CSSF et IA : ce que le régulateur attend du secteur financier

On cherche souvent une circulaire « IA » de la CSSF. Il n’y en a pas. Le superviseur a publié autre chose : un livre blanc, deux enquêtes chiffrées avec la Banque centrale du Luxembourg, un questionnaire et, en juillet 2026, une attente adressée aux dirigeants.

Je reprends ces documents un par un, avec ce qu’ils disent et ce qu’ils taisent. Les règles qui lient déjà une banque, secret professionnel et externalisation en tête, sont dans notre guide sur le secret bancaire face à l’IA.

Publications de la CSSF sur l’IA : six documents, une seule attente

La page « Intelligence artificielle » du site de la CSSF réunit ses documents, avec des renvois à la BCE, à l’ESMA, à l’ABE et à l’OICV. Presque tout y est en anglais : la CSSF ajoute elle-même « uniquement en anglais » à côté de la plupart des titres.

En juin 2026, la page portait encore la mention « dernière mise à jour : 23 août 2024 ». Ses dates de l’AI Act précèdent donc l’omnibus de juillet 2026. Ça m’agace : le calendrier périmé vient du superviseur lui-même. Ne le recopiez pas dans une procédure interne.

Une seule de ces publications formule une attente : le communiqué de juillet 2026. Les autres décrivent, mesurent ou renvoient. Les gestionnaires de fonds ont leurs propres questions, traitées dans notre guide sur les fonds d’investissement et l’IA.

Livre blanc sur l’intelligence artificielle : l’annexe 3 relue en 2026

Publié le 21 décembre 2018, en anglais, le livre blanc est le fruit d’une étude menée par la CSSF. Sa préface le dit sans détour : ce « white paper » n’a aucune valeur contraignante pour les entités surveillées. Il sert de base de dialogue avec la place.

Le texte date d’avant ChatGPT et parle surtout d’apprentissage automatique. Son annexe 3 range pourtant les risques en cinq familles, données, gouvernance, éthique, technologie et prestataires externes, et presque toutes ses recommandations collent à un assistant d’aujourd’hui.

La ligne que je ferais lire à chaque équipe projet : « Challenge the effective need for using personal data ». Interroger le besoin de données personnelles, c’est le réflexe que détaille la liste des données à ôter d’un texte avant l’IA.

Questionnaire IA de juin 2024 : ce que la BCL et la CSSF ont demandé

Le 19 juin 2024, la CSSF a ouvert dans eDesk, avec la BCL, un questionnaire sur l’usage de l’IA. Visés : banques, entreprises d’investissement, établissements de paiement et de monnaie électronique, gestionnaires de fonds autorisés. Dépôt jusqu’au 7 août 2024, par formulaire ou par API.

Le rapport de 2025 en décrit quatre volets : informations générales, dont l’accès des salariés aux outils publics et les politiques internes ; stratégie numérique ; questionnaire IA (gouvernance, données, sécurité, infrastructure) ; enfin, une fiche par cas d’usage.

Aucune troisième enquête n’est annoncée : les deux institutions disent seulement qu’elles continueront à suivre l’usage de l’IA. J’aurais quand même ces réponses sous la main. La politique écrite peut partir de notre modèle de charte IA.

ChatGPT dans le secteur financier : l’accès mesuré par la revue de 2025

Publiée le 16 mai 2025, en anglais, la deuxième revue thématique repose sur 461 institutions, soit 86 % de participation. Pour la première fois, entreprises d’investissement et gestionnaires de fonds faisaient partie du panel.

Côté outils publics, le rapport cite ChatGPT, Gemini et Claude : 64 % des répondants en ouvrent l’accès, 36 % le refusent. Plus l’entité est grande, plus elle restreint. Les banques ferment le plus : 54 % bloquent.

Le chiffre qui me gêne est ailleurs : parmi les entités qui ouvrent l’accès, six sur dix n’ont aucune politique écrite sur ces outils. Ce qu’un compte personnel fait des données est décrit dans notre guide sur ChatGPT au Luxembourg.

Cas d’usage de l’IA générative : la revue de 2023 face à celle de 2025

La première revue, publiée le 3 mai 2023, portait sur une enquête menée d’octobre 2021 à janvier 2022, donc avant ChatGPT. Sa comparaison avec 2025 montre moins une hausse des usages qu’un changement de nature.

En 2025, 61 % des 402 cas d’usage déclarés reposent sur l’IA générative et 92 % restent internes. Trois cas génératifs sur quatre utilisent un modèle commercial, et 45 % des répondants s’appuient sur un cloud commercial.

La chute de l’auditabilité m’inquiète davantage que la hausse des usages. Un modèle commercial appelé par API se surveille mieux derrière un point de passage unique : c’est le rôle d’un AI gateway en entreprise.

AI Act et cas d’usage à haut risque : ce que la revue a relevé

L’AI Act est entré en vigueur le 1er août 2024, pendant l’enquête. Les répondants ont classé 5 % de leurs cas d’usage « à haut risque » : surtout la notation de crédit, les modèles internes de risque de crédit (IRB) et la détection du blanchiment ou de la fraude.

Selon le rapport, les deux derniers ne relèvent pas de l’annexe III, et ce classement reflète la perception du risque par l’entité. Le règlement écarte la détection de la fraude financière ; le blanchiment n’y est pas nommé. Je ne laisserais pas l’équipe métier trancher seule.

Le jour de l’entrée en vigueur, la CSSF a mis en ligne une page « Questions et réponses » qui renvoie au Q&R de la Commission. Le projet de loi n° 8476 ferait d’elle l’autorité de l’AI Act pour ses entités : voyez notre guide AI Act au Luxembourg.

Communiqué du 7 juillet 2026 : l’IA de pointe et l’organe de direction

C’est la plus récente des six, en anglais, et la seule qui formule une attente. Elle ne parle pas des assistants des salariés, mais des attaquants : les modèles d’IA de pointe peuvent réduire presque à rien le délai entre la publication d’une faille et son exploitation.

La CSSF constate que, dans beaucoup d’établissements, les scans de vulnérabilités sont trop espacés et les correctifs tardent. Elle attend de tous les membres de l’organe de direction des structures de gouvernance pour gérer ce risque, dans la ligne de DORA.

Le texte pose qu’une partie des attaques réussira. Je relirais donc la procédure d’incident en même temps que le plan cyber : si des données clients sortent, la notification à la CNPD a ses propres délais.

Inventaire IA et pièces de compliance : ce que l’assistant n’a pas à lire

Le travail que ces documents appellent, inventaire, politique écrite, relecture des sorties, finit souvent dans un assistant : on lui fait résumer des tickets, reformuler une procédure, trier des cas. Les pièces de travail portent alors des noms de clients, des IBAN, des matricules.

Nonimo pour le Luxembourg pose sur votre ordinateur des étiquettes à la place de ces données, puis rétablit les originaux dans la réponse. Fin octobre 2026, un e-mail de compliance inventé est passé dans le moteur : nom du client, GSM, IBAN, société et numéro RCS ont été remplacés.

Ouvrir ou fermer l’accès aux outils publics, je ne le confie à aucun logiciel : la revue de 2025 montre combien ce choix divise la place. Pour un relevé en PDF, passez par nos outils qui masquent les fichiers.

Sources

• CSSF, page « Intelligence artificielle » : livre blanc du 21 décembre 2018 et revues de 2023 et 2025, en anglais ; Q&R du 1er août 2024 renvoyant à la Commission ; mise à jour du 23 août 2024.
• CSSF, communiqué du 7 juillet 2026 sur l’IA et son adoption : attente envers l’organe de direction, huit mesures, renvois au CERS et au FSB.
• BCL et CSSF, rapport thématique sur l’IA, mai 2025 : questionnaire de juin à août 2024, 461 répondants, accès aux outils publics, politiques, cas d’usage, classification AI Act.
• BCL et CSSF, rapport thématique sur l’IA, mai 2023 : enquête d’octobre 2021 à janvier 2022, 138 participants, 158 cas d’usage.
• CERS (ESRB), alerte du 7 juillet 2026 sur l’IA de pointe : publication citée par la CSSF.
• Règlement (UE) 2024/1689 sur l’intelligence artificielle : article 74, paragraphe 6, et annexe III, point 5.
• Chambre des Députés, dossier parlementaire n° 8476 : projet de loi de mise en œuvre de l’AI Act, toujours en commission.

Consulté le 10 novembre 2026.