AI Act et cabinets de gestion de patrimoine : ce qui change au 2 août 2026

L'AI Act — le règlement (UE) 2024/1689 sur l'intelligence artificielle — est le premier cadre juridique complet encadrant les systèmes d'IA dans l'Union européenne. Il classe les usages selon quatre niveaux de risque et impose des obligations graduées à ceux qui développent ces systèmes (les fournisseurs) comme à ceux qui les utilisent dans un cadre professionnel (les déployeurs). Le 2 août 2026 marque la date d'application générale du règlement : à partir de là, un cabinet de gestion de patrimoine qui utilise un assistant de rédaction, un outil de transcription de rendez-vous ou un moteur d'analyse documentaire entre pleinement dans le champ du texte. Cet article fait le point sur ce qui s'applique réellement, ce qui a été reporté, et comment mettre votre cabinet en conformité sans mobiliser des semaines de travail. Pour le versant métier du sujet, consultez notre guide sur l'IA et le devoir de conseil du CGP.

Qu'est-ce que l'AI Act et pourquoi il concerne votre cabinet

L'AI Act est entré en vigueur le 1^er août 2024 et s'applique par vagues successives. Sa logique est simple : plus l'usage d'un système d'IA peut affecter les droits, la sécurité ou la situation financière d'une personne, plus les obligations sont lourdes. Le règlement distingue quatre catégories.

• Risque inacceptable : pratiques interdites depuis le 2 février 2025 — notation sociale, manipulation subliminale, exploitation de vulnérabilités. Aucun usage patrimonial légitime n'entre dans cette catégorie.
• Haut risque : systèmes listés à l'annexe III, dont l'évaluation de la solvabilité et le scoring de crédit des personnes physiques, ainsi que la tarification et l'évaluation des risques en assurance vie et santé. Obligations lourdes : gestion des risques, documentation technique, journalisation, supervision humaine, enregistrement dans une base européenne.
• Risque limité : systèmes qui interagissent avec des personnes ou génèrent du contenu. C'est la catégorie où se situent la quasi-totalité des usages d'un cabinet CGP. Obligation principale : la transparence.
• Risque minimal : filtres anti-spam, correcteurs orthographiques, moteurs de recherche internes. Aucune obligation spécifique.

Le point que beaucoup de cabinets manquent : l'AI Act ne prévoit aucune exemption liée à la taille. Un CGP exerçant seul avec cinquante clients est un déployeur au même titre qu'un réseau de plusieurs centaines de conseillers. La proportionnalité joue sur l'intensité des mesures attendues, pas sur l'applicabilité du texte.

Le contexte sectoriel confirme l'urgence. Dans son rapport de février 2026 sur l'usage de l'IA par les acteurs des marchés financiers en France, l'AMF relève que 90 % des entités interrogées utilisent déjà l'IA ou prévoient de le faire à court terme, que l'IA générative représente 52 % des technologies déployées, et que 83 % des cas d'usage concernent la productivité interne — assistants de rédaction, synthèse documentaire, aide à la conformité. Autrement dit : le profil d'usage type d'un cabinet patrimonial est aussi le profil d'usage dominant du secteur.

Le calendrier après le Digital Omnibus : ce qui s'applique vraiment

Le calendrier initial de l'AI Act a été modifié en 2026 par le Digital Omnibus, premier paquet de simplification du règlement. L'accord politique entre le Conseil et le Parlement européen a été trouvé début mai 2026, puis validé par le Parlement en juin et par le Conseil fin juin 2026. Le compromis reporte les obligations les plus lourdes tout en maintenant l'échéance du 2 août 2026 pour le socle applicable au plus grand nombre.

La lecture est donc contre-intuitive : le report médiatisé porte sur des obligations qui ne concernaient déjà presque aucun cabinet patrimonial. Le socle qui vous concerne — maîtrise de l'IA et transparence — n'a, lui, pas bougé. Un délai de grâce court, jusqu'au 2 décembre 2026, est prévu pour le marquage des contenus produits par des systèmes déjà commercialisés avant l'échéance.

Fournisseur ou déployeur : quel est le statut de votre cabinet ?

La qualification juridique conditionne toute la suite. L'AI Act distingue deux rôles principaux, et un cabinet CGP peut basculer de l'un à l'autre sans s'en rendre compte.

Dans l'immense majorité des cas, un cabinet est déployeur. C'est une bonne nouvelle : les obligations restent proportionnées et une large part du travail de conformité incombe à votre éditeur de logiciel. Encore faut-il pouvoir le prouver, ce qui suppose un inventaire écrit de vos outils et de leurs finalités — le même réflexe que pour le registre RGPD.

Les 4 obligations concrètes du CGP au 2 août 2026

Une fois le statut de déployeur établi, quatre obligations structurent la conformité d'un cabinet patrimonial. Aucune ne suppose de compétence technique avancée ; toutes supposent de l'écrit.

1. Assurer la maîtrise de l'IA (article 4). Vous devez garantir un niveau suffisant de compréhension de l'IA chez les personnes qui utilisent ces outils pour votre compte : associés, conseillers, assistants, alternants. Le règlement n'impose aucun format. La Commission européenne a précisé qu'il s'agit d'une obligation de moyens proportionnée : une sensibilisation d'une à deux heures suffit pour un usage occasionnel, une formation plus substantielle s'impose pour un usage quotidien sur des dossiers clients. Conservez les feuilles d'émargement et les supports.
2. Respecter la transparence (article 50). Si votre site ou votre espace client embarque un agent conversationnel, l'utilisateur doit savoir qu'il s'adresse à une machine — sauf si c'est évident au regard du contexte. Les contenus générés artificiellement doivent par ailleurs être marqués de façon lisible par machine, obligation qui pèse d'abord sur le fournisseur du système.
3. Tenir un inventaire des systèmes d'IA utilisés. Ni le texte ni les lignes directrices n'imposent un registre formel au déployeur, mais sans inventaire vous ne pouvez démontrer ni votre qualification de risque, ni votre statut. Une simple table listant l'outil, l'éditeur, la finalité, les données traitées, le niveau de risque retenu et la personne responsable suffit. C'est le prolongement naturel de votre cartographie des risques réglementaires.
4. Organiser la supervision humaine et la traçabilité. Aucun document réglementaire — rapport d'adéquation, lettre de mission, recueil patrimonial — ne doit sortir du cabinet sans relecture et validation par un conseiller identifié. Cette validation doit être horodatée et conservée. C'est également ce que réclamera un contrôleur AMF ou ACPR, indépendamment de l'AI Act.

Articulation avec MiFID II, la DDA, DORA et le RGPD

L'AI Act ne remplace aucune obligation existante : il s'y ajoute. Pour un cabinet CGP, la difficulté n'est pas de comprendre le texte isolément, mais de l'articuler avec un empilement réglementaire déjà dense.

• MiFID II et devoir de conseil : l'usage de l'IA ne déplace pas la responsabilité. Le conseil reste imputable au CIF, qui doit pouvoir justifier l'adéquation de sa recommandation au profil du client. Une préconisation produite par un modèle sans validation documentée est un risque disciplinaire avant d'être un risque AI Act. Voir notre article MiFID II pour les CGP en 2026.
• DDA et gouvernance produit : si l'IA intervient dans la sélection ou la comparaison de contrats d'assurance vie, les exigences de gouvernance produit et de marché cible continuent de s'appliquer intégralement.
• DORA : vos outils d'IA sont des prestataires TIC. Ils doivent figurer dans votre registre de prestataires et faire l'objet des clauses contractuelles attendues. Notre guide DORA et cabinets patrimoniaux détaille la méthode.
• RGPD : base légale, minimisation, durée de conservation, transferts hors UE, information des personnes. L'AI Act ne crée pas de base légale nouvelle : un traitement conforme à l'AI Act peut rester illicite au regard du RGPD.
• Surveillance sectorielle : pour les cas d'usage à haut risque relevant des services financiers, l'ACPR a été désignée autorité de surveillance du marché. L'AMF et l'ACPR intègrent progressivement l'usage de l'IA dans leurs grilles de contrôle.

Le bon réflexe consiste à traiter l'AI Act comme une couche supplémentaire de votre dispositif de conformité existant, et non comme un chantier autonome. Un cabinet qui dispose déjà d'un plan de contrôle interne structuré n'a que quelques lignes à y ajouter.

Checklist de mise en conformité AI Act en 8 points

Voici la séquence que nous recommandons aux cabinets, réalisable en une demi-journée pour une structure de moins de dix personnes.

1. Recenser tous les outils d'IA utilisés, y compris ceux adoptés spontanément par les collaborateurs : assistants conversationnels, transcription de réunions, générateurs de contenus marketing, extensions de messagerie.
2. Qualifier chaque usage selon les quatre niveaux de risque et écrire la justification en deux ou trois lignes. C'est cette justification qui sera opposée en cas de contrôle.
3. Confirmer votre statut de déployeur pour chaque outil, et vérifier qu'aucune personnalisation n'a fait basculer un système vers le statut de fournisseur.
4. Vérifier les engagements contractuels des éditeurs : conformité AI Act annoncée, localisation des données, non-réutilisation à des fins d'entraînement, sous-traitants, réversibilité.
5. Former les collaborateurs et archiver les preuves : programme, durée, participants, date. Une session annuelle de rappel suffit dans la plupart des cabinets.
6. Adapter vos documents clients : mentionner l'usage d'outils d'IA dans le DER et la lettre de mission, et préciser que le conseil demeure formulé et validé par le conseiller.
7. Formaliser la règle de supervision humaine dans une procédure interne courte : qui valide quoi, avant quel envoi, avec quelle trace.
8. Programmer une revue annuelle de l'inventaire et de la qualification, à intégrer dans votre plan de contrôle interne.

Aucun de ces points ne demande d'expertise technique. Ils demandent en revanche de la documentation écrite : c'est très exactement ce qu'un contrôleur cherchera, et c'est ce qui manque dans la majorité des cabinets aujourd'hui. Pour aller plus loin sur l'automatisation de ces contrôles, consultez notre ressource sur l'IA appliquée à la conformité réglementaire patrimoniale.

Choisir un outil IA conforme : les 6 questions à poser à votre éditeur

Le rapport AMF de février 2026 souligne que 52 % des entités s'appuient sur des solutions clés en main fournies par des tiers, avec une dépendance marquée à des prestataires non européens. Pour un cabinet, la qualité du fournisseur devient donc un élément central de sa propre conformité. Six questions permettent de trancher rapidement.

1. Où sont hébergées et traitées les données ? Un hébergement dans l'Union européenne simplifie considérablement l'articulation RGPD / AI Act et la démonstration en contrôle.
2. Mes données servent-elles à entraîner des modèles ? La réponse attendue est non, et elle doit figurer au contrat, pas seulement dans une page marketing.
3. Quelle qualification de risque l'éditeur retient-il pour chaque fonctionnalité, et sur quel fondement ? Un éditeur sérieux vous fournit cette analyse par écrit.
4. Comment la supervision humaine est-elle organisée dans l'outil ? Un document généré doit être clairement identifié comme un projet tant qu'il n'a pas été validé.
5. Quelle traçabilité est conservée ? Qui a généré quoi, quand, à partir de quelles données, et qui a validé — avec un horodatage exportable.
6. Quelle réversibilité en cas de changement d'outil ? Export complet des données clients et des documents dans un format exploitable, sans coût prohibitif.

La Suite Majors® a été conçue avec ces contraintes en tête : assistants IA supervisés dont les productions sont des projets éditables jusqu'à validation par le conseiller, hébergement en France chez Scaleway, chiffrement AES-256, isolation des données par cabinet et absence de réutilisation à des fins d'entraînement. Les documents réglementaires générés — DER, lettre de mission, recueil patrimonial, rapport d'adéquation — restent entièrement modifiables et portent la signature du conseiller, pas celle de la machine.

Le texte du règlement est consultable dans son intégralité sur EUR-Lex, et les positions du régulateur français sur l'usage de l'IA dans la finance sont publiées par l'AMF.