Agence IA Luxembourg — Spécialiste fintech, banques européennes, DORA et institutions UE

#Agence IA Luxembourg — Spécialiste fintech, banques européennes, DORA et institutions UE

Nehos conduit des projets d'intelligence artificielle pour les organisations installées à Luxembourg-Ville : sociétés de gestion, banques, PSF de support, fintechs et institutions européennes du Kirchberg. Cette page décrit ce que la place financière change concrètement à un tel projet — le partage des responsabilités entre acteurs d'une chaîne de fonds, le secret professionnel, la lecture opérationnelle de DORA et de l'AI Act — puis la façon dont nous menons une mission, du cadrage au transfert aux équipes.

#Ce que la place financière change à un projet d'intelligence artificielle

Deuxième domicile mondial de fonds d'investissement, le Luxembourg administre plusieurs milliers de milliards d'euros d'actifs sous les régimes UCITS et AIFM. Cette spécialisation a une conséquence directe sur la façon dont un projet d'IA doit être conduit ici : la chaîne de valeur d'un fonds est éclatée entre une société de gestion, un dépositaire, un administrateur central, un agent de transfert et un réviseur d'entreprises agréé. Un outil d'intelligence artificielle traverse presque toujours au moins deux de ces frontières contractuelles. La première question n'est donc jamais « quel modèle utiliser », mais « qui répond de la décision produite par le système, et devant qui ».

La circulaire CSSF 18/698, qui encadre l'agrément et l'organisation des gestionnaires de fonds luxembourgeois, formalise cette réalité : la société de gestion conserve la responsabilité de ce qu'elle délègue et doit exercer une surveillance documentée de ses délégataires. Traduit en langage projet, cela signifie qu'un moteur de classification installé chez un administrateur de fonds devient immédiatement un sujet de contrôle pour la ManCo cliente. Nous concevons donc les systèmes pour qu'ils produisent, en fonctionnement normal, les preuves que cette surveillance viendra consommer : échantillonnage des décisions, taux de reprise manuelle, dérive constatée sur les données d'entrée, historique des versions de modèle et de prompt.

Deuxième particularité locale, systématiquement sous-estimée dans les projets pilotés depuis un siège étranger : l'article 41 de la loi modifiée du 5 avril 1993 relative au secteur financier, qui institue le secret professionnel. Il ne se traite pas comme une clause de confidentialité ordinaire. Toute architecture qui expose des données de clients d'un établissement luxembourgeois à un tiers — y compris un fournisseur de modèle — appelle une analyse juridique documentée en amont, et non une régularisation après la démonstration. C'est la raison pour laquelle nous arbitrons très tôt entre trois options : modèle exécuté dans votre propre environnement, service managé dans une région européenne avec engagements contractuels renforcés, ou architecture hybride où seules des données pseudonymisées quittent votre périmètre. Ce choix conditionne le budget, le calendrier et la faisabilité même du cas d'usage.

Enfin, le tissu économique local n'est pas homogène. Sur le plateau du Kirchberg, les institutions européennes — Cour de justice, Cour des comptes, Banque européenne d'investissement, Office des publications, Eurostat — travaillent avec leurs propres règles de commande publique, des exigences d'archivage et une production documentaire massivement multilingue. Dans le quartier de la Gare et autour de la LHoFT, les fintechs raisonnent en semaines, avec des équipes conformité réduites et un besoin d'outillage qui les rende crédibles face à leurs partenaires bancaires. Entre les deux, les banques privées, les assureurs et les PSF de support ont des cycles de décision longs et des systèmes hérités à respecter. Trois profils, trois façons de mener un projet IA. Notre bureau du 19 rue de l'Industrie, à 8069 Luxembourg, existe pour ne pas confondre les trois.

Un dernier facteur pèse plus qu'on ne l'admet : le marché du travail. Le pays fonctionne avec une main-d'œuvre largement transfrontalière, venue de Lorraine, de la province de Luxembourg et de la Sarre, et la concurrence sur les profils data et ingénierie logicielle y est féroce, tirée par les rémunérations du secteur financier. Recruter une équipe IA interne complète est possible, mais rarement le chemin le plus court. Nous intervenons donc presque toujours en co-construction : nos ingénieurs travaillent avec vos référents métier et votre informatique interne, et la mission se termine par un transfert réel de compétences plutôt que par une dépendance déguisée en contrat de maintenance.

#Le cadre applicable, lu comme un plan de travail

Le règlement DORA encadre la résilience opérationnelle numérique des entités financières européennes depuis janvier 2025. Pour un projet d'IA, il se traduit par quatre livrables concrets, pas par une posture. Le fournisseur du modèle ou de la plateforme d'inférence entre dans votre registre d'information des accords contractuels avec des prestataires TIC tiers : il faut donc que le contrat soit lisible sur la localisation des traitements, les droits d'audit et la sous-traitance en cascade. Le système doit ensuite disposer d'un mode dégradé documenté, car l'indisponibilité d'une API de modèle est un incident TIC comme un autre. Il faut une stratégie de sortie crédible, ce qui interdit en pratique de construire toute la logique métier dans les outils propriétaires d'un seul éditeur. Et la classification des incidents doit intégrer les défaillances propres à l'IA : réponse aberrante en production, dérive de qualité, fuite de données via un contexte mal cloisonné.

L'AI Act, lui, raisonne par niveau de risque. Les pratiques interdites et l'obligation de littératie en IA pour les personnels concernés sont entrées en application en février 2025 ; les obligations pesant sur les modèles à usage général ont suivi en août 2025. L'annexe III du règlement range en haut risque, notamment, l'évaluation de la solvabilité des personnes physiques, la tarification en assurance vie et santé, et une partie des usages liés au recrutement. La bonne nouvelle, rarement dite, est que la majorité des cas d'usage rencontrés sur la place — extraction documentaire, aide à la rédaction, contrôle de cohérence, recherche interne — ne relèvent pas du haut risque. Ils relèvent en revanche des obligations de transparence : un utilisateur doit savoir qu'il interagit avec un système d'IA, et certains contenus générés doivent être identifiables comme tels. L'erreur coûteuse consiste à sur-classer par prudence, puis à imposer au projet un appareil documentaire de haut risque qui l'étouffe. Notre travail de qualification sert précisément à éviter cette dérive, et à la justifier par écrit.

À cela s'ajoutent le RGPD, sous le contrôle de la Commission nationale pour la protection des données, et la question du cadre de gouvernance interne. Pour les organisations qui veulent structurer durablement leur pratique, la norme ISO/IEC 42001 relative aux systèmes de management de l'intelligence artificielle offre une ossature reconnue : politique d'usage, inventaire des systèmes, analyse d'impact, revue périodique. Nous produisons nos livrables de gouvernance dans un format directement réutilisable pour cette démarche, même quand la certification n'est pas visée.

#Nos interventions IA à Luxembourg

Cadrage et qualification réglementaire des cas d'usage. Nous partons d'un inventaire des processus candidats et nous les notons sur trois axes : valeur récupérable, disponibilité réelle de la donnée, et charge de conformité induite. Le résultat est une note d'arbitrage qui dit ce que nous ferions, ce que nous ne ferions pas, et pourquoi. C'est souvent le livrable qui fait gagner le plus d'argent, parce qu'il retire du périmètre les idées séduisantes mais non industrialisables.

Traitement documentaire des dossiers de fonds. Prospectus, documents constitutifs, conventions de souscription, side letters, rapports périodiques, avis aux porteurs : la place produit et consomme un volume documentaire considérable, structuré par des gabarits juridiques stables. Nous construisons des chaînes d'extraction et de contrôle de cohérence qui remontent chaque donnée extraite à sa page et à sa ligne d'origine, condition non négociable pour qu'un compliance officer accepte de s'appuyer dessus.

Assistance à la conformité et à la lutte anti-blanchiment. Reconstitution de structures de détention, rapprochement avec les registres publics dont le registre des bénéficiaires effectifs, préparation des dossiers de revue périodique, tri des alertes de criblage. L'objectif n'est pas de décider à la place de l'analyste : il est de lui livrer un dossier pré-instruit, avec les pièces attachées et les points d'attention signalés, pour que son temps aille à l'appréciation du risque.

Exploitation des données de marché et contrôles de valorisation. Détection d'anomalies sur les séries de valeur liquidative, contrôle de plausibilité des prix reçus, explication automatique des écarts par contribution. Ces usages sont particulièrement rentables parce qu'ils s'insèrent dans un contrôle déjà existant, avec une vérité terrain disponible pour mesurer objectivement la performance du système.

IA multilingue pour les organisations européennes et institutionnelles. Le Luxembourg travaille en français et en anglais au quotidien, avec l'allemand pour une partie des publications légales et le luxembourgeois pour la relation administrative. Nous concevons des systèmes de recherche et de rédaction assistée qui respectent la terminologie officielle, gèrent les corpus alignés entre langues et refusent de « traduire » un texte à valeur juridique sans validation humaine tracée.

Socle technique et exploitation gouvernée. Passerelle unique vers les modèles, cloisonnement par métier, journalisation, gestion des secrets, jeux d'évaluation rejouables à chaque changement de version, et tableau de bord de coût par cas d'usage. Sans ce socle, une organisation se retrouve au bout d'un an avec une dizaine d'expérimentations non comparables et aucune capacité à répondre à une question d'auditeur.

#Le déroulé d'une mission

Tout commence par un audit gratuit de trente minutes, qui sert à vérifier qu'il y a un sujet et à écarter les cas d'usage dont la donnée n'existe pas. Nous enchaînons sur un cadrage court auquel nous imposons une condition : que vos opérationnels et votre fonction conformité y siègent ensemble. Un périmètre validé par les seuls métiers se fait arrêter plus tard, quand l'architecture est déjà écrite et que la reprendre coûte le double. Nous produisons ensuite un prototype sur données réelles, sous convention, avec un protocole d'évaluation figé avant la première ligne de code : le jeu de test s'arrête au départ, sinon la qualité devient une affaire d'opinions et la recette s'éternise. L'industrialisation suit, avec intégration au système d'information, reprise du modèle de sécurité existant et documentation générée en continu. Comptez 8 à 12 semaines jusqu'à la production sur un périmètre resserré. Enfin, le transfert : formation des équipes, remise des jeux d'évaluation, et définition du rituel de revue qui maintiendra le système au niveau.

#Les erreurs que nous corrigeons le plus souvent

La première est de lancer une preuve de concept sur des données factices. Elle réussit toujours, et elle n'apprend rien : la difficulté d'un dossier de fonds réel tient aux scans médiocres, aux annexes manuscrites et aux versions concurrentes d'un même document. La deuxième est d'installer l'IA à côté du poste de travail plutôt que dedans ; un outil qui oblige un opérateur à changer d'écran est abandonné en quelques semaines. La troisième est de traiter la conformité comme une phase de fin de projet, alors qu'elle détermine l'architecture. La quatrième est de mesurer la réussite au ressenti des utilisateurs pilotes plutôt qu'à un indicateur métier arrêté au départ. La cinquième, plus insidieuse, est de confier la gouvernance du système à personne : un modèle qui n'a pas de propriétaire nommé dérive silencieusement et finit par produire des résultats que plus personne n'ose contester ni corriger.

Une variante mérite d'être signalée parce qu'elle revient souvent : croire qu'un projet d'IA est d'abord un projet de modèle. Dans les faits, la part décisive du travail porte sur l'accès aux données et sur leur qualité. Sur la place, cela veut dire négocier des extractions auprès d'un administrateur de fonds tiers, réconcilier des identifiants d'entités qui diffèrent entre le système de tenue de position et l'outil de gestion des relations clients, et accepter qu'une partie de l'historique soit inexploitable. Nous chiffrons cette charge dès le cadrage, parce qu'une mission qui la découvre en cours de route dérape systématiquement sur le calendrier.

#Ce que nos clients obtiennent

Sur les processus effectivement automatisés, nous visons 40 % de coûts opérationnels en moins et 55 % de productivité gagnée sur les tâches à forte valeur ajoutée, pour un ROI moyen de 340 % sur douze mois et une mise en production en 8 à 12 semaines. Ces ordres de grandeur ne valent que rapportés aux indicateurs arrêtés pendant le cadrage : nous refusons les missions où aucun indicateur mesurable ne peut être défini, parce qu'elles finissent invariablement en désaccord sur le résultat.

#Pourquoi Nehos à Luxembourg

• Sur place — 19 rue de l'Industrie, 8069 Luxembourg, à distance de réunion de vos équipes conformité comme du Kirchberg.
• Une équipe de 47 experts IA, data et cloud, et 200+ projets menés jusqu'en production depuis 2014.
• Conformité intégrée à l'architecture — DORA, AI Act et attentes CSSF traitées au moment de la conception, pas en rattrapage avant audit.
• Hébergement souverain européen — données maintenues dans l'Union, traçabilité et réversibilité documentées.
• Bilinguisme opérationnel FR/EN — ateliers, documentation technique et interfaces livrés dans les deux langues de travail de la place.
• Audit gratuit — 30 minutes pour qualifier un cas d'usage et dire honnêtement s'il tient debout.

#Services complémentaires à Luxembourg

• Agence IA — stratégie nationale Nehos
• Bureau Nehos Luxembourg-Ville
• Agents IA Luxembourg — automatisation fintech et fonds
• Services agents IA B2B Nehos
• Refonte Next.js Luxembourg — portails digitaux financiers
• Stratégie GEO/AEO Luxembourg — visibilité IA pour institutions

Nos domaines d'intervention connexes : conseil IA Luxembourg fintech, agence IA DORA compliance Luxembourg, CSSF IA Luxembourg, cabinet IA institutions européennes Luxembourg, AI Act Luxembourg expertise.

Les questions fréquentes rassemblées plus bas reprennent les points que nos interlocuteurs luxembourgeois soulèvent systématiquement lors du premier rendez-vous, conformité et direction des systèmes d'information en tête.

Écrivez-nous pour caler un échange au 19 rue de l'Industrie ou en visioconférence : nous repartons de vos processus réels et vous disons où se trouve le gain, avant toute proposition.