Oui, une société de gestion régulée AMF/ACPR peut utiliser l’IA générative, à condition de la traiter comme un tiers TIC de plus : encadrée, journalisée et cloisonnée. Le vrai risque n’est pas l’outil validé, c’est le shadow IA : le collaborateur qui colle un reporting confidentiel dans un ChatGPT grand public, hors de tout contrôle. Notre métier, c’est le socle technique qui rend l’usage défendable ; le vôtre, avec votre RCCI et votre DPO, c’est de le documenter. Et là encore, nous vous aidons.

Copilot ou ChatGPT dans une société de gestion régulée : est-ce autorisé ?

Aucun texte n’interdit l’IA générative en société de gestion. Mais depuis l’entrée en application de DORA le 17 janvier 2025, tout service numérique qui traite vos données entre dans le périmètre de la résilience opérationnelle : cartographie, gestion du risque, contractualisation, journalisation. Une IA qui lit vos e-mails, vos documents et vos reportings n’est pas une exception : c’est un fournisseur de services TIC comme un autre, à inscrire dans votre registre d’information et à encadrer.

La bonne question n’est donc pas « a-t-on le droit ? » mais « peut-on le prouver et le maîtriser ? ».

Qu’est-ce que le « shadow IA », et pourquoi c’est le vrai risque ?

Le shadow IA, c’est l’usage d’outils d’IA non validés par la DSI : un collaborateur qui soumet un pacte d’associés, un dossier KYC ou une liste de positions à un service grand public. Les conséquences pour une société de gestion sont directes : sortie de données confidentielles hors de l’UE, perte du secret des affaires, violation RGPD, et surtout aucune trace, donc rien à présenter en cas de contrôle ou d’incident.

Interdire par note de service ne suffit pas. Ce qui fonctionne, c’est d’offrir une IA autorisée et sûre, et de bloquer techniquement les fuites vers les autres.

IA cloisonnée contre shadow IA : le document autorisé passe et est journalisé, la fuite vers l'IA grand public est bloquée par la DLP Deux chemins partent des documents de la société. Vers le haut, l'IA d'entreprise cloisonnée dans le tenant : le document passe et l'usage est journalisé. Vers le bas, l'IA grand public : le document est arrêté par la barrière DLP avant de sortir, avec la mention bloqué. Vos documents reportings, KYC, positions IA d'entreprise cloisonnée dans votre tenant ✓ autorisée · journalisée DLP IA grand public hors contrôle, hors UE bloqué par la DLP
Le même document, deux destins : vers l'IA d'entreprise cloisonnée, il passe et laisse une trace exploitable ; vers l'IA grand public, il est arrêté par les règles anti-fuite avant de sortir. Le shadow IA devient techniquement impossible, pas seulement déconseillé.

Ce que DORA et le RGPD imposent concrètement

Pour un usage de l’IA compatible avec vos obligations, quatre exigences se recoupent :

  • Résidence et cloisonnement des données : les données ne doivent ni servir à entraîner un modèle public, ni quitter un périmètre maîtrisé, idéalement votre tenant Microsoft 365 / Azure.
  • Base légale et minimisation RGPD : pas de données personnelles ou clients au-delà du nécessaire, avec information des personnes.
  • Journalisation et traçabilité : qui a utilisé quoi, quand, sur quelles données. La logique « démontrable, pas déclaré ».
  • Humain dans la boucle : aucune décision d’investissement, de conformité ou de reporting produite sans validation humaine.

Qui fait quoi ? Le partage des rôles

Nous ne nous substituons ni à votre RCCI, ni à votre DPO, ni à votre conseil juridique : par indépendance, ITAIA ne fait ni audit ni conformité réglementaire. Vous documentez le volet juridique (charte d’usage de l’IA, base légale, analyse d’impact, inscription au registre), et nous vous aidons à le remplir avec les éléments techniques réels. Nous conseillons et nous outillons : choix d’une IA cloisonnée, réglages de sécurité, et surtout mise en œuvre des garde-fous.

Notre rôle : le socle technique qui rend l’IA défendable

Concrètement, sur votre environnement :

  • Anti-upload / DLP : nous posons des règles qui empêchent la sortie de fichiers et de contenus sensibles vers les IA non autorisées (blocage des uploads vers les services d’IA grand public, contrôle des extensions navigateur, filtrage réseau). Le shadow IA devient techniquement impossible, pas seulement déconseillé.
  • IA cloisonnée : déploiement et gouvernance d’une IA d’entreprise (Copilot ou Claude sur votre tenant M365 ou Azure), où vos données restent chez vous et ne nourrissent aucun modèle public.
  • Journalisation : télémétrie des usages, exploitable en cas de contrôle ACPR ou d’incident.
  • Durcissement des identités : MFA, accès conditionnel, séparation des périmètres, pour que seul le bon utilisateur accède au bon outil.

Vous voulez ouvrir l’IA à vos équipes sans ouvrir une brèche de conformité ? Réservez un diagnostic de 60 minutes, sans engagement. Nos réponses aux questions fréquentes des sociétés de gestion sont aussi dans notre FAQ finance régulée.

Sources : ACPR, DORA en application depuis le 17 janvier 2025.