SuisseFINMA · 08/2024Version 1.023 octobre 2026

La communication FINMA 08/2024 sur l’IA, attente par attente

La communication FINMA sur la surveillance 08/2024, publiée le 18 décembre 2024, expose ce que la FINMA a observé en surveillant les établissements qui utilisent l’intelligence artificielle et ce qu’elle a examiné : une gouvernance de l’IA avec un inventaire central et une classification des risques, la qualité des données, les tests et la surveillance constante, la documentation, l’explicabilité et la vérification indépendante. Elle ne crée aucune règle propre à l’IA ; elle applique les exigences existantes, neutres sur le plan technologique, de gouvernance et de gestion des risques. Cette page rattache chaque domaine au contrôle et à la preuve qui y répondent, lus dans les sources primaires de la FINMA le 23 octobre 2026.

Réserver un appel de 30 min Lire les 7 domaines
Plan de preuve et d’audit (C2) : un enregistrement par action, la preuve que lit un superviseur ou une société d’audit.
Texte de référence
Communication FINMA sur la surveillance 08/2024, 18 décembre 2024
Nature
Enseignements de la surveillance, aucune règle nouvelle
Domaines
7, de la gouvernance à la vérification indépendante
Statut vérifié
23 octobre 2026, dans les sources primaires
Sur cette page
  1. Statut et conventions
  2. 1. Les risques que nomme la FINMA
  3. 2. Les 7 domaines, observés et examinés
  4. 3. Ce que la FINMA a mesuré sur le marché
  5. 4. Le contexte juridique suisse
  6. 5. Un parcours en 90 jours
  7. 6. Les questions des établissements
  8. 7. Références et sources
  9. 8. Versions et citation
0 · Statut et conventions

Une pratique de surveillance, mise par écrit. Proportionnée par construction.

Dans cette page, « nous » désigne Hikari Blue, qui construit et exploite la couche d’exploitation de l’IA pour des établissements en Suisse, aux États-Unis et en France. La correspondance entre les domaines de la FINMA et les contrôles est la nôtre ; la FINMA ne l’a pas examinée.

La FINMA indique qu’il n’existe pas, jusqu’à présent, de législation spécifique à l’IA en Suisse, et que les exigences du droit des marchés financiers en matière de gouvernance et de gestion des risques, neutres sur le plan technologique et fondées sur des principes, couvrent les risques de l’IA. Les mesures de sa communication sont des exemples observés dans la surveillance courante, lors d’entretiens de surveillance et des premiers contrôles sur place.

La proportionnalité traverse le texte : taille, complexité, structure et profil de risque de l’établissement, importance de chaque application d’IA et probabilité que ses risques se réalisent. La FINMA ajoute que l’IA n’est pas en soi une application à haut risque, et que les risques tendent à être plus élevés quand l’IA sert au respect du droit de la surveillance, exerce des fonctions critiques ou touche fortement les clients ou les collaborateurs.

1 · Les risques que nomme la FINMA

Surtout opérationnels : le modèle, l’informatique, le tiers, la responsabilité.

  • Risques liés aux modèles

    Le manque de robustesse, d’exactitude ou d’explicabilité, et les biais. La FINMA a observé que les établissements se concentrent sur les risques de protection des données, moins sur les risques liés aux modèles.

  • Risques informatiques et cyberrisques

    Nommés avec les risques liés aux modèles comme le cœur du risque opérationnel de l’IA. Le communiqué de la FINMA ajoute les risques liés aux données : sécurité, qualité et disponibilité.

  • Dépendance envers des tiers

    Une dépendance croissante envers les fournisseurs de matériel, de modèles et de services infonuagiques, dans un marché de plus en plus concentré.

  • Risques juridiques, de réputation et de responsabilité

    Des difficultés à répartir les responsabilités, parce que les systèmes d’IA agissent de façon autonome, sont difficiles à expliquer et que les responsabilités sont dispersées.

2 · Les 7 domaines

Ce que la FINMA a constaté, ce qu’elle a examiné, et ce qui y répond.

Lisez chaque ligne de gauche à droite : le domaine de la section 2 de la communication, ce que la FINMA a constaté dans la surveillance, ce qu’elle a examiné, et le contrôle et la preuve qu’un établissement peut montrer. Les identifiants de contrôle sont ceux de notre cadre de gouvernance publié.

Correspondance établie par Hikari Blue, non examinée par la FINMA. Elle ne constitue ni un avis juridique ni une garantie de conformité.

Domaine Ce que la FINMA a constaté Ce que la FINMA a examiné Contrôle et preuve
2.1 Gouvernance Une attention portée à la protection des données, moins aux risques liés aux modèles ; des difficultés à savoir si des produits achetés contiennent de l’IA. Une gouvernance de l’IA avec un inventaire géré de manière centralisée, une classification des risques et les mesures qui en découlent ; pour l’externalisation, des tests, des contrôles et des clauses contractuelles supplémentaires sur la responsabilité. GOV-P-01, registre des cas d’usage ; un dirigeant responsable et un responsable des risques IA nommés. Preuve : le registre avec ses classifications signées, et les clauses contractuelles.
2.2 Inventaire et classification des risques Certains établissements définissaient l’IA de façon étroite, pour se concentrer sur des risques supposés plus grands ou nouveaux. Une définition suffisamment large de l’IA, des applications traditionnelles pouvant présenter des risques similaires ; la FINMA renvoie à la définition de l’OCDE. Un registre pour tous les usages de l’IA, achetés et intégrés compris, rapproché des achats et du registre des agents. Preuve : le rapprochement.
2.3 Qualité des données Certains établissements n’avaient défini ni exigences ni contrôles de qualité des données ; avec des produits achetés, ils ignorent souvent tout des données sous-jacentes. Des exigences garantissant que les données sont complètes, exactes et intègres, et que leur disponibilité et leur accès sont assurés. Des exigences sur les données écrites dans chaque entrée du registre ; le champ de référence des entrées montre quelles données chaque décision a lues. Preuve : l’entrée et un export d’enregistrement.
2.4 Tests et surveillance constante Des faiblesses dans le choix des indicateurs de performance, dans les tests et dans la surveillance constante. Des tests couvrant l’exactitude, la robustesse et la stabilité et, au besoin, les biais ; une surveillance des données d’entrée et de leur dérive. Un jeu d’évaluation passé avant la production ; GOV-E-03, surveillance au regard de seuils déclarés, chaque incident enregistré. Preuve : les résultats et le registre des incidents.
2.5 Documentation Pas d’exigences centrales de documentation dans certains établissements, et une documentation insuffisamment détaillée et adaptée à ses destinataires. Pour les applications importantes : finalité, choix et préparation des données, choix du modèle, mesures de performance, hypothèses, limites, tests et contrôles, et dispositifs de repli. GOV-P-04, notice d’utilisation par système, versionnée avec le modèle ; GOV-P-03, table de routage avec un modèle principal et un repli. Preuve : la notice et la table.
2.6 Explicabilité Les résultats ne peuvent souvent pas être compris, expliqués ou reproduits, et donc pas être évalués de manière critique. L’explicabilité de manière plus approfondie là où les décisions doivent être justifiées auprès des investisseurs, des clients, des collaborateurs, de l’autorité de surveillance ou de la société d’audit. L’enregistrement à 9 champs : modèle et version, entrées, politique et vérification humaine pour chaque décision. Preuve : l’export d’une décision passée.
2.7 Vérification indépendante Seuls quelques établissements font vérifier de manière indépendante l’ensemble du processus de développement des modèles par du personnel qualifié. Une vérification livrant un avis objectif, éclairé et impartial sur l’adéquation et la fiabilité d’un processus pour une application donnée. Tenue hors de l’équipe qui construit. Nous fournissons ce dont le vérificateur a besoin : registre, tests, exports d’enregistrements. La vérification reste à la deuxième ligne ou à l’audit interne.

Les intitulés des domaines et les constats suivent la section 2 de la communication ; la formulation est paraphrasée, les PDF en anglais et en français font foi. La FINMA écrit dans ses perspectives qu’elle précisera ses attentes et, si nécessaire, les rendra transparentes pour le marché.

3 · Ce que la FINMA a mesuré

Environ la moitié des établissements interrogés utilisent l’IA, la plupart en sont au début.

La FINMA a publié une enquête le 24 avril 2025, couvrant notamment quelque 400 banques et maisons de titres autorisées. Son communiqué sur la communication relevait déjà que la plupart des établissements financiers en sont aux premiers stades, avec des structures de gouvernance et de gestion des risques encore en cours de mise en place.

Constat Chiffre
Établissements utilisant l’IA ou ayant des premières applications en développement Environ 50 %
Établissements prévoyant d’utiliser l’IA dans les 3 prochaines années Un autre quart
Applications par répondant, en moyenne Environ 5 en service, 9 en développement
Utilisateurs de l’IA recourant aussi à l’IA générative 91 %
Établissements dotés d’une stratégie IA explicite Environ 50 %

La FINMA recommande aux établissements qui prévoient d’utiliser l’IA dans des processus critiques ou pour calculer des paramètres réglementaires de prendre contact avec elle suffisamment tôt. Son rapport annuel 2025, publié le 21 avril 2026, relève que l’IA est plus répandue dans les assurances que dans les banques et que l’IA générative s’accompagne d’une dépendance croissante envers des prestataires externes.

4 · Le contexte juridique suisse

Pas encore de loi sur l’IA en Suisse. La protection des données s’applique déjà.

Texte ou décision Ce qu’il dit Statut
Loi fédérale sur la protection des données, RS 235.1 Article 21 : informer la personne d’une décision fondée exclusivement sur un traitement automatisé qui a un effet juridique ou l’affecte de manière significative, et permettre, sur demande, un réexamen par une personne physique. L’article 21, alinéa 3, écarte l’une et l’autre obligation lorsque la décision est en relation directe avec la conclusion ou l’exécution d’un contrat et que la demande de la personne est satisfaite, ou lorsque celle-ci a expressément consenti à une décision automatisée. Article 22 : analyse d’impact avant un traitement à risque élevé. En vigueur depuis le 1er septembre 2023
Communication du PFPDT, mise à jour le 8 mai 2025 La loi sur la protection des données est directement applicable aux traitements assistés par l’IA : finalité, fonctionnement et sources de données rendus transparents ; droit d’opposition et de réexamen humain. Position publiée
Décision du Conseil fédéral, 12 février 2025 Ratifier la Convention du Conseil de l’Europe sur l’IA ; modifier le droit secteur par secteur là où c’est nécessaire ; développer des mesures non contraignantes. Le DFJP élabore un projet de consultation d’ici fin 2026. À notre connaissance, au 25 octobre 2026, aucune consultation n’a été ouverte
Convention du Conseil de l’Europe, STCE n° 225 Convention-cadre sur l’IA et les droits de l’homme, la démocratie et l’État de droit ; s’applique d’abord aux acteurs étatiques selon l’approche du Conseil fédéral. Signée par la Suisse le 27 mars 2025 ; non ratifiée et pas en vigueur selon le tableau du Conseil de l’Europe du 23 octobre 2026

Un établissement qui a des activités dans l’Union européenne peut aussi relever de l’AI Act, dont le champ atteint les fournisseurs hors de l’Union et les résultats utilisés dans l’Union. Ceci n’est pas un avis juridique.

5 · Mise en œuvre

90 jours sur une application importante, domaine par domaine.

Nous installons le cadre de gouvernance sur une application d’IA déjà en service, puis nous l’étendons. Chaque étape se clôt sur des preuves qui répondent à des domaines nommés de la communication.

  1. 01

    Jours 1 à 30 · inventaire et classification

    Enregistrer tous les usages de l’IA, achats compris, selon une définition large ; classer chacun selon son importance et sa probabilité ; nommer le dirigeant responsable et le responsable des risques IA.

    Preuves : registre et classifications (2.1, 2.2), droits de décision, clauses d’externalisation.

  2. 02

    Jours 31 à 60 · contrôles sur la première application

    Écrire les exigences sur les données et la notice d’utilisation, passer le jeu d’évaluation, démarrer l’enregistrement et les seuils de surveillance.

    Preuves : exigences sur les données (2.3), résultats de tests et surveillance (2.4), dossier de documentation (2.5), premier export d’enregistrement (2.6).

  3. 03

    Jours 61 à 90 · dossier de vérification

    Remettre à la deuxième ligne ou à l’audit interne un dossier de vérification construit à partir du registre, des tests et de l’enregistrement, et fixer la cadence des applications suivantes.

    Preuves : dossier pour la vérification indépendante (2.7), cadence et responsable de chaque application suivante.

Les 90 jours sont ceux du parcours d’adoption de notre cadre de gouvernance. L’extension dépend du nombre d’applications et de leur importance, pas de la communication.

6 · Réponses directes

Les questions posées sur la communication FINMA 08/2024.

La communication FINMA 08/2024 est-elle contraignante ?

Non. Elle énonce des attentes de surveillance et ne crée aucune règle nouvelle. Ce qui s’impose aux établissements assujettis, ce sont leurs obligations légales et prudentielles existantes en matière de gouvernance et de gestion des risques, pour les banques notamment la circulaire FINMA 2023/1 sur les risques et la résilience opérationnels, en vigueur depuis le 1er janvier 2024. La communication expose comment la FINMA attend que ces obligations soient remplies lorsque l’IA est utilisée.

La FINMA exige-t-elle un inventaire de l’IA ?

La FINMA a examiné si les établissements qui ont des applications nombreuses ou importantes disposent d’une gouvernance de l’IA comprenant un inventaire géré de manière centralisée, avec une classification des risques et les mesures qui en découlent, selon une définition suffisamment large de l’IA.

La FINMA considère-t-elle l’IA comme à haut risque ?

Pas en soi. La FINMA écrit que l’IA n’est pas en soi une application à haut risque, et que les risques tendent à être plus élevés quand elle sert au respect du droit de la surveillance, à l’exercice de fonctions critiques, ou quand ses résultats touchent fortement les clients ou les collaborateurs.

Qu’attend la FINMA pour une IA achetée à un fournisseur ?

Que l’établissement sache si un produit contient de l’IA, quelles données et quelles méthodes il utilise et si la diligence est suffisante. Pour l’externalisation, la FINMA a examiné les tests, les contrôles et les clauses contractuelles supplémentaires sur la responsabilité, ainsi que les compétences du tiers.

Quel lien entre la communication et l’AI Act ?

Ce sont des textes distincts. La communication applique le droit suisse des marchés financiers ; l’AI Act est un règlement européen qui n’atteint un établissement suisse que lorsqu’il met des systèmes d’IA sur le marché de l’Union ou que leurs résultats y sont utilisés. Le même registre, les mêmes tests et le même enregistrement peuvent servir à l’un et à l’autre.

Une loi suisse sur l’IA est-elle en préparation ?

Le Conseil fédéral a décidé le 12 février 2025 de ratifier la Convention du Conseil de l’Europe sur l’IA et de modifier le droit suisse secteur par secteur là où c’est nécessaire. Le DFJP doit élaborer un projet de consultation d’ici fin 2026. À notre connaissance, au 25 octobre 2026, aucune consultation n’a été ouverte.

7 · Références

Documents de référence et sources primaires.

Chaque constat, chaque date et chaque statut de cette page proviennent des sources ci-dessous, consultés le 23 octobre 2026.

Documents de référence

Sources primaires, consultées le 23 octobre 2026

8 · Versions et citation

Comment citer ce document.

Cette URL est permanente et sert toujours la version en vigueur. Chaque modification de fond incrémente la version et figure dans l’historique ci-dessous, afin qu’une citation reste rattachable au texte qu’elle cite.

  • Citation recommandée

    Hikari Blue, « FINMA Guidance 08/2024 on AI, expectation by expectation v1.0 », 23 octobre 2026, https://hikariblue.com/switzerland/finma-ai-governance

    Les ancres de section sont stables : #status, #risks, #areas, #market, #swiss-law, #implementation, #faq, #references, #cite.

  • Historique des versions

    v1.0 · 23 octobre 2026. Première version publique.

    Correction éditoriale · 25 octobre 2026 : licence étendue à cette page (CC BY 4.0).

    Licence. Publié sous licence CC BY 4.0 : citation, reprise et réutilisation libres, avec attribution à Hikari Blue et lien vers cette page. La licence couvre les textes, tableaux et schémas de Hikari Blue sur cette page ; elle ne couvre ni les données, citations et textes juridiques de tiers, qui gardent leurs propres conditions, ni le nom et le logo Hikari Blue, marques de UNITED4 LLC.

Pour les directions des risques, de la conformité et de l’audit interne

Placez une application d’IA face aux 7 domaines.

30 minutes avec un associé désigné. Nous prenons une application d’IA que votre établissement exploite aujourd’hui et montrons, domaine par domaine, les preuves qui existent, celles qui se reconstituent à la main et celles qui manquent avant le prochain contrôle. Vous repartez avec cette carte, que nous travaillions ensemble ou non.

  • Une application, rattachée aux 7 domaines
  • Les preuves qui existent, et ce qui manque
  • Qui doit porter chaque écart
Réserver un appel de 30 min Ou voir notre approche des services financiers Vérifier Hikari Blue avec un modèle que nous ne contrôlons pas