En février 2026, la Banque centrale des Émirats arabes unis a publié une guidance opérationnelle sur l’intelligence artificielle et le machine learning spécifiquement destinée aux banques. Le Golfe, souvent perçu comme un terrain d’expérimentation technologique sous tutelle d’État, produit des normes sectorielles que les régulateurs administrent dans le cadre des pouvoirs et règlements existants, plutôt qu’en amont des processus législatifs classiques. Plusieurs juridictions de la région ont adopté des stratégies nationales sur l’IA, mais la vraie contrainte vient d’ailleurs, des régulateurs sectoriels qui, via la protection des données et la supervision financière, produisent leurs exigences par voie administrative.
L’essentiel
- La Banque centrale des Émirats a publié en février 2026 une guidance opérationnelle sur l’IA en finance bancaire, s’inscrivant parmi les cadres opérationnels déjà existants aux États-Unis et au Royaume-Uni.
- Le Golfe au sens institutionnel du Conseil de coopération du Golfe regroupe six États. Leurs régulateurs sectoriels, banques centrales et autorités de protection des données, énoncent des exigences qui s’appliquent aux institutions financières sous leur supervision.
- Le mécanisme central : les régulateurs sectoriels adossent leurs exigences IA à des cadres prudentiels existants, ce qui peut étendre l’application de ces règles aux usages d’IA, sans transformer automatiquement toute guidance IA en obligation juridiquement contraignante.
- La tension de fond : cette architecture sectorielle et fragmentée pourrait converger en un standard régional lisible, ou produire une superposition de règles incompatibles qui freine l’adoption là où elle devrait l’accélérer.
- L’enjeu pour le reste du monde : si les banques internationales s’alignent sur les exigences du Golfe pour opérer dans la région, ces standards pourraient peser sur les négociations globales de gouvernance de l’IA, au même titre que le RGPD a pesé sur la protection des données.
La Banque centrale des Émirats prend de l’avance sur tous les régulateurs bancaires du monde
La guidance publiée par la Banque centrale des Émirats arabes unis en février 2026 énonce des principes de gouvernance et de responsabilité pour l’usage de l’IA : validation et tests des modèles, transparence et explicabilité des décisions, attention aux biais et à l’équité, données de qualité avec provenance et auditabilité. Une précision opérationnelle comparable existait déjà dans la supervision bancaire américaine et britannique.
L’Union européenne dispose de l’AI Act, entré en vigueur en 2024, mais ses dispositions sectorielles pour la finance restent à préciser dans des actes délégués. Les États-Unis imposaient déjà documentation et validation des modèles par la Federal Reserve depuis 2011. Le Royaume-Uni a publié en 2023 par la PRA des principes détaillés de gestion du risque de modèles incluant gouvernance, documentation et validation indépendante.
Les Émirats disposent de standards prudentiels contraignants sur les modèles, tandis que la note IA de février 2026 est une guidance. Les banques étrangères doivent respecter les règles applicables de leurs autorités de supervision compétentes.
Quatorze pays, une architecture en deux vitesses
Le Golfe au sens institutionnel du Conseil de coopération du Golfe regroupe six États : Émirats arabes unis, Arabie saoudite, Qatar, Koweït, Bahreïn et Oman. Plusieurs ont publié des stratégies nationales sur l’IA. Ces stratégies sont des documents de politique publique : elles fixent des ambitions, des investissements, des priorités sectorielles. Elles ne créent pas d’obligations directes pour les entreprises.
La contrainte vient d’un niveau en dessous. En Arabie saoudite, des autorités sectorielles ont énoncé des cadres pour la gouvernance de l’IA. La loi sur la protection des données personnelles (PDPL), entrée en vigueur en 2023, encadre les transferts internationaux de données par des conditions et garanties, et exige de la transparence concernant le traitement des données personnelles. Ces dispositions s’appliquent aux traitements de données personnelles effectués par des systèmes d’IA financiers lorsqu’ils entrent dans son champ matériel et territorial. Au Qatar, la Banque centrale a intégré des exigences de gestion des risques technologiques à ses circulaires prudentielles existantes.
Le régulateur sectoriel adosse ses exigences IA à un cadre légal préexistant. Les banques doivent respecter ces cadres. Les manquements peuvent entraîner des mesures prudentielles ou de supervision selon le cadre applicable. Cette approche avance plus vite que les processus parlementaires.
Elle produit de la norme sans produire de législation nouvelle.
Ce modèle a un précédent dans la façon dont l’Europe a imposé des exigences technologiques via le secteur bancaire avant même que ses grandes lois numériques ne soient pleinement opérationnelles. Au Golfe, les régulateurs sectoriels disposent d’une autorité discrétionnaire plus étendue.
Le régulateur comme législateur de fait
Cette architecture soulève une question de méthode de gouvernance. Dans les démocraties libérales, le régulateur sectoriel est supposé appliquer la loi votée, pas la créer. Il peut préciser, détailler, interpréter, mais dans les limites d’un mandat législatif explicite. Au Golfe, les régulateurs opèrent différemment. Leur mandat est plus large, leur indépendance vis-à-vis du processus parlementaire plus grande, et ils produisent des normes contraignantes par voie administrative.
Pour les banques, cette rapidité a un avantage concret. Elles savent ce qu’on attend d’elles. L’incertitude réglementaire, l’un des freins principaux à l’investissement en IA dans les institutions financières européennes, est réduite. Les équipes de conformité peuvent planifier. Les fournisseurs de technologie peuvent certifier leurs solutions.
Le revers est l’absence de débat public. Les exigences techniques sur la validation des modèles ou la documentation des données d’entraînement sont produites par des experts au sein des banques centrales, sans consultation législative explicite. Pour les établissements étrangers, ce manque de transparence sur le raisonnement derrière chaque exigence complique l’harmonisation avec d’autres régulations qu’ils doivent simultanément respecter.
La question de l’emploi des données dans les modèles IA bancaires est symptomatique de ce décalage entre la vitesse des marchés du Golfe et les préoccupations sociales plus larges que la région partage avec le reste du monde, comme le montre l’analyse sur le marché du travail arabe face à l’IA.
Des banques internationales contraintes de s’adapter
Les établissements étrangers opérant dans la région, HSBC, Standard Chartered, BNP Paribas et Citigroup, sont en première ligne. Pour eux, la guidance émiratie de février 2026 peut s’ajouter à l’AI Act européen, aux principes du Trésor américain et aux attentes de la FCA britannique uniquement pour les établissements ou activités effectivement soumis à chacun de ces régimes. Ces textes comportent des éléments distincts. Les transferts cloud internationaux doivent respecter des conditions de la PDPL saoudienne; leur incompatibilité avec une architecture donnée dépend de l’architecture et des garanties effectivement mises en place.
En pratique, les grandes banques ont créé des équipes dédiées à la conformité multi-juridictionnelle. Elles cartographient les exigences par pays, identifient les zones de friction, et choisissent parfois d’appliquer le standard le plus exigeant comme standard global interne pour simplifier leur gouvernance.
Entre convergence régionale et fragmentation : l’enjeu des années 2028-2030
Le Golfe produira davantage de normes dans les années à venir. La question déterminante est de savoir si ces normes convergeront entre elles et avec celles du reste du monde, ou si elles s’accumuleront en couches incompatibles.
Deux trajectoires se dessinent. Dans la première, les régulateurs du Golfe construisent une architecture harmonisée à l’échelle régionale. Les exigences sur la gouvernance des modèles et la protection des données deviennent similaires d’un pays à l’autre. Une banque qui respecte les exigences d’une juridiction peut opérer dans d’autres sans adapter fondamentalement son architecture. Ce scénario est techniquement réalisable : les régulateurs du Golfe coopèrent dans le cadre du Conseil de coopération du Golfe.
Dans la seconde trajectoire, chaque régulateur continue de produire ses propres normes sectorielles de manière autonome. La fragmentation s’accroît à mesure que l’IA s’intègre dans davantage de produits financiers. Pour les banques internationales, le coût de conformité augmente. Les grands établissements globaux conservent les ressources pour naviguer dans cette complexité; les acteurs de taille plus modeste peinent davantage.
L’horizon 2028-2030 sera lisible à travers quelques signaux précis. Le premier : les régulateurs du Golfe publieront-ils des positions communes sur la gouvernance des modèles IA. Le second : le Conseil de coopération du Golfe renforcera-t-il sa coordination sur l’IA financière. Le troisième : des institutions internationales commenceront-elles à prendre en compte les standards du Golfe dans leurs recommandations.
L’alignement régional pourrait permettre au Golfe de peser sur les normes globales de gouvernance de l’IA financière. La capacité à produire un standard lisible et stable détermine la convergence globale, plus que la taille du marché.
Les enseignements de cette méthode pour le reste du monde
L’expérience du Golfe livre un enseignement pratique sur la gouvernance de l’IA. Attendre une législation générale avant de produire des normes sectorielles laisse les institutions financières naviguer sans guidance claire pendant qu’elles déploient leurs modèles les plus critiques. La régulation sectorielle précoce crée des exigences avant que les meilleures pratiques soient stabilisées, mais elle oblige aussi les institutions à documenter leurs choix de conception dès le départ.
Les régulateurs européens et américains regardent le Golfe avec attention, parce que les grandes banques internationales avancent des besoins de clarté opérationnelle issus de cette région. Les institutions régulées cherchent à réduire l’ambiguïté réglementaire.
La gouvernance de l’IA dans les services financiers repose principalement sur une superposition de règles sectorielles et locales, en parallèle d’instruments internationaux généraux sur l’IA tels que la Convention-cadre du Conseil de l’Europe ouverte à la signature le 5 septembre 2024. Le Golfe produit des normes sectorielles qui peuvent servir de référence.
Sources
- VerifyWise, AI Regulation in the Middle East, juin 2026
- UAE Central Bank, Guidance Note on AI and Machine Learning in Financial Services, février 2026 (document officiel de la Banque centrale des Émirats arabes unis, consulté via le site de la CBUAE)
- SDAIA, Saudi Data and AI Authority, cadre de gouvernance de l’IA 2024 (documentation officielle disponible sur le site de la SDAIA)
- Qatar Central Bank, circulaires prudentielles sur la gestion des risques technologiques (site officiel de la QCB)
- Règlement (UE) 2024/1689, AI Act, Journal officiel de l’Union européenne, 12 juillet 2024
