L’ACPR a été désignée autorité de surveillance du marché pour les systèmes d’intelligence artificielle à haut risque relevant du secteur financier français. Le superviseur qui vous demande vos journaux d’incidents et votre registre d’information est donc aussi celui qui regardera vos usages d’IA. Pour la finance, l’échéance est le 2 décembre 2027. Le travail qui la précède commence par un inventaire, et cet inventaire, personne ne le tiendra à votre place.
Qui contrôle l’IA d’une société de gestion en France ?
Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024 et ses dispositions s’appliquent par paliers. Sur sa page dédiée, mise à jour le 2 juillet 2026, l’ACPR précise deux choses. La première est attendue : elle supervisera les systèmes qualifiés à haut risque, ceux qui servent à évaluer la solvabilité de personnes physiques ou à tarifer l’assurance-vie et l’assurance maladie. La seconde l’est moins : dans le cadre de ses missions habituelles, elle est « également susceptible d’examiner d’autres systèmes d’IA utilisés par les organismes soumis à son contrôle ».
Cette seconde phrase n’a pas de date. Elle ouvre une porte.
Trois dates, et une seule qui vous occupe cette année
Le 1er août 2024, le règlement entre en vigueur. Le 2 août 2026, la majeure partie du dispositif devient contrôlable et sanctionnable : gouvernance, transparence, pouvoirs des autorités nationales. Le 2 décembre 2027, les obligations lourdes des systèmes à haut risque s’appliquent au secteur financier, avec un report au 2 août 2028 pour ceux intégrés à des produits déjà réglementés.
Une société de gestion qui lit ce calendrier en conclut souvent qu’elle a seize mois devant elle. C’est une erreur d’échelle : ce qui prend seize mois, ce n’est pas la mise en conformité d’un système à haut risque que la plupart des SGP n’exploitent pas, c’est la construction de la trace qui permettra de démontrer, en décembre 2027, que l’on savait déjà quels outils d’IA tournaient sur le parc en 2026.
Faut-il attendre décembre 2027 pour inventorier ses usages d’IA ?
L’objection est raisonnable et nous l’entendons à chaque comité : « nous ne faisons pas de scoring de crédit, aucun de nos outils n’entre dans la catégorie haut risque, ce calendrier ne nous concerne donc pas ». La catégorie juridique, non. La question du superviseur, si. Un RCCI à qui l’on demande en 2027 quels systèmes d’IA sa société utilise et depuis quand aura besoin d’un inventaire antérieur, pas d’une déclaration rédigée le mois du contrôle.
Sur les 3 000 postes que nous gérons, le recensement mené entre février et avril 2026 chez nos clients de la finance régulée a fait remonter 41 outils d’IA distincts, dont 27 arrivés par le navigateur : extensions de résumé automatique, assistants de rédaction, transcripteurs de réunion installés par un collaborateur pressé. Aucun n’était passé par une validation. Un seul avait été déclaré.
Ce qu’un inventaire utile contient tient en quatre familles :
- les assistants intégrés à la suite bureautique et à la messagerie ;
- les extensions et applications tierces installées sur les postes ;
- les fonctions d’IA activées par défaut dans les logiciels métier (reporting, KYC, gestion documentaire) ;
- les services accédés directement par navigateur, sans installation.
Pour coter ce que chacun de ces usages fait peser sur vos données, le simulateur d’analyse de risques suit la méthode de l’ANSSI et produit un document daté que vous conservez. C’est le format que réclame un contrôle : une position écrite à une date, pas un avis.
La journalisation est le seul point commun entre DORA et le règlement IA
DORA vous impose de savoir ce qui s’est passé sur vos services critiques. Le règlement IA, pour les systèmes à haut risque, impose l’enregistrement automatique des événements pendant la durée de vie du système. Les deux textes ont des périmètres différents et des logiques différentes, mais ils convergent sur un point technique unique : sans journal, il n’y a rien à montrer.
C’est là que le socle se joue, et pas dans la documentation. Journaliser les accès aux assistants d’IA, cloisonner les identités qui les utilisent, empêcher l’installation d’extensions non validées, conserver les traces au-delà du trimestre en cours : ce sont des réglages de tenant et de postes, faits une fois, vérifiés en continu. Nous n’auditons pas cette conformité et nous ne la certifions pas ; nous fabriquons la matière première qu’un auditeur ou un régulateur viendra lire. Notre cadre de conformité DORA fonctionne sur le même principe.
Ce que nous ne savons pas encore
Personne ne sait aujourd’hui si l’ACPR demandera aux SGP un registre des systèmes d’IA distinct du registre d’information DORA, ni si les deux fusionneront. La page de l’ACPR annonce des mises à jour régulières et des réunions de Place ; celle du 1er juillet 2026 n’a pas tranché la question. Nous vous le dirons quand ce sera écrit, et pas avant.
En attendant, l’inventaire que vous constituez sert dans les deux hypothèses. C’est la seule raison de le commencer maintenant.
Par où commencer
Ouvrez la liste des applications autorisées sur votre tenant, comparez-la à ce qui tourne réellement sur cinq postes pris au hasard, et notez l’écart. Si l’écart vous surprend, il y a un sujet. Trente minutes avec un de nos ingénieurs suffisent à savoir ce que votre parc expose aujourd’hui : réserver un créneau.
Notre analyse de juillet sur l’usage de Copilot et Claude au regard de DORA et du RGPD traite le volet contractuel et le volet données personnelles, complémentaire de celui-ci.
