Ce que la FINMA demande aux banques sur l'IA, et ce qu'une PME peut en retenir

L'Autorité fédérale de surveillance des marchés financiers (FINMA) attend des banques et des assurances qu'elles sachent où elles utilisent l'intelligence artificielle et qui en répond. Ces exigences ne s'appliquent pas aux PME ordinaires. Elles offrent pourtant une méthode simple pour reprendre la main sur des usages souvent dispersés.

En Suisse, il n'existe pas encore de loi spécifique à l'intelligence artificielle. La FINMA le rappelle elle-même dans sa communication sur la surveillance 08/2024, publiée le 18 décembre 2024. Pour les établissements qu'elle surveille, les règles existantes sur la gouvernance et la gestion des risques, neutres à l'égard de la technologie, couvrent déjà les risques liés à l'IA.

Cette communication décrit ce que la FINMA a constaté lors de sa surveillance, et ce qu'elle attend. Le 7 septembre 2026, elle a présenté une version adaptée aux petites banques lors de son symposium consacré à ces établissements.

Une précision s'impose : ces attentes s'adressent aux banques, assurances et autres établissements assujettis à la FINMA. Une PME industrielle, une fiduciaire ou un commerce ne sont pas concernés. L'intérêt de ces documents est ailleurs : ils décrivent des difficultés que beaucoup d'entreprises reconnaîtront.

Ce que la FINMA a constaté

Premier constat : les établissements se concentrent d'abord sur la protection des données, et moins sur les risques propres aux modèles, comme le manque de robustesse, d'exactitude ou d'explicabilité, les biais ou le manque de stabilité.

Deuxième constat : le développement des applications d'IA est souvent décentralisé. Il devient alors difficile d'appliquer des règles communes et d'attribuer des responsabilités claires.

Troisième constat : pour les logiciels et services achetés à des tiers, il est parfois difficile de savoir s'ils intègrent de l'IA, quelles données et quelles méthodes ils utilisent.

Enfin, certains établissements définissaient l'IA de manière trop étroite. Pour beaucoup, il est difficile de tenir un inventaire complet, d'autant que des outils d'IA générative sont désormais accessibles à tous les collaborateurs.

Pas besoin d'un service dédié à l'IA

Dans sa présentation de septembre 2026, la FINMA précise que les petites banques n'ont pas besoin d'un service spécialisé. La plupart du temps, il suffit selon elle de définir clairement les responsabilités, de dresser un inventaire de toutes les applications d'IA et d'en rendre compte régulièrement à la direction.

Le document reprend des exemples du Conseil de stabilité financière, un organisme international : un assistant de type Copilot pour des recherches présente un risque faible et appelle une gouvernance simple ; un chatbot pour les clients, un risque moyen et un contrôle renforcé ; des décisions de crédit fondées sur l'IA, un risque élevé et une gouvernance complète.

La FINMA en tire une formule : « Ce n'est pas la technologie qui détermine la gouvernance, mais ses répercussions sur les clients, les risques et la banque. »

Elle insiste aussi sur deux points. Les risques liés aux fournisseurs deviennent un enjeu majeur, et « même lorsque l'IA est externalisée, la responsabilité incombe toujours à la banque ». Enfin, la responsabilité des décisions reste humaine : les résultats doivent être examinés d'un œil critique et des personnes doivent rester impliquées dans les décisions essentielles.

Ce qu'une PME peut en retenir

Sans obligation, une entreprise peut transposer cette méthode à son échelle. L'exemple suivant est imaginaire : une entreprise de 40 personnes, avec un service commercial, une comptabilité et un atelier.

Désigner une personne. Pas un nouveau poste : quelqu'un qui tient la liste et en parle à la direction deux fois par an.

Faire l'inventaire. Recenser les outils d'IA utilisés, y compris les fonctions intégrées aux logiciels déjà en place, comme la messagerie, le traitement de texte ou le logiciel comptable. La FINMA a constaté qu'il est parfois difficile de savoir si les logiciels achetés à des tiers intègrent de l'IA.

Classer selon l'impact. Pour chaque usage, une question suffit : que se passe-t-il si la réponse est fausse ? Reformuler un courriel interne n'appelle pas les mêmes précautions qu'une réponse envoyée à un client ou une décision qui touche une personne, comme un tri de candidatures.

Interroger les fournisseurs. Les questions de la FINMA sont transposables : quelles données sont traitées, quel modèle est utilisé, que se passe-t-il en cas de panne, et dépend-on d'un seul prestataire ?

Garder un humain responsable. Pour les usages à fort impact, une personne valide le résultat avant qu'il produise des effets.

Ce qu'il faut retenir

Les documents de la FINMA ne créent aucune obligation pour les PME. Leur intérêt est de montrer que la gouvernance de l'IA ne commence ni par un comité ni par un logiciel, mais par une liste tenue à jour et des responsabilités claires. Pour les entreprises qui traitent des données personnelles, cette démarche aide aussi à respecter la loi sur la protection des données, qui s'applique déjà à l'IA.

Sources principales

• FINMA, Communication FINMA sur la surveillance 08/2024 : Gouvernance et gestion des risques en lien avec l'utilisation de l'intelligence artificielle, 18 décembre 2024.
• FINMA, IA : Attentes de la FINMA en matière de surveillance des petites banques, présentation au symposium des petites banques, 7 septembre 2026.
• Préposé fédéral à la protection des données et à la transparence (PFPDT), IA et protection des données, 24 septembre 2025.

Article documentaire, sans valeur d'avis juridique. Les attentes de la FINMA s'appliquent aux établissements qu'elle surveille ; leur transposition à une PME est une proposition de LEMOVIA, pas une exigence légale. L'entreprise citée en exemple est fictive.