L'Allemagne nomme BaFin premier régulateur financier à faire appliquer l'article 50 de l'AI Act aux chatbots bancaires dès le 2 août — mais son propre passif d'application molle (l'affaire Wirecard) est la vraie inconnue
La loi allemande KI-MIG, entrée en vigueur le 29 juillet 2026, donne à BaFin (le régulateur financier allemand) le pouvoir de sanctionner banques et assureurs jusqu'à 35 millions d'euros pour mésusage de l'IA. La transparence des chatbots (dire « vous parlez à une IA ») devient applicable dès le 2 août ; la notation de crédit par IA attendra décembre 2027.
Le calendrier légal est maintenant précis. Le Bundestag a voté la KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) le 11 juin 2026, le Bundesrat l'a approuvée le 10 juillet, et la loi est entrée en vigueur le 29 juillet — comblant un retard réel : l'Allemagne avait raté la date-limite européenne du 2 août 2025 pour désigner ses autorités nationales d'application de l'AI Act. Le dispositif retenu répartit la surveillance en deux : la Bundesnetzagentur couvre l'IA dans le reste de l'économie (RH, outils internes), et BaFin garde l'autorité exclusive sur l'IA « en lien direct avec une activité financière régulée » — banques, assurances, notation de crédit. Concrètement, deux obligations entrent en vigueur à des dates différentes : la transparence (article 50 — informer clairement qu'on parle à une IA, pas à un humain) est applicable dès le 2 août 2026, avec des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial ; les obligations complètes de l'IA à haut risque (notation de crédit, tarification d'assurance) n'entreront dans le champ de contrôle actif de BaFin qu'au 2 décembre 2027, à cause du report du Digital Omnibus. Jens Obermöller, directeur général de BaFin pour les risques cyber et la technologie, a précisé que le régulateur privilégiera le dialogue : les sanctions resteront « l'exception » pour les établissements qui coopèrent tôt.
Ce qu'on ne peut pas ignorer en lisant cette annonce, c'est l'historique de BaFin elle-même. C'est le même régulateur dont la supervision défaillante de Wirecard — 1,9 milliard d'euros de trésorerie qui n'ont jamais existé — a valu un rapport accablant de l'ESMA (l'autorité européenne des marchés financiers), et une enquête pénale ouverte sur sa propre conduite. Avoir un mandat légal et l'exercer réellement sont deux choses différentes : des analystes qui ont suivi le déploiement du RGPD notent que les premières amendes significatives sont arrivées 18 à 24 mois après le début de l'application — un rythme qui, s'il se répète, repousserait la première vraie sanction IA de BaFin vers début 2028. Chez AppH, cette annonce ne change rien à ce qu'on fait déjà : la vérification directe du code de Chichi (documentée le 30 juillet dans un digest précédent) confirme que le sous-titre persistant du widget et le tout premier message envoyé, dans les 4 langues, disclosent « assistant virtuel » — pas seulement parce qu'un régulateur pourrait un jour le vérifier, mais parce qu'accompagner un dirigeant de PME veut dire ne jamais lui laisser croire qu'il parle à un humain quand ce n'est pas le cas.
Pour AppH
- BaFin devient le premier régulateur sectoriel nommé — pas seulement le texte de loi générique de l'AI Act — à faire de la transparence des chatbots financiers une obligation active et chiffrée (jusqu'à 15 M€ d'amende). Ça confirme que l'application pays par pays devient concrète, pas seulement théorique.
- Le disclosure que Chichi affiche déjà dans les 4 langues — vérifié directement dans le code, pas déclaré sur parole — est exactement ce que BaFin commence à contrôler chez les banques allemandes. AppH n'a rien eu à changer pour être prêt.
Contre / ce qui ne tient pas indéfiniment
- Le passif d'application de BaFin (Wirecard, la censure de l'ESMA) est un motif réel de scepticisme sur si cette annonce se traduira en sanctions concrètes avant 2028 — avoir le pouvoir légal ne veut pas dire l'exercer.
- Ça reste une loi allemande pour le secteur financier allemand. La France n'a pas encore nommé d'équivalent sectoriel pour ses PME — la direction est là, l'obligation directe pour les clients d'AppH ne l'est pas encore.
On aurait pu titrer cet article « l'Allemagne serre enfin la vis sur l'IA financière » — le titre le plus honnête est presque l'inverse : elle vient de donner à un régulateur qui a lui-même raté la supervision de Wirecard le pouvoir de sanctionner d'autres institutions pour manque de contrôle algorithmique. Ce n'est pas un problème qui invalide la loi — c'est un rappel que la transparence ne doit jamais dépendre uniquement de la promesse qu'un régulateur va un jour vérifier. Chez AppH, Chichi dit qu'il est un assistant virtuel dès le premier message, dans les 4 langues, pas parce qu'un texte de loi allemand nous y oblige, mais parce qu'un dirigeant de PME a le droit de savoir à qui il parle avant de décider s'il lui fait confiance. Et la même logique s'applique à l'action, pas seulement à la parole : que ce soit un chatbot bancaire allemand ou un agent AppManager qui rédige une relance client, aucune action à conséquence réelle ne part sans qu'un humain l'ait validée — ce n'est pas la loi qui nous y pousse, c'est la condition de base pour qu'accompagner un dirigeant veuille dire quelque chose.
Vérifié par un humain d'AppH