Règlement européen sur l'IA : ce qui s'applique à un cabinet de courtage depuis le 2 août 2026

Pour un cabinet de courtage qui utilise l'IA pour classer des messages, rédiger des brouillons ou répondre automatiquement sous règles, le règlement (UE) 2024/1689 sur l'intelligence artificielle impose aujourd'hui deux choses : prendre des mesures de maîtrise de l'IA pour le personnel (article 4) et signaler au client qu'il échange avec une IA quand ce n'est pas évident (article 50, applicable depuis le 2 août 2026). Les obligations « haut risque » ne visent pas ces usages, et elles sont de toute façon reportées au 2 décembre 2027.

Le reste de cet article détaille le calendrier après la révision de l'été 2026, les deux obligations utiles et ce qui ne change pas.

Le calendrier après l'omnibus de juillet 2026

Le règlement est entré en vigueur le 1^er août 2024 et s'applique par vagues. Le règlement (UE) 2026/1744 (« omnibus numérique » sur l'IA), publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026, a repoussé les échéances du haut risque et réécrit l'article 4. Il n'a pas déplacé la date d'application générale.

Déployeur, pas fournisseur : ce que cela change

Le règlement répartit les obligations selon le rôle. Le fournisseur développe le système et le met sur le marché sous son nom ; le déployeur l'utilise sous sa propre autorité dans son activité professionnelle. Un cabinet abonné à un CRM doté de fonctions d'IA est déployeur ; l'éditeur est fournisseur.

Les obligations lourdes — documentation technique, gestion des risques, évaluation de la conformité, marquage CE — visent les systèmes à haut risque et pèsent sur le fournisseur. Les devoirs propres du déployeur d'un système à haut risque (article 26 : notice, supervision humaine, journaux) ne s'appliquent pas non plus à un outil qui classe des messages. Pour un usage courant, il reste à un cabinet l'article 4 et, en pratique, l'article 50.

Un point de vigilance : celui qui met un système d'IA en service sous son propre nom répond à la définition du fournisseur (article 3). Un cabinet qui présenterait un assistant comme « le conseiller virtuel du cabinet X », sans mention de l'outil sous-jacent, devrait vérifier avec l'éditeur qui porte l'obligation d'information de l'article 50.

Article 50 : dire au client qu'il parle à une machine

Les systèmes destinés à interagir directement avec des personnes physiques doivent être conçus de façon que ces personnes sachent qu'elles s'adressent à une IA, sauf si c'est évident pour une personne raisonnablement avertie compte tenu du contexte. La foire aux questions de la Commission sur l'article 50 confirme que l'obligation de conception vise le fournisseur. Mais c'est le nom du cabinet qui apparaît dans la conversation WhatsApp.

La formule n'a pas besoin d'être juridique : « Réponse automatique — un conseiller reprend la conversation dès qu'elle sort du cadre » informe et annonce l'escalade. Le partage des rôles entre IA et humain est traité dans qui valide quoi dans un cabinet de courtage, et le choix entre automate scripté et IA supervisée dans le comparatif chatbot ou IA supervisée.

Article 4 : une obligation de moyens depuis juillet 2026

Dans sa version de 2024, l'article 4 demandait de garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA. Depuis le règlement 2026/1744, fournisseurs et déployeurs doivent prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel, sans être tenus de garantir un niveau précis pour chaque personne. La Commission et les États membres doivent, en contrepartie, soutenir ces efforts, notamment pour les PME.

Concrètement, il faut pouvoir montrer ce qui a été fait. Une session courte et tracée suffit pour un cabinet : ce que l'outil fait et ne fait pas, ce qu'on ne le laisse jamais écrire (montant de garantie, confirmation de prise en charge, acceptation de sinistre), comment repérer une réponse fausse mais plausible, quand reprendre la main. Une note interne datée, mise à jour à chaque changement d'outil, sert de preuve. La charte d'usage des outils grand public est détaillée dans notre article sur la charte IA à écrire pour les collaborateurs.

Ce qui ne change pas : RGPD, DDA, supervision

1. Le RGPD s'applique en entier. Base légale, minimisation, information des personnes, durée de conservation : rien n'est allégé parce qu'un traitement passe par une IA. Le détail est dans la checklist RGPD de l'IA en cabinet.
2. Le devoir de conseil reste humain. La DDA impose de recueillir les exigences et besoins du client et de motiver le conseil ; le règlement IA ne permet pas de déléguer cette responsabilité. En cas de litige, c'est l'intermédiaire qui répond.
3. Le superviseur est désigné. Selon sa page consacrée au règlement, l'ACPR a été désignée autorité de surveillance du marché pour les systèmes d'IA à haut risque du secteur financier, et peut aussi examiner les autres systèmes d'IA utilisés par les organismes qu'elle contrôle.

Dans ORIS, l'IA classe les réponses entrantes, propose des brouillons et peut répondre automatiquement sous des règles fixées par le cabinet (activation, délai entre deux réponses, nombre maximal de réponses automatiques par client). Un message au ton négatif n'est jamais envoyé automatiquement : il devient un brouillon à valider. Les conversations restent consultables dans l'inbox partagée et le journal d'audit trace les actions, ce qui facilite la revue interne.

Questions fréquentes

Un cabinet de courtage utilise-t-il un système d'IA « à haut risque » ?

Rarement. L'annexe III vise notamment l'évaluation des risques et la tarification en assurance vie et santé, et l'évaluation de la solvabilité : des usages d'assureur ou de plateforme de souscription. Un outil qui classe des messages ou rédige des brouillons n'en fait pas partie. Pour un outil de scoring, posez la question de sa qualification à l'éditeur, par écrit.

Faut-il une mention « IA » sur chaque message ?

Non. Un message relu et envoyé par un gestionnaire n'est pas concerné. Une réponse automatique sans intervention humaine se signale une fois, clairement, plutôt qu'à chaque ligne.

L'assouplissement de l'article 4 dispense-t-il de former l'équipe ?

Non. Le texte ne fixe plus de niveau à atteindre, mais il impose toujours de prendre des mesures. Sans trace de ces mesures, le cabinet ne peut pas montrer qu'il a respecté l'obligation.

Qui est responsable si l'IA écrit une erreur à un client ?

Le cabinet, vis-à-vis de son client. Le règlement répartit des obligations de conformité entre fournisseur et déployeur, sans déplacer la responsabilité professionnelle de l'intermédiaire. D'où l'intérêt d'exclure des réponses automatiques tout ce qui touche à la garantie, au montant et à la prise en charge.