Sanctions IA Act : pourquoi la direction financière est désormais en première ligne
Depuis le 2 août, le volet transparence du règlement européen sur l’intelligence artificielle (IA Act) est pleinement applicable et les sanctions pour non-conformité frappent directement les entreprises qui déploient des systèmes d’IA en production. Pour un directeur administratif et financier, cette nouvelle phase du cadre européen transforme un sujet perçu comme juridique en enjeu financier majeur, avec des amendes pouvant atteindre plusieurs millions d’euros selon le niveau de risque et la gravité des pratiques interdites, comme le prévoit l’article 99 du règlement (UE) 2024/1689 publié au Journal officiel de l’Union européenne. Les autorités françaises compétentes, notamment la DGCCRF, la CNIL et l’Arcom, peuvent désormais contrôler l’application de ce règlement et cibler les usages IA qui touchent les flux financiers, la relation client et la gouvernance des données.
Les outils de prévision de trésorerie, de scoring clients, de recouvrement ou les chatbots intégrés aux ERP sont concernés par ces obligations de transparence et de conformité, même lorsqu’ils reposent sur des modèles d’IA générative (GPAI) fournis par des hyperscalers. Chaque système d’IA utilisé par la direction financière doit être analysé comme un système de risque, avec une cartographie des usages, des données traitées et des impacts potentiels sur les droits fondamentaux des clients, des salariés ou des fournisseurs. La question n’est plus de savoir si l’IA est utilisée, mais de démontrer que chaque système, chaque modèle et chaque usage respecte le règlement européen, le RGPD et les nouvelles obligations de transparence qui s’imposent désormais aux entreprises en matière de conformité IA.
Le texte distingue plusieurs niveaux de risque, du risque inacceptable aux systèmes à risque limité, et impose une documentation technique proportionnée à chaque niveau de risque identifié dans l’entreprise, comme le détaillent les annexes III et VIII de l’IA Act. Les pratiques interdites, comme certains systèmes de manipulation comportementale ou de scoring social, sont sanctionnées jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial, ce qui impose au DAF de vérifier que les usages IA de la fonction finance ne dérivent pas vers un risque annexe non anticipé. Même pour les systèmes à risque limité, les obligations de transparence, de supervision humaine et d’information des utilisateurs deviennent opposables, ce qui place la direction financière au cœur de la mise en conformité et du pilotage budgétaire associé.
Cartographier les systèmes IA de la fonction finance et qualifier le niveau de risque
La première réponse opérationnelle au nouveau cadre de sanctions et de conformité IA consiste à cartographier tous les systèmes d’intelligence artificielle utilisés dans la direction financière, qu’ils soient internes, embarqués dans un ERP ou fournis en mode SaaS. Cette cartographie doit distinguer chaque système, chaque modèle et chaque usage, en identifiant les flux de données, les finalités, les liens avec le RGPD et le niveau de risque pour les personnes concernées, clients comme collaborateurs. Un simple chatbot de support interne peut relever d’un risque limité, alors qu’un système de scoring crédit ou de détection de fraude automatisée peut être classé comme système de risque élevé, avec des obligations renforcées de documentation technique et de supervision humaine.
Pour un DAF, l’enjeu n’est pas de produire un inventaire théorique, mais de relier chaque système de risque à des impacts financiers concrets, en euros et en millions d’euros potentiels de sanctions ou de pertes de chiffre d’affaires. Les systèmes de prévision de trésorerie, de pricing dynamique ou de gestion du BFR doivent être analysés sous l’angle des biais de données, des usages secondaires non prévus et des risques d’atteinte aux droits fondamentaux, notamment en matière de discrimination ou de profilage abusif. Cette approche par les niveaux de risque permet de prioriser la mise en conformité, en concentrant les ressources sur les systèmes à risque inacceptable ou à risque élevé, tout en sécurisant progressivement les usages à risque limité.
Les directions financières peuvent s’appuyer sur les travaux existants en maîtrise des risques, notamment les dispositifs d’audit interne, pour intégrer la dimension IA sans créer une usine à gaz, comme le montre l’approche décrite dans l’analyse sur la construction d’un dispositif de maîtrise des risques en ETI. Un cas typique : une ETI industrielle qui utilise un moteur de scoring pour accorder des délais de paiement a dû revoir ses paramètres après la détection de biais géographiques, afin de rester conforme au RGPD et aux exigences de l’IA Act. Les obligations de transparence imposent de documenter les modèles GPAI utilisés, les paramètres de chaque système et les mécanismes de supervision humaine, afin de démontrer que l’application du règlement est effective et que les usages sont alignés avec l’intérêt public et la protection des personnes. Cette documentation technique devient un actif de gouvernance, au même titre qu’un manuel de procédures comptables ou qu’un référentiel de contrôle interne, et doit être maintenue à jour tant que les systèmes restent en vigueur dans l’entreprise.
Budget, calendrier et gouvernance : organiser la mise en conformité IA côté DAF
La mise en conformité à l’IA Act et au nouveau régime de sanctions n’est pas un projet purement juridique, mais un chantier de gouvernance et de budget piloté par la direction financière. Entre les audits de systèmes, la revue des contrats fournisseurs, le marquage technique des contenus générés et la formation des équipes, les coûts se chiffrent rapidement en centaines de milliers d’euros pour une grande entreprise, voire en millions d’euros pour un groupe très numérisé. Le DAF doit intégrer ces dépenses dans une trajectoire pluriannuelle, en les articulant avec d’autres chantiers réglementaires comme la facturation électronique, dont les impacts sont détaillés dans l’analyse sur le décret du 27 juillet et la préparation des échéances.
Le calendrier réglementaire impose une séquence claire : transparence et pratiques interdites déjà sanctionnables, puis entrée en vigueur progressive pour les systèmes à haut risque, notamment en matière de scoring crédit, de recrutement ou de biométrie. Les directions financières doivent anticiper ces échéances en intégrant les exigences de documentation technique, de supervision humaine et de gestion des systèmes de risque dans leurs feuilles de route IT et data, y compris pour les projets de digital omnibus ou d’intégration de modèles GPAI dans les processus métiers. Pour structurer l’action, un DAF peut suivre un triptyque simple : 1/ recenser et classer les systèmes d’IA par niveau de risque, 2/ budgéter les actions de mise en conformité IA et les intégrer au plan d’investissement, 3/ suivre régulièrement les indicateurs de risques IA pour la finance et les ajuster en fonction des retours des régulateurs. L’objectif n’est pas seulement d’éviter les sanctions, mais de transformer la conformité en avantage compétitif, en renforçant la confiance des investisseurs et des régulateurs dans la robustesse des systèmes d’intelligence artificielle utilisés par l’entreprise.
Sur le plan de la gouvernance, la fonction finance a intérêt à co-piloter avec la direction juridique, la DSI et la direction des risques un comité IA qui arbitre les usages, les niveaux de risque acceptables et les obligations de transparence associées. Ce comité doit suivre l’application du règlement, les évolutions de l’IA Act, les annexes techniques et les interactions avec le RGPD, tout en s’assurant que les systèmes restent alignés avec l’intérêt public et les droits fondamentaux, même lorsque les usages évoluent. Pour structurer ce pilotage, les DAF peuvent s’inspirer des approches décrites dans l’analyse sur la conformité réglementaire et la performance financière à l’ère de la transparence, en gardant en tête que la valeur ne vient pas du reporting, mais de la décision qu’il déclenche.