IA dans le support financier : ce qui est permis et ce qui ne l'est pas

Points clés

• Les agents IA conviennent parfaitement aux renseignements de statut et à l'aide sur les formulaires : à la banque numérique suisse Yuh, le chatbot couvre environ 45 % de toutes les demandes.
• L'article 22 du RGPD interdit les décisions exclusivement automatisées produisant des effets juridiques, par exemple le refus d'un crédit.
• L'autorité BaFin met en garde contre la discrimination algorithmique et exige une gouvernance des données stricte pour les systèmes à haut risque.
• Les réclamations et les soupçons de fraude doivent être transférés à l'équipe humaine pour faire retomber la tension rapidement.
• L'IA du support ne peut pas fournir de conseil en investissement et doit rester strictement dans les documents validés au préalable par l'entreprise.

Statut et formulaires. Ce que l'IA peut faire tout de suite.

L'usage de l'intelligence artificielle dans le service client des prestataires financiers échoue rarement sur la technique, mais sur des compétences réglementaires floues. Banques, assureurs et fintechs évoluent dans un environnement où une réponse fausse crée aussitôt un risque de responsabilité ou de supervision. Il existe pourtant un large ensemble de demandes qui peut être automatisé sans souci juridique et sans validation humaine : la simple transmission d'information.

Cela comprend les questions récurrentes sur les horaires, les frais de tenue de compte, l'adresse des agences ou la durée d'un virement standard. La navigation vers des documents convient tout aussi bien aux agents IA, par exemple les formulaires d'exonération, les changements d'adresse ou les procurations. Tant que le système se contente de citer et d'expliquer des conditions existantes, publiques ou fixées par contrat, aucune obligation de conseil ne s'applique.

La pratique montre l'ampleur de ce levier. Une enquête de la Haute école de Lucerne (HSLU) sur le service client de 61 banques suisses décrit, à travers l'exemple de la banque numérique Yuh, que son chatbot couvre aujourd'hui environ 45 % de toutes les demandes, selon Yuh de manière particulièrement fiable sur les sujets standards touchant aux fonctions, aux prix et aux thèmes généraux¹. Pour les équipes de support, cela représente un allègement considérable des tâches de routine, à condition qu'une IA conforme au RGPD s'appuie sur des sources de connaissances propres.

La limite dure. L'article 22 du RGPD.

La limite juridique de l'automatisation commence là où le renseignement devient décision. L'article 22, paragraphe 1, du règlement général sur la protection des données (RGPD) pose une interdiction sans ambiguïté : la personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire.

Pour les établissements financiers, cela signifie en pratique une interdiction stricte de l'exécution autonome par l'IA dans les procédures critiques. Un agent IA ne peut ni refuser seul une demande de crédit, ni refuser l'indemnisation d'un sinistre, ni résilier unilatéralement un compte courant. Même si des modèles de risque suggèrent un refus en arrière-plan, la décision juridique finale doit rester vérifiable par une personne ou être prise directement par le personnel.

• Effet juridique : un contrat n'est pas conclu, il est résilié, ou des prestations sont définitivement refusées. C'est là que s'applique l'interdiction des processus exclusivement automatisés de l'article 22, paragraphe 1, du RGPD.
• Atteinte significative : les restrictions financières, comme la baisse d'une ligne de crédit ou le blocage de fonctions du compte, exigent sans exception des mécanismes de contrôle humains.
• Droits des personnes concernées : selon l'article 22, paragraphe 3, du RGPD, les établissements doivent garantir que la clientèle puisse obtenir l'intervention d'une personne, exprimer son point de vue et contester la décision.

Les exceptions de l'article 22, paragraphe 2, du RGPD ne jouent que si la décision automatisée est nécessaire à la conclusion ou à l'exécution d'un contrat, si elle est autorisée par le droit ou si elle repose sur un consentement explicite. Même alors, les garanties d'accompagnement, comme le droit à un réexamen manuel, restent obligatoires.

Équité et biais. Ce qu'exige la BaFin.

Au-delà de la protection des données, la supervision financière impose des exigences strictes à la gouvernance opérationnelle. L'Autorité fédérale de supervision financière (BaFin) souligne que les exigences générales d'organisation et de gestion des risques du § 25a de la Kreditwesengesetz (KWG) et du § 23 de la Versicherungsaufsichtsgesetz (VAG) s'appliquent sans restriction aux algorithmes et aux systèmes d'IA². Les établissements doivent pouvoir démontrer à tout moment comment les systèmes automatisés parviennent à leurs résultats.

Un risque central réside dans les biais inconscients au sein des données d'entraînement et de contexte. Si des données historiques sont reprises sans recul, le danger d'une discrimination directe ou indirecte de groupes protégés au sens de l'Allgemeines Gleichbehandlungsgesetz (AGG) devient réel, par exemple selon l'âge, le sexe ou l'origine ethnique. Si un système d'IA traite systématiquement les demandes différemment selon le registre de langue ou le lieu de résidence, la supervision intervient.

• Classification du risque : le règlement européen sur l'IA classe comme systèmes à haut risque les systèmes d'IA destinés à évaluer la solvabilité ou à l'évaluation des risques en assurance vie et santé.
• Gouvernance des données : les données d'entraînement et de connaissance doivent rester représentatives, exemptes d'erreurs et dépourvues de caractéristiques discriminatoires illicites.
• Obligations de transparence : des obligations de signalement claires s'appliquent aux chatbots de support, dont celles que fixe l'article 50 du règlement sur l'IA pour les systèmes qui interagissent avec des personnes.

Pour le service client, une règle claire en découle : un agent IA ne peut pas proposer dans le chat des conditions dynamiques fondées sur un scoring opaque de la clientèle. Il doit livrer à toutes et à tous des faits identiques et traçables, tirés des mêmes documents vérifiés.

Réclamations et soupçons. Quand la personne prend le relais.

Il existe des situations du quotidien financier où l'automatisation n'est pas seulement inadaptée, mais négligente. Cela vaut avant tout pour les incidents de sécurité, les soupçons de fraude et les réclamations formelles auprès du régulateur. Dans ces moments, quelques minutes de délai de réaction décident souvent entre un dommage financier et un blâme de l'autorité.

Lorsqu'une cliente signale un cas de hameçonnage, des prélèvements non autorisés ou la perte de ses identifiants, aucune IA ne doit engager de longues boucles de dialogue. Les protocoles d'urgence prennent le relais : blocage des cartes et des accès, puis transfert immédiat vers des équipes spécialisées dans la fraude. Il en va de même pour les soupçons au titre de la Geldwäschegesetz (GwG). Si une personne du support repère des schémas de transaction suspects, des obligations de déclaration au titre du § 43 GwG peuvent être déclenchées. Une IA ne peut ni évaluer ni archiver seule de tels processus.

Sur les réclamations chargées d'émotion aussi, les modèles de langage rencontrent une limite naturelle. Les gestes commerciaux demandent un jugement humain et un sens de la négociation qu'aucune machine ne peut reproduire avec sécurité juridique. Le passage structuré à des spécialistes humains est ici la seule voie fiable. La manière de monter proprement ce processus est décrite dans le guide sur le transfert vers une personne.

Le support n'est pas du conseil en investissement.

L'une des lignes de partage les plus nettes du secteur financier sépare le support général du conseil en investissement, soumis à agrément. Selon le § 2, alinéa 8, phrase 1, numéro 10 de la Wertpapierhandelsgesetz (WpHG) et les directives européennes MiFID II, il y a conseil en investissement dès qu'une recommandation personnelle portant sur des opérations sur des instruments financiers déterminés est donnée en s'appuyant sur la situation personnelle de la cliente ou du client.

Pour l'IA générative, cela comporte un risque considérable : si une personne demande dans le chat de support un placement adapté à son épargne et que le modèle de langage formule une recommandation apparemment utile pour un ETF ou un fonds actions précis, l'établissement se trouve juridiquement déjà dans le champ du conseil en investissement. Si ni l'évaluation de l'adéquation ni les obligations réglementaires d'information n'ont été respectées, des sanctions sévères du régulateur sont à craindre.

• Autorisé dans le support : expliquer des indicateurs, fournir les documents d'informations clés (DIC), indiquer les frais d'ordre et les lieux d'exécution.
• Interdit à l'IA de support : les affirmations sur la performance future, les recommandations d'achat ou de vente de titres précis, et les questions sur l'appétence au risque individuelle en vue de trouver un produit.

Les agents de support doivent être encadrés par des limites de système claires, afin d'intervenir dès que la formulation s'approche du conseil. Au lieu de livrer une appréciation, le système renvoie de façon factuelle à la documentation officielle du produit ou propose un rendez-vous avec des conseillères et conseillers certifiés.

Un savoir fiable. Pas d'hallucinations de l'IA.

Les affirmations fausses d'un bot de service client sont agaçantes dans le commerce en ligne ; dans le secteur financier, elles constituent un manquement à la conformité. Les hallucinations, où les modèles de langage produisent des réponses plausibles mais factuellement fausses à partir de données d'entraînement librement associées, ne s'évitent que par une architecture de connaissances strictement déterministe.

Le standard des établissements financiers est la génération augmentée par récupération (RAG). Le modèle de langage n'agit pas en rédacteur libre, mais uniquement en intermédiaire intelligent : avant chaque réponse, le système parcourt une base de connaissances interne et curée, en extrait les passages pertinents et en formule un renseignement précis. Si les documents enregistrés ne contiennent aucune réponse univoque, le système refuse de deviner et engage le transfert vers l'équipe.

Un élément indispensable est la transparence complète des sources. Chaque affirmation de l'agent doit être reliée de façon transparente au document qui la fonde, pour la clientèle comme dans le journal d'audit, par exemple à la section correspondante des conditions générales ou de la grille tarifaire. La manière dont les équipes sécurisent techniquement ce mécanisme de contrôle est approfondie dans l'article expliquant comment éviter les hallucinations de l'IA dans le support.

Un transfert sans couture. De l'agent à l'équipe.

Un système d'IA fiable dans la finance ne se distingue pas parce qu'il répond à toutes les questions, mais parce qu'il connaît ses propres limites. L'objectif n'est pas l'automatisation totale à tout prix, mais une architecture hybride : l'agent filtre les demandes de routine, structure les données entrantes en amont et transmet à l'équipe de support les cas complexes ou sensibles sur le plan réglementaire, sans rupture de support.

Au moment du transfert, la clientèle ne doit pas être poussée dans une file d'attente séparée ni devoir réexposer sa demande. L'ensemble de l'échange jusque-là, y compris l'intention identifiée par le bot et les données de contexte utiles, doit être disponible directement dans l'outil de tickets ou dans la boîte de réception partagée de l'équipe.

• Routage conforme au RGPD : traitement et stockage des conversations sur des serveurs situés dans l'Union européenne.
• Pas d'entraînement de modèles : exclusion contractuelle de tout usage des données clients pour entraîner des modèles de base externes.
• Transfert complet du contexte : remise de l'historique de conversation aux agents humains pour une reprise sans friction.

Des plateformes comme ComLayer montrent comment une telle architecture fonctionne en pratique : le système est exploité entièrement dans des centres de données européens et répond aux questions de la clientèle uniquement à partir de sources de connaissances vérifiées, avec une indication exacte de la source. Si une question ne peut pas être établie sans doute à partir des documents, ou si elle touche des sujets sensibles comme la fraude ou le conseil, l'IA transmet aussitôt le dossier, avec un brouillon déjà rédigé, à la boîte de réception partagée de l'équipe. Conformité, protection des données et qualité de service restent ainsi maîtrisables à tout moment.

Questions fréquentes