés à haut risque.

Le calendrier, après l'omnibus

Fournisseur ou déployeur : la question qui fixe vos obligations

Le texte distingue celui qui développe un système d'IA et le met sur le marché — le fournisseur — de celui qui l'utilise dans le cadre de son activité — le déployeur. Une direction financière qui utilise un assistant du marché, un outil de prévision ou le module d'IA de son logiciel de trésorerie est déployeur.

Les obligations lourdes — documentation technique, évaluation de la conformité, marquage CE, gestion des risques — pèsent sur le fournisseur. Le déployeur a des obligations plus limitées, qui ne deviennent substantielles que si le système est à haut risque.

Classer les usages de la fonction finance

Ce qui s'applique déjà à toute entreprise utilisatrice

La maîtrise de l'IA

Depuis le 2 février 2025, l'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour que les personnes qui utilisent des systèmes d'IA en aient une maîtrise suffisante. L'omnibus a reformulé cette exigence dans un sens plus souple — il s'agit de soutenir le développement de cette maîtrise — mais le principe demeure : une équipe qui utilise l'IA doit savoir ce qu'elle fait bien, ce qu'elle fait mal et comment en contrôler les résultats.

Pour une direction financière, cela se traduit simplement : une courte formation, une charte d'usage, et une trace des deux.

Les pratiques interdites

Elles concernent peu la fonction finance : manipulation, notation sociale, reconnaissance des émotions sur le lieu de travail… La dernière mérite pourtant l'attention : un outil qui prétendrait mesurer le stress ou l'émotion des collaborateurs, y compris dans un centre de services partagés, est interdit au travail, sauf raisons médicales ou de sécurité.

La transparence

Depuis le 2 août 2026, les systèmes qui dialoguent avec des personnes doivent être conçus pour que celles-ci sachent qu'elles échangent avec une IA, sauf si c'est évident. Cette obligation pèse sur le fournisseur : si vous achetez un assistant qui répond aux fournisseurs sur l'état de leurs paiements, vérifiez que l'éditeur l'a prévue ; si vous le développez vous-même, elle pèse sur vous.

Le déployeur a, lui, une obligation propre : signaler les hypertrucages (deepfakes) qu'il diffuse, et les textes générés par IA qu'il publie pour informer le public, sauf s'ils ont été relus par une personne qui en assume la responsabilité éditoriale. Une note de marché rédigée par IA et publiée telle quelle sur le site de l'entreprise entrerait dans ce cas.

Ce qui s'appliquera au haut risque à partir de décembre 2027

Si l'entreprise utilise un système à haut risque — typiquement un outil de présélection de candidats, y compris pour recruter dans l'équipe finance — ses obligations de déployeur seront les suivantes :

• utiliser le système conformément à la notice du fournisseur ;
• confier la surveillance humaine à des personnes compétentes, formées et disposant de l'autorité nécessaire ;
• veiller à la pertinence des données d'entrée qu'elle maîtrise ;
• surveiller le fonctionnement du système et signaler les incidents graves au fournisseur et aux autorités ;
• conserver les journaux générés automatiquement pendant au moins six mois ;
• informer les salariés et leurs représentants avant la mise en service d'un tel système sur le lieu de travail.

Les sanctions

Les amendes peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et 15 millions d'euros ou 3 % pour la plupart des autres manquements. Pour les PME, c'est le moins élevé des deux montants qui sert de plafond.

Le plan d'action en cinq étapes

1. 1
   Inventorier

   Listez les outils d'IA utilisés dans la fonction finance, y compris les modules intégrés aux logiciels existants et les assistants utilisés à titre individuel. C'est souvent la surprise : les usages sont plus nombreux que prévu.

2. 2
   Qualifier

   Pour chaque outil, déterminez si vous êtes fournisseur ou déployeur, et dans quelle catégorie de risque tombe l'usage. La grande majorité sera en risque minimal ; isolez les cas de haut risque et de transparence.

3. 3
   Encadrer

   Rédigez une charte d'usage courte : outils autorisés, données qui peuvent y entrer, contrôles à appliquer aux résultats, personne responsable. Elle s'articule avec la politique de trésorerie et ses délégations.

4. 4
   Former

   Organisez une session pour les personnes qui utilisent ces outils, et gardez-en la trace. C'est la réponse la plus directe à l'obligation de maîtrise de l'IA.

5. 5
   Contractualiser

   Dans les contrats avec les éditeurs, vérifiez la réutilisation des données, le lieu d'hébergement et l'engagement de conformité du fournisseur. Pour un outil à haut risque, demandez la documentation que le texte l'oblige à fournir.

Ce que l'AI Act ne règle pas

Le texte encadre les systèmes d'IA ; il ne dit rien de la qualité de vos décisions de couverture. Une entreprise parfaitement conforme peut toujours décider sur la foi d'un cours inventé par un assistant. La protection reste celle de la gouvernance : des chiffres sourcés, des contrôles écrits et des décisions tracées. Le RGPD, lui, continue de s'appliquer à toute donnée personnelle traitée par ces outils.

Sources

• Règlement (UE) 2024/1689 sur l'intelligence artificielle : article 4 (maîtrise de l'IA), article 5 (pratiques interdites), article 25 (déployeur devenant fournisseur), article 26 (obligations des déployeurs), article 50 (transparence), article 99 (sanctions), article 113 (dates d'application), annexe III (haut risque).
• Règlement (UE) 2026/1744 dit « omnibus numérique sur l'IA », adopté le 8 juillet 2026, publié au JOUE le 24 juillet 2026, en vigueur le 27 juillet 2026 : report des obligations à haut risque, nouvelle rédaction de l'article 4, délai de grâce de l'article 111(4).