FinTech et intelligence artificielle : quand trois règlements s’appliquent en même temps
Temps de lecture : 5-6 min
Mis à jour le 7 novembre 2026
Imaginez une FinTech qui lance un outil de scoring crédit. L’algorithme analyse des centaines de variables, produit un score en quelques secondes, et recommande d’accorder ou de refuser un prêt. L’outil est performant, l’équipe est fière du résultat, les premiers clients signent.
Ce qui n’est pas toujours cartographié est que cet outil est simultanément dans le champ de l’AI Act, de DORA et du Data Act. Trois règlements européens, trois logiques de conformité et un seul produit.
Ce n’est pas un cas théorique, c’est la réalité opérationnelle de beaucoup de FinTech en 2026, qu’elles soient en phase de croissance, sous agrément ACPR ou en train de signer leur premier contrat avec un grand compte bancaire. Dans les trois cas le cadre réglementaire s’applique, souvent de manière différente mais rarement de manière isolée.
Cette page fait partie du Guide Juridique de l’Entrepreneur et du Dossier IA & Droit.
Le scoring crédit : un cas d’école à trois entrées réglementaires
Le scoring crédit automatisé figure explicitement en Annexe III de l’AI Act parmi les systèmes à haut risque. Cela signifie des obligations renforcées : traçabilité des décisions, qualité des données d’entraînement, supervision humaine effective, documentation technique. Ces obligations s’appliqueront pleinement en décembre 2027 mais les exigences de transparence de l’article 50 sont actives depuis août 2026. Tout utilisateur qui interagit avec un système d’IA doit en être informé, déjà maintenant.
DORA entre en jeu dès que l’outil repose sur une infrastructure numérique, ce qui est toujours le cas. Le règlement impose que les systèmes critiques soient résilients, testés, documentés, et que les dépendances aux prestataires tiers soient cartographiées et contractuellement encadrées. Si votre modèle de scoring tourne sur un cloud tiers ou s’appuie sur une API externe, DORA s’intéresse à cette chaîne de dépendance.
Le Data Act, enfin, régule l’accès et le partage des données générées par l’utilisation de vos services. Dans un contexte de scoring, les données produites par l’interaction entre l’utilisateur et votre outil ne vous appartiennent pas intégralement et les conditions dans lesquelles vous les exploitez pour entraîner ou améliorer votre modèle méritent d’être examinées.
Trois règlements, trois angles d’attaque sur le même produit.
Détection de fraude, KYC, robo-advisor : le problème est structurel
Le scoring crédit n’est pas un cas isolé. La détection de fraude en temps réel pose une difficulté supplémentaire. La décision doit être quasi-instantanée mais l‘obligation de supervision humaine de l’AI Act ne disparaît pas pour autant : elle se structure en aval. Concrètement, cela suppose de définir des seuils d’alerte documentés, d’assurer une journalisation automatique des décisions (AI Act, Article 12), de prévoir une procédure de contestation accessible à l’utilisateur et d’organiser un audit régulier des faux positifs. La supervision n’est pas en temps réel mais elle doit être systématique et traçable.
Les outils de KYC et d’AML automatisés soulèvent les mêmes questions, avec un enjeu supplémentaire : ils produisent des décisions d’exclusion, refus d’entrée en relation, gel de compte, qui affectent directement des personnes physiques et sont potentiellement contestables. L’articulation avec l’article 22 du RGPD, qui encadre les décisions exclusivement automatisées, exige de conserver une capacité d’arbitrage humain qualifié et motivé pour chaque refus.
Le robo-advisor et la tarification dynamique ne figurent pas en Annexe III, mais dès lors qu’ils influencent l’accès à un service financier ou le prix auquel il est proposé, la frontière avec le haut risque est mince. L’absence de classification formelle ne constitue pas une immunité.
DORA : qui est vraiment concerné ?
DORA s’applique aux entités financières sous agrément : établissements de paiement, établissements de monnaie électronique, entreprises d’investissement, établissements de crédit. Si vous avez un agrément ACPR ou AMF, vous êtes dans le champ, sans discussion.
Une FinTech early-stage sans agrément n’est pas directement soumise à DORA, mais elle peut l’être indirectement. Si vous fournissez un outil technologique à une banque, un assureur ou un établissement de paiement, vous êtes potentiellement qualifié de prestataire tiers de services TIC. Votre client régulé a l’obligation de vous auditer, d’encadrer contractuellement la relation, et de s’assurer de votre résilience opérationnelle. En pratique : c’est vous qui devrez répondre à ses exigences, produire une documentation, et accepter des clauses contractuelles que DORA impose à votre client de vous imposer.
Beaucoup de FinTech B2B découvrent cette réalité au moment de signer avec leur premier grand compte bancaire.
Par où commencer quand on est face aux trois textes simultanément ?
La première erreur est de traiter les trois règlements séparément, avec trois chantiers distincts. Leurs périmètres se recoupent (les données, les systèmes, les décisions automatisées) et une approche silotée produit des redondances coûteuses et des angles morts dangereux.
Le point de départ est une cartographie croisée des briques techniques : isoler chaque modèle d’IA pour déterminer sa classe de risque (AI Act), recenser les infrastructures et API tierces sur lesquelles il repose (DORA), et identifier la nature des flux de données consommés et générés (Data Act et RGPD).
Vient ensuite la revue contractuelle et le verrouillage de la chaîne de dépendance (SaaS et API). Vos contrats avec vos fournisseurs cloud et vos prestataires API prévoient-ils les clauses de résilience et d’audit exigées par DORA ? Vos conditions générales informent-elles correctement vos utilisateurs de l’existence de systèmes d’IA dans vos processus ? Qu’en est-il des SLA de continuité et obligation de notification d’incidents de sécurité ? Si vous fournissez des entités réglementées, êtes-vous en mesure de répondre à leurs obligations de diligence sur vos propres systèmes ?
Enfin vient la gouvernance de la décision algorithmique. Comme pour les RH, formaliser que la machine propose et que l’humain dispose n’est pas une posture. C’est une exigence documentée qui doit se traduire dans vos procédures opérationnelles et qui permet de garantir la traçabilité des modèles. Il s’agit d’être en mesure de prouver aux autorités (CNIL, ACPR, AMF) la qualité des données d’entraînement et la capacité réelle d’un opérateur à infirmer une recommandation automatisée.
Identifier les zones de chevauchement entre les trois textes, qualifier juridiquement vos usages, sécuriser vos contrats fournisseurs et clients dans ce triple cadre réglementaire : c’est là qu’intervient l’expertise en droit des technologies. Non pas pour empiler les mémos conformité, mais pour sécuriser la valeur de votre produit et accélérer vos signatures grands comptes.
Vous souhaitez cartographier vos obligations au regard de l’AI Act, de DORA et du Data Act ?
Celestial Guardian propose des formations et un accompagnement sur mesure pour les équipes FinTech.
Questions fréquentes : IA, FinTech et Réglementations Européennes
Une FinTech non agréée ACPR/AMF est-elle concernée par DORA ?
Oui, de manière indirecte mais juridiquement contraignante. Si votre FinTech fournit une solution logicielle, une API ou une infrastructure cloud à un établissement régulé (banque, entreprise d'investissement, établissement de paiement), vous êtes qualifié de prestataire tiers de services TIC. Dans ce cadre, votre client a l'obligation légale d'encadrer contractuellement la relation, de vérifier votre résilience opérationnelle et de conduire des audits sur vos systèmes.
Le scoring crédit automatisé relève-t-il systématiquement du haut risque au sens de l'AI Act ?
Oui. La Section 5 (b) de l'Annexe III de l'AI Act classe expressément parmi les systèmes d'IA à haut risque les algorithmes destinés à être utilisés pour évaluer la solvabilité des personnes physiques ou établir leur score de crédit. Cela implique des exigences renforcées : gouvernance des données d'entraînement, documentation technique détaillée, enregistrement des événements (logging) et supervision humaine effective.
Comment concilier la détection de fraude en temps réel et l'obligation de supervision humaine ?
C'est le principal défi d'ingénierie juridique des FinTech. Lorsque le blocage d'une transaction suspecte s'effectue en quelques millisecondes, la supervision humaine ne peut pas s'interposer a priori sur chaque opération. L'AI Act et DORA imposent alors une supervision a posteriori rigoureuse : définition de règles d'alerte, capacité pour un opérateur humain d'infirmer immédiatement une décision algorithmique, audit des faux positifs et traçabilité complète des motifs de blocage.
Quel est l'impact du Data Act sur l'entraînement des modèles d'IA financiers ?
Le Data Act ne régit pas les données personnelles (le terrain exclusif du RGPD), mais l'accès et l'utilisation des données non personnelles générées par l'utilisation de produits ou de services liés. Dans le secteur financier et technologique, son articulation exacte avec l'entraînement des modèles algorithmiques et la réutilisation des flux de données générés par les utilisateurs reste en grande partie un terrain d'interprétation, dont les contours précis se dessinent progressivement par la pratique contractuelle et la doctrine des autorités. La vigilance impose donc d'encadrer strictement ces usages par voie contractuelle dans les CGU et les accords B2B.
Par où commencer si mon produit FinTech accumule les trois réglementations ?
La première étape consiste à abandonner l'approche en silos pour réaliser une cartographie croisée unique. Il s'agit d'isoler le produit, de qualifier ses composantes algorithmiques (AI Act), de recenser les dépendances d'infrastructures et de prestataires (DORA) et d'analyser les flux de données (Data Act et RGPD). Cette analyse permet de mettre à jour simultanément les contrats SaaS, les politiques de résilience et la documentation défendable en cas de contrôle ou d'audit grand compte.
Cadrer votre besoin avant de décider
Droit du numérique, conformité RGPD, IA Act : les obligations existent et les échéances sont réelles. Ce qui distingue les structures exposées de celles qui ne le sont pas, c’est la capacité à démontrer que leurs usages sont documentés et encadrés.
Celestial Guardian propose des sessions de cadrage pour identifier vos priorités juridiques et définir le mode d’intervention le plus adapté à votre situation.
→ Formulaire de contact
Cette page fait partie du Guide juridique pour entrepreneurs, votre référence pour sécuriser et structurer votre activité.
Rédigé par Anne-Sophie, Juriste en droit des affaires et droit du numérique | 15 ans d’expérience
Diplômée en droit international des affaires et certifiée CIPP/E, Anne-Sophie a construit son expertise en entreprise, au contact des enjeux contractuels et réglementaires liés à l’innovation technologique et au numérique. Elle accompagne entrepreneurs et startups dans la sécurisation juridique de leur activité : rédaction et négociation de contrats, mise en conformité RGPD et AI Act, gouvernance opérationnelle.