IA et banque privée suisse :
ce que le cadre FINMA impose vraiment
La question n'est pas de savoir si un modèle est performant. Elle est de savoir si votre société d'audit et la FINMA peuvent l'inspecter, si le fournisseur du modèle a été approuvé comme sous-traitant, et si la fonction externalisée figure à votre inventaire. Voici le cadre, article par article — et ce qu'il élimine en pratique.
Pourquoi le sujet devient pressant
Les banques privées suisses gèrent un volume d'actifs record — quelque 3'500 milliards de francs en 2025, portés par 96 milliards d'afflux nets. Et pourtant leur ratio coût-revenu médian s'est dégradé, de 75,6 % à 78,2 %. Plus d'actifs, moins d'efficience : l'écart se creuse entre la matière première et la capacité à la traiter. Le nombre d'établissements, lui, continue de se contracter — de 85 à 80 en 2025, 79 à fin mai 2026. Dans ce contexte, l'IA cesse d'être un sujet d'innovation pour devenir un sujet de coûts. Reste que le chemin réglementaire, lui, n'a pas bougé.
d'actifs gérés par les banques privées suisses en 2025 — un record, avec 96 mia d'afflux nets.
de ratio coût-revenu médian, contre 75,6 % l'année précédente : la rentabilité recule malgré les volumes.
banques privées en Suisse à fin mai 2026, contre 85 deux ans plus tôt — la consolidation continue.
Sources : études sectorielles sur les banques privées suisses, exercice 2025 et données à fin mai 2026 ; Association suisse des banquiers, Baromètre bancaire 2025.
Six points du cadre que tout projet doit passer
1. L'auto-évaluation remplace la liste
La circulaire 2008/13 annexait une liste des prestations essentielles. La 2018/3 ne le fait plus : chaque assujetti détermine lui-même, par auto-évaluation, si son projet relève de l'externalisation. Est essentielle toute fonction dont dépend de manière significative le respect de la législation sur la surveillance des marchés financiers (par. 3-4). La charge de qualification vous revient.
2. L'inventaire des fonctions externalisées
Un inventaire doit être établi et tenu à jour : description de la fonction, fournisseur — y compris les sous-traitants —, bénéficiaire et organe responsable au sein de l'établissement (par. 14). En pratique, il se coordonne avec le registre des activités de traitement de la nLPD et du RGPD.
3. L'accord préalable sur les sous-traitants
Le contrat doit prévoir que le recours à des sous-traitants par le prestataire soit soumis à l'accord préalable de la banque (par. 32-34). C'est le point décisif pour l'IA : le fournisseur du modèle est un sous-traitant. Chaque changement de fournisseur, chaque nouvelle brique appelée en cascade doit remonter.
4. Le droit de regard permanent, y compris de la FINMA
Le contrat doit garantir un droit de regard et d'examen permanent — pour la banque, pour sa société d'audit et pour la FINMA. En cas de transfert à l'étranger, l'externalisation n'est admissible que si ce droit peut être effectivement exercé et appliqué sur place (par. 30-31).
5. L'intra-groupe n'est pas une échappatoire
Pour la première fois, l'externalisation vers une autre entité du groupe est soumise aux mêmes exigences qu'une externalisation externe, sauf à démontrer que les risques inhérents n'existent pas (par. 22). Passer par la maison mère ne dispense de rien.
6. Le secret bancaire reste hors circulaire
La FINMA laisse expressément le secret bancaire et la protection des données aux lois spéciales — Loi sur les banques et LPD. Autrement dit : la conformité à la circulaire ne vous protège pas de l'art. 47 LB, dont la violation est pénalement sanctionnée. Deux régimes, deux analyses.
Et depuis décembre 2024 : la communication FINMA 08/2024
Le 18 décembre 2024, la FINMA a publié sa communication sur la surveillance 08/2024, consacrée à la gouvernance et à la gestion des risques liés à l'usage de l'intelligence artificielle. Elle constate que la plupart des établissements en sont encore aux premiers cas d'usage et aux premières structures de gouvernance, et attend d'eux qu'ils identifient, évaluent, gèrent et surveillent les risques correspondants. Les axes couverts : gouvernance et responsabilités, classification des risques, qualité des données, tests, documentation, explicabilité. La FINMA recommande une séparation stricte entre le développement des applications d'IA et leur vérification indépendante par du personnel qualifié — et demande à être contactée en amont lorsqu'une IA est envisagée dans un processus critique ou pour calculer des paramètres réglementaires. À cela s'ajoute une observation faite en 2025 : la forte hausse des cyberattaques touchant les assujettis via leur chaîne d'approvisionnement et leurs tiers.
Questions fréquentes
Un assistant IA interne est-il une externalisation au sens de la circulaire ?
Cela dépend de la fonction couverte, et la qualification vous incombe. Un outil qui aide un collaborateur à rédiger un e-mail ne remplit pas « de manière indépendante et durable » une fonction essentielle. Un agent qui traite seul un flux de conformité ou de surveillance des transactions, oui. Entre les deux, l'auto-évaluation documentée est ce que votre société d'audit vous demandera de produire.
Pourquoi les fournisseurs d'IA américains posent-ils un problème structurel ?
Pas pour des raisons idéologiques, mais contractuelles. La circulaire exige un droit de regard et d'examen effectif de la FINMA sur le prestataire, et l'accord préalable de la banque sur chaque sous-traitant. Un hyperscaler ne négocie généralement ni l'un ni l'autre à l'échelle d'un établissement de taille moyenne. S'y ajoutent le secret bancaire de l'art. 47 LB et la question de l'accès extraterritorial aux données.
Le délai transitoire de cinq ans s'applique-t-il encore ?
Non. La circulaire est entrée en vigueur le 1er avril 2018 et s'appliquait immédiatement aux nouvelles relations d'externalisation ; les relations antérieures bénéficiaient d'un délai de cinq ans, échu depuis le 1er avril 2023. Tout projet d'IA lancé aujourd'hui relève du régime plein.
Arkneys travaille-t-elle avec des banques privées ?
Non, et nous préférons le dire. Un établissement bancaire attend d'un prestataire des références bancaires, des certifications de sécurité formelles et un historique d'audits — ce qu'une structure jeune ne peut pas produire. Nous intervenons auprès des gérants de fortune indépendants et des family offices, où le cadre est celui de la LEFin et non de la Loi sur les banques. Cette page est une analyse, pas une offre.
Sources
- Circulaire FINMA 2018/3 « Outsourcing – banques et assureurs »
- FINMA — Communication sur la surveillance 08/2024, gouvernance et gestion des risques liés à l'IA (18 décembre 2024)
- FINMA — Intelligence artificielle : la FINMA formule ses attentes prudentielles
- Centre de droit bancaire et financier — Externalisation : publication de la version révisée de la circulaire Outsourcing
- Association suisse des banquiers — Baromètre bancaire 2025
Vous êtes gérant indépendant ou family office ?
Le cadre qui vous concerne n'est pas celui-là. Voyez la page dédiée — ou parlons 30 minutes de votre charge administrative réelle.