Règlement sur l'IA : ce qui attend les PME luxembourgeoises

Un administrateur de fonds vous a envoyé un questionnaire de due diligence qui contient, cette année, une nouvelle section entière sur l'intelligence artificielle. Ou bien votre équipe a intégré un copilote IA dans le processus de KYC pour accélérer l'onboarding de clients, et personne ne s'est encore demandé si cet outil relevait d'une réglementation européenne. Ces deux scénarios sont devenus courants pour les PME luxembourgeoises actives dans les fonds d'investissement, la banque privée ou les services qui gravitent autour — dépositaires, réviseurs, prestataires de reporting réglementaire. Le règlement sur l'IA de l'UE (règlement 2024/1689, dit AI Act) n'a pas été pensé pour la place financière luxembourgeoise en particulier, mais il la concerne directement dès qu'un système d'IA touche à la notation de risque, au filtrage KYC/AML ou au reporting de fonds.

Le règlement sur l'IA, en résumé

Le règlement sur l'IA est un texte européen d'application directe, entré en vigueur par étapes depuis août 2024, qui encadre la mise sur le marché et l'utilisation des systèmes d'intelligence artificielle selon leur niveau de risque. Contrairement au RGPD, qui régit le traitement des données personnelles, ce règlement s'attache à l'outil d'IA lui-même — sa conception, sa documentation, sa surveillance humaine — qu'il traite ou non des données personnelles. Une entreprise luxembourgeoise peut donc être concernée par les deux textes en parallèle, pour un même outil, sans que l'un dispense de l'autre.

Pourquoi le Luxembourg est un terrain particulièrement exposé

Le Luxembourg est le premier domicile de fonds d'investissement de l'Union européenne, et le deuxième au monde après les États-Unis. Cette densité — des milliers d'organismes de placement collectif, une industrie de services autour (administration centrale, dépositaires, transfer agents, réviseurs) et un secteur bancaire dense pour un pays de cette taille — signifie que les outils d'IA utilisés pour le scoring de crédit, le filtrage KYC/AML, la détection d'anomalies ou le reporting réglementaire de fonds sont déjà répandus chez des PME qui n'ont, pour la plupart, jamais eu à se positionner sur un texte comme celui-ci. Beaucoup de ces PME ne sont pas elles-mêmes des banques ou des sociétés de gestion : elles sont sous-traitantes ou fournisseurs de ces acteurs régulés, et se retrouvent visées par ricochet via les questionnaires de conformité de leurs clients.

Ce qui est en jeu : niveaux de risque et sanctions

Le règlement classe les systèmes d'IA en quatre niveaux, et l'essentiel des obligations concrètes pèse sur le niveau à haut risque :

• Risque inacceptable : pratiques interdites (notation sociale généralisée, manipulation comportementale) — hors de portée pour une PME de services financiers dans l'usage normal.
• Risque élevé : recrutement, évaluation de solvabilité, et par extension les outils de scoring de crédit ou de profilage de risque client utilisés dans la finance — l'annexe III du règlement en dresse la liste, avec des obligations de documentation, de traçabilité et de supervision humaine.
• Risque limité : obligations de transparence, par exemple signaler qu'un contenu ou une interaction (chatbot client, résumé automatique) est généré par une IA.
• Risque minimal : la majorité des outils bureautiques courants, sans obligation spécifique liée au règlement.

Le régime de sanctions de l'article 99 prévoit jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements. L'article 99, paragraphe 6, prévoit des plafonds réduits et proportionnés pour les PME et jeunes pousses, ce qui atténue le risque financier direct sans dispenser d'une évaluation sérieuse — d'autant que, pour une PME sous-traitante d'un acteur régulé, le risque commercial immédiat (perte d'un contrat, échec d'une due diligence) arrive souvent avant le risque de sanction réglementaire proprement dit.

Les signaux qui indiquent que votre PME est concernée

Plutôt que de partir du texte, il est plus efficace de partir de vos usages réels. Vous êtes probablement dans le champ du règlement si :

• Vous utilisez un outil d'IA pour scorer un risque de crédit, un profil client, ou trier des alertes AML/KYC.
• Vous fournissez un service (administration de fonds, reporting, révision, conseil) à un acteur régulé — banque, société de gestion, dépositaire — qui vous interroge de plus en plus sur votre usage de l'IA.
• Un copilote ou assistant IA a été branché sur un workflow métier (onboarding client, production de rapports réglementaires) sans revue formelle de sa finalité.
• Vous commercialisez vous-même un outil d'IA à destination du secteur financier, même en marque blanche ou via un partenaire.

CNPD, CSSF : un mot de contexte, sans entrer dans le détail

Sur la protection des données, l'autorité compétente au Luxembourg est la CNPD (Commission nationale pour la protection des données). Pour les entités financières régulées, la CSSF joue un rôle spécifique de supervision prudentielle qui recoupe partiellement les enjeux d'IA. À ce jour, le Luxembourg n'a pas adopté de législation nationale spécifique de mise en œuvre du règlement sur l'IA désignant formellement une autorité de surveillance du marché pour ce texte — c'est un point que nous mentionnons comme non confirmé et susceptible d'évoluer, plutôt que comme un fait acquis. Nous détaillons la répartition des rôles entre CNPD et CSSF, et ce qu'elle signifie concrètement pour votre conformité, dans un article dédié à qui contrôle l'application du règlement sur l'IA au Luxembourg ; de même, le recoupement précis entre obligations RGPD et obligations liées au règlement sur l'IA fait l'objet d'un autre article de cette série.

Information générale, pas un conseil juridique

Ce qui précède est une information générale destinée à vous orienter, pas un conseil juridique sur votre situation précise — en particulier sur des points où le cadre n'est pas encore stabilisé, comme l'articulation exacte entre CNPD et CSSF ou une éventuelle loi luxembourgeoise à venir. Chez Komplya, nous distinguons systématiquement ce qui a été revu juridiquement de ce qui reste un document de travail, afin que vous puissiez utiliser ce contenu en connaissance de cause.

Le moyen le plus rapide de savoir où se situe votre PME est de passer en revue vos usages réels de l'IA plutôt que le texte du règlement. Répondez à un court questionnaire sur votre utilisation de l'IA et obtenez une lecture en langage simple de votre exposition probable au règlement.