La FINMA, l'Autorité fédérale de surveillance des marchés financiers, a consacré à l'intelligence artificielle (IA) sa communication sur la surveillance 08/2024, datée du 18 décembre 2024. Son titre : « Gouvernance et gestion des risques en lien avec l'utilisation de l'intelligence artificielle ». Comme toute communication de ce type, il vise un groupe défini d'établissements autorisés. Ce n'est pas une règle nouvelle : selon la FINMA, ses communications sur la surveillance « ne visent aucun effet juridique ». Aucune loi spéciale sur l'IA ne s'applique à ces établissements dans les sources consultées.
Cette page traite d'une seule question : ce que l'usage de l'IA change pour un établissement surveillé par la FINMA. Le cadre général, qui vaut pour toutes les entreprises, figure dans notre page sur la régulation de l'IA en Suisse. Elle rappelle notamment que le droit de la protection des données s'applique déjà directement à l'IA.
La FINMA est une autorité indépendante, installée à Berne. Selon sa présentation, reprise par 2clics.com le 22 octobre 2026, elle protège les créanciers, les investisseurs et les assurés. Elle dispose de trois outils : l'autorisation, la surveillance et l'application du droit.
Chiffres clés
- 18 décembre 2024 : date de la communication FINMA sur la surveillance 08/2024, consacrée à l'IA.
- 59 communications sur la surveillance listées par la FINMA sur sa page dédiée en octobre 2026.
- 5 septembre 2024 : ouverture à la signature de la Convention-cadre du Conseil de l'Europe sur l'IA, signée par la Suisse.
- Début 2027 : échéance d'un avant-projet de réglementation de l'IA, selon le portail PME du Secrétariat d'État à l'économie (SECO).
- 15 octobre 2026 : publication par le Conseil de stabilité financière (FSB) de ses bonnes pratiques finales pour l'adoption de l'IA dans la finance.
- Plus de 300 cas d'usage de l'IA lancés par UBS en 2025, selon la banque.
- Moins d'une entreprise sur cinq fait valider par une personne tous ses contenus d'IA générative, selon le swissVR Monitor.
Qu'a publié la FINMA sur l'intelligence artificielle ?
Le texte de référence est la communication sur la surveillance 08/2024. Sa page des communications sur la surveillance la date du 18 décembre 2024, en dernière modification, et la propose en allemand, français, italien et anglais. Son titre annonce deux thèmes : la gouvernance et la gestion des risques liées à l'usage de l'IA. Cet article n'en détaille pas le contenu, qui se lit dans le document lui-même.
Elle s'inscrit dans une série de textes voisins, publiés sous la même forme :
- 03/2024, sur les enseignements de la surveillance des cyberrisques, datée du 7 juin 2024 ;
- 05/2025, sur la résilience opérationnelle des banques, des maisons de titres et des infrastructures des marchés financiers, datée du 10 novembre 2025 ;
- 02/2026, sur les risques de fraude numérique pour les banques, datée du 9 avril 2026 ;
- 05/2026, sur l'informatique quantique, datée du 9 juillet 2026.
La méthode générale de l'autorité est aussi documentée. Pour les cryptomonnaies, la FINMA a résumé son approche en deux formules dans un communiqué du 11 septembre 2019. « Substance over form » : seule compte la fonction économique. « Same risks, same rules » : un risque comparable appelle les mêmes exigences.
Dans la pratique décrite pour les cryptomonnaies, la technologie ne change donc pas la règle. Notre analyse : rien dans les sources consultées n'indique que la FINMA appliquerait une autre méthode à l'IA. Un outil d'IA qui conseille un client, évalue un crédit ou surveille des transactions serait alors jugé sur l'activité qu'il exerce, pas sur sa technologie.
Attente de surveillance ou règle : quelle différence ?
La distinction tient à l'auteur du texte et à sa nature. Une loi est adoptée par le Parlement. La FINMA, elle, peut réglementer « au niveau inférieur », selon sa propre présentation. Le Parlement et le gouvernement ne peuvent pas lui donner de directives sur son activité de surveillance.
Sa rubrique « Documentation » sépare plusieurs familles de textes : bases légales, circulaires, communications FINMA sur la surveillance et prises de position. La FINMA définit elle-même la place des communications. « A l'inverse des ordonnances et des circulaires FINMA, les communications FINMA sur la surveillance ne sont pas un instrument de réglementation, mais ont pour but une meilleure application des prescriptions. » Elles « concernent des comportements et ne visent aucun effet juridique ».
Selon la même page, ces communications visent un groupe de porteurs d'autorisation clairement défini. Elles signalent des évolutions en cours ou des risques actuels, tirés des observations de la FINMA. L'autorité dit les utiliser « avec retenue ».
La travel rule de 2019 montre la portée pratique d'un tel texte. La communication 02/2019 appliquait à la blockchain les prescriptions en vigueur sur le trafic des paiements, selon le rapport annuel 2019 de la FINMA. Elle a pourtant limité les envois de cryptos des établissements surveillés aux portefeuilles de leurs propres clients identifiés.
Notre analyse : la communication 08/2024 relève de cette catégorie. Elle ne crée pas d'obligation nouvelle, mais indique comment la FINMA entend voir appliquées, pour l'IA, les prescriptions existantes. Une règle contraignante propre à l'IA passerait par une loi, une ordonnance ou une circulaire.
Que surveille la FINMA quand un établissement utilise l'IA ?
La FINMA met en avant trois principes sur sa page d'accueil, qui valent quelle que soit la technologie :
- la protection des clients : « La FINMA protège les clientes et les clients du marché financier » ;
- le risque et la résilience : elle « identifie les risques de manière anticipative et exerce une surveillance préventive » ;
- la proportionnalité : une surveillance « fondée sur les risques et technologiquement neutre ».
Les cyberrisques forment l'un des dossiers de la FINMA. Notre analyse : ses communications 03/2024 sur les cyberrisques et 05/2025 sur la résilience opérationnelle peuvent concerner aussi les outils d'IA, qui reposent sur les systèmes informatiques de l'établissement.
Gouvernance et gestion des risques figurent dans le titre de la communication 08/2024. L'explicabilité n'apparaît pas dans les pages de la FINMA consultées pour cet article. D'autres textes en donnent des repères. La convention du Conseil de l'Europe exige ainsi de fournir assez d'informations pour contester une décision prise au moyen d'un système d'IA. Elle oblige les États, pas directement les banques.
Quelles autres règles s'appliquent déjà à une banque qui utilise l'IA ?
Plusieurs textes encadrent l'usage de l'IA par une banque, avec des portées très différentes.
| Texte ou acteur | Ce qu'il prévoit pour l'IA | Portée |
|---|---|---|
| FINMA | Communication sur la surveillance 08/2024 sur la gouvernance et la gestion des risques liées à l'IA (18 décembre 2024) | Attente de surveillance, sans effet juridique visé |
| Préposé fédéral à la protection des données et à la transparence (PFPDT) | Le droit de la protection des données s'applique directement à l'IA (note du 24 septembre 2025) | Règle en vigueur |
| Office fédéral de la cybersécurité (OFCS) | Saisir des informations confidentielles dans une IA peut les exposer (avertissement du 16 octobre 2026) | Recommandation |
| Convention-cadre du Conseil de l'Europe | Transparence, responsabilité, fiabilité, voies de recours | Signée par la Suisse, obligations pour les États |
| Office fédéral de la justice (OFJ) | Projet législatif de mise en œuvre de la convention, inscrit au plan d'action Suisse numérique | Projet |
| Conseil de stabilité financière (FSB) | Bonnes pratiques pour l'adoption de l'IA dans la finance (15 octobre 2026) | Référence internationale, contenu non consulté |
La convention IA du Conseil de l'Europe laisse à chaque Partie le choix entre deux modalités pour le secteur privé. Selon le portail PME du SECO, la Suisse s'est engagée à adapter son droit en conséquence. La Confédération prépare en parallèle son propre usage de l'IA, décrit dans notre page sur l'IA dans l'administration fédérale.
Comment les banques utilisent-elles déjà l'IA ?
L'usage est déjà large dans la plus grande banque suisse. UBS dit avoir lancé plus de 300 cas d'usage de l'IA en 2025. La banque occupe la sixième place mondiale de l'Evident AI Index 2026, qui note aussi la transparence et l'usage responsable de l'IA.
L'IA des clients pose une autre question. Selon Axios, le 22 octobre 2026, Morgan Stanley, JPMorgan, Bank of America et Citi bloquent ou restreignent les agents d'IA que leurs clients branchent sur leurs comptes. Ces agents se connectent avec le mot de passe du client, sans que la banque puisse les distinguer de lui.
Le contrôle humain reste inégal. Selon le swissVR Monitor, cité par le magazine PME, de nombreuses entreprises déclarent un cadre de gouvernance pour l'IA générative. Moins d'une sur cinq fait toutefois valider tous les contenus par une personne.
Ce que ça change pour un client en Suisse
Pour un client, le mandat de la FINMA place la protection des créanciers, des investisseurs et des assurés au premier rang. Les sources consultées ne mentionnent aucune exception pour une décision préparée par une IA. Notre analyse : la banque ou l'assureur reste l'interlocuteur du client, quel que soit l'outil employé.
Les données personnelles confiées à une banque restent protégées par la loi sur la protection des données, IA comprise. Une plainte ou une information peut être transmise à la FINMA par sa rubrique « Communiquer une information ou déposer une plainte ». Les questions de données relèvent du PFPDT.
Ce qu'on ne sait pas encore
- Le contenu détaillé de la communication 08/2024 : cet article n'en reprend que le titre et la nature. Le document se consulte sur la page des communications de la FINMA.
- Si la FINMA prévoit de compléter ce texte, ou d'en reprendre une partie dans une circulaire.
- La portée du projet législatif de l'OFJ et son effet sur les établissements financiers.
- La modalité que la Suisse retiendrait pour appliquer la convention au secteur privé.
- Le détail des bonnes pratiques du FSB et leur reprise éventuelle en Suisse.
D'autres textes sur le cadre légal de l'IA sont réunis dans notre rubrique.
Sources
- FINMA, page d'accueil de finma.ch, consultée en octobre 2026
- FINMA, « Communications FINMA sur la surveillance », page consultée le 29 octobre 2026, dont la communication 08/2024 du 18 décembre 2024
- FINMA, présentation « une autorité de surveillance indépendante », reprise par 2clics.com le 22 octobre 2026
- FINMA, communiqué du 11 septembre 2019 sur les stablecoins et rapport annuel 2019, repris par 2clics.com
- Conseil de l'Europe, Convention-cadre sur l'intelligence artificielle, reprise par 2clics.com
- Portail PME du SECO et swissVR Monitor, cités par 2clics.com le 28 octobre 2026
- Confédération suisse, plan d'action Suisse numérique, consulté le 28 octobre 2026
- PFPDT, note « IA et protection des données », 24 septembre 2025 ; OFCS, avertissement du 16 octobre 2026
- Fintechnews Switzerland, classement Evident AI Index 2026, repris par 2clics.com
- Axios, 22 octobre 2026, et Journal du Coin, 24 octobre 2026, repris par 2clics.com
- Journal du Coin, sur les travaux du G7 et du FSB, repris par 2clics.com le 18 octobre 2026
