# Grand groupe bancaire, scoring de crédit : la charge complète de fournisseur, sur un terrain déjà réglementé

> Une banque qui construit en interne son système de notation de solvabilité en devient le fournisseur au sens de l'AI Act : gestion des risques, documentation technique, évaluation de conformité. Le règlement se superpose à des obligations bancaires déjà en place, il ne les remplace pas.

- Source : https://probans.org/ia/obligations-ai-act-entreprises/banque-scoring-credit-ai-act
- Catégorie : Intelligence artificielle
- Auteur : Axel Morel
- Publié le : 2026-08-10

Un grand groupe bancaire construit et entraîne en interne le modèle qui évalue la solvabilité de ses clients particuliers pour l'octroi de crédits à la consommation. L'Annexe III de l'AI Act classe explicitement ce type de système à haut risque, au point 5(b), pour tout système destiné à évaluer la solvabilité de personnes physiques ou à établir leur score de crédit, à l'exception des systèmes de détection de fraude financière, expressément exclus [1]. Contrairement à une PME qui achète un outil, une banque qui développe son propre modèle en devient directement le **fournisseur** au sens du règlement, pas seulement le déployeur.

1. Le statut de fournisseur, et non de simple déployeur, change la nature de la charge réglementaire : gestion des risques, gouvernance des données, documentation technique, journalisation, conception de la supervision humaine, robustesse et cybersécurité, sont dus dès la conception du système, pas seulement à son usage [2].
2. Ce système de scoring de crédit relève d'une évaluation de conformité par contrôle interne, sans intervention d'un organisme extérieur : la banque s'auto-évalue et signe sa propre déclaration de conformité, la même procédure que pour les sept autres catégories de l'Annexe III hors biométrie [3].
3. Cette charge s'ajoute à des exigences de gouvernance des modèles déjà imposées par le superviseur bancaire européen sur le risque de crédit, ce qui gagne à être examiné comme une extension d'un dispositif existant plutôt que comme un chantier de conformité entièrement nouveau.

## Un classement sans ambiguïté, une exception précise à ne pas manquer

*Ce que les textes établissent.* L'Annexe III, point 5(b), couvre les systèmes destinés à évaluer la solvabilité de personnes physiques ou à établir leur score de crédit [1]. Le texte prévoit une exception explicite : les systèmes utilisés pour détecter une fraude financière restent hors du périmètre haut risque, même s'ils reposent sur les mêmes techniques de scoring [1]. Une banque qui déploierait le même modèle statistique à la fois pour noter la solvabilité d'un client et pour détecter une fraude sur sa demande de prêt doit donc distinguer ces deux usages : le premier relève de l'Annexe III, le second en est exclu.

## La charge de fournisseur, dans le détail

*Ce que les textes établissent.* Les articles 9 à 17 du règlement listent les obligations dues par un fournisseur de système à haut risque : un système de gestion des risques documenté sur tout le cycle de vie du modèle, une gouvernance des données d'entraînement limitant les biais, une documentation technique complète, une journalisation permettant la traçabilité des décisions, une conception permettant une supervision humaine effective, et des tests de robustesse et de cybersécurité [2]. Ce système de scoring de crédit suit, comme les six autres catégories de l'Annexe III hors biométrie, une évaluation de conformité par contrôle interne : c'est la banque elle-même qui vérifie et atteste sa conformité, sans organisme notifié extérieur [3].

*Mon interprétation.* Pour un établissement bancaire, cette liste recoupe très largement des pratiques déjà exigées par la gouvernance du risque de modèle imposée par le superviseur prudentiel européen sur les modèles internes de notation de crédit, un cadre déjà en place depuis plusieurs années dans la plupart des grands groupes. La différence tient moins à l'apparition d'obligations inédites qu'à leur formalisation explicite sous un texte distinct, avec sa propre documentation et son propre régime de sanction, *causalité plausible non démontrée* quant à un allègement réel de charge du seul fait de ce recoupement, faute de donnée publique comparant les deux référentiels terme à terme. Faute d'une telle donnée publique, la vérification revient à chaque établissement : une direction des risques bancaire gagne à confronter elle-même, poste par poste, la liste des obligations dues aux articles 9 à 17 de l'AI Act (système de gestion des risques, gouvernance des données, documentation technique, journalisation, supervision humaine, robustesse et cybersécurité) à ce que son dispositif de gouvernance du risque de modèle produit déjà pour le superviseur prudentiel, plutôt que de supposer une couverture totale ou nulle. C'est cette confrontation poste par poste, propre à chaque établissement, qui permettrait de trancher le recoupement, pas une comparaison générale des deux textes.

*Mon interprétation.* Le contenu de conformité généraliste sur l'AI Act traite en général le scoring de crédit comme une simple sous-catégorie de l'Annexe III, en insistant sur le classement haut risque et l'obligation d'évaluation de conformité, sans creuser le rapprochement avec les exigences de gouvernance du risque de modèle déjà imposées aux banques par leur superviseur prudentiel. Cette pièce va plus loin sur ce point précis : elle formule explicitement l'hypothèse d'un recoupement entre les deux référentiels, tout en identifiant ci-dessus la vérification poste par poste qui permettrait de la confirmer ou de l'écarter, plutôt que de s'arrêter à un constat d'absence de preuve.

## Mes réserves

Cette lecture retient le cas d'un modèle développé et exploité en interne par la banque. Elle ne couvre pas le cas, également fréquent dans le secteur, d'un score de crédit acheté sous forme de service à un bureau de crédit tiers ou à une fintech spécialisée : la répartition fournisseur/déployeur se pose alors dans des termes proches de ceux d'une PME qui achète un outil de recrutement, avec les mêmes zones de négociation contractuelle sur la documentation transmise. Le recoupement supposé avec la gouvernance du risque de modèle bancaire existante reste une hypothèse de cohérence, pas une équivalence juridique établie entre les deux référentiels.

L'implication concrète : une direction des risques bancaire gagne à cartographier, système par système, lequel de ses modèles de scoring est développé en interne et lequel est acheté à un tiers, avant d'appliquer une même procédure de conformité aux deux cas.

Retour au [dossier Les obligations de l'AI Act, secteur par secteur](/ia/obligations-ai-act-entreprises) · Lire la [Décision possible](/ia/obligations-ai-act-entreprises/decision-possible) du dossier.

## Sources

- Union européenne (2024). Règlement (UE) 2024/1689 (AI Act), Annexe III, point 5(b).
- Union européenne (2024). Règlement (UE) 2024/1689 (AI Act), articles 9 à 17 (obligations des fournisseurs de systèmes à haut risque).
- Union européenne (2024). Règlement (UE) 2024/1689 (AI Act), article 43(2) (évaluation de conformité par contrôle interne).

---

Publié sur Probans : https://probans.org/ia/obligations-ai-act-entreprises/banque-scoring-credit-ai-act