Par Jérôme Sutour, avocat associé en banque & finance, responsable des pratiques services financiers et blockchain/ crypto-actifs. Il intervient sur tous les aspects de régulation bancaire et financière.

Le régulateur européen des marchés financiers a récemment exposé dans une annonce publique du 30 mai 2024 (1) (la « Communication ») ses premières orientations et recommandations quant à l’utilisation de l’Intelligence Artificielle (« IA ») en matière de services financiers.

Sans préjudice des règles tirées de l’IA Act (2) adopté en avril de cette année et sans attendre la désignation des autorités de tutelle compétentes pour en appliquer les normes, l’ESMA précise déjà les points d’attention spécifiques à cette nouvelle technologie en droite ligne avec ses précédents commentaires sur les robo-advisors et, bien sûr, l’IA Act.

L’ESMA distingue en particulier quatre principaux risques liés à l’utilisation de l’IA :

– le manque de supervision et la trop grande confiance dans l’IA ;

– le manque de transparence et le défaut d’explicabilité ;

– la sécurité et la confidentialité des données ; et

– la fiabilité des produits de l’IA.

Ces risques doivent, selon le régulateur européen, être pris en compte au regard des obligations auxquelles les prestataires de services d’investissement (« PSI ») sont tenus à l’égard de leur clientèle de détail. Ainsi, l’ESMA rappelle que les obligations d’agir dans le meilleur intérêt des clients et de contrôler les risques liés à leur activité constituent des conditions essentielles au maintien de leur agrément pour les PSI. Sur cette base, le régulateur européen précise que les PSI doivent notamment être transparents quant à l’utilisation de l’IA et former leurs salariés à l’utilisation de cet outil ; ce sont là des recommandations conformes aux positions passées du régulateur européen et à la règlementation sectorielle en matière financière. Pour autant, cette Communication va plus loin que les positions précédentes et s’inscrit clairement dans la ligne de l’IA Act en matière de gestion des risques et de contrôle des processus décisionnels de l’IA ou de DORA (3) s’agissant de la capacité à obtenir des informations et s’assurer de la résilience des prestataires tiers.

Si, sans surprise, le régulateur européen insiste sur l’obligation pour les PSI de s’assurer de la bonne qualité des données utilisées par l’IA pour éviter les biais de l’outil, c’est en matière de contrôle que l’ESMA apparaît la plus exigeante. Sur ce point, c’est avant tout sur les instances dirigeantes des PSI qu’elle entend faire peser cette responsabilité en exigeant de ces dernières qu’elles aient une bonne compréhension de ces technologies afin d’assurer un contrôle efficace de ces technologies. Cette capacité de compréhension est à relier avec le principe d’explicabilité de l’IA Act.

Une fois ce principe posé, le régulateur européen met logiquement en exergue dans sa Communication la responsabilité pour les PSI de mettre en œuvre des processus efficaces de contrôle des résultats de l’IA, notamment en matière d’alignement des produits au regard des résultats au test d’adéquation ou de caractère approprié mais également en termes de remise d’information.

Au final, la Communication constitue un nouvel acte en vue du renforcement des exigences liées à l’utilisation de l’IA et s’inscrit dans la droite ligne des règlementations récentes en la matière.