La CNMV soumet à consultation la mise à jour du Code de bonne gouvernance, qui date de 2015. Le projet ajoute des recommandations sur la digitalisation, la cybersécurité et l’intelligence artificielle, et demande aux entreprises de l’IBEX 35 de séparer les fonctions de président et de directeur général. Les commentaires peuvent être envoyés jusqu’au 15 décembre.
La CNMV demande aux grandes entreprises que l’IA ne décide pas à la place de leurs administrateurs
La Commission nationale du marché des valeurs (CNMV) a mis par écrit une chose que personne n’avait jusqu’ici demandée aux entreprises de la Bourse espagnole : que l’intelligence artificielle aide leurs conseils d’administration, mais qu’elle ne décide pas à leur place. Elle le fait dans le projet du nouveau code de gouvernance des sociétés cotées, soumis à consultation publique le 3 novembre et que chacun peut commenter jusqu’au 15 décembre.
Pensez à un avion. Une bonne partie du vol est assurée par le pilote automatique, qui maintient le cap, l’altitude et la vitesse mieux que n’importe quel humain. Et pourtant, personne ne monterait dans un avion sans pilotes dans le cockpit. La machine fait le gros du travail, mais si quelque chose tourne mal, il y a quelqu’un les mains près des commandes qui sait ce qui se passe et qui en répond. C’est cela, transposé à la salle où se réunit le conseil d’une grande entreprise, que propose la CNMV.
Ce que propose la CNMV sur l’intelligence artificielle
C’est la première fois que le code, qui existe depuis 2015 et a été partiellement révisé en 2020, parle d’intelligence artificielle, de digitalisation et de cybersécurité. Selon l’agence Servimedia, le projet comprend deux recommandations.
La première : que le conseil d’administration envisage de créer un comité spécialisé sur ces questions, qui l’assiste et lui propose les mesures adéquates. Un conseil dispose généralement déjà de comités pour des sujets précis, comme le comité d’audit ou celui des nominations. L’idée est que la technologie ait aussi son groupe de travail, avec des personnes qui maîtrisent le sujet.
La seconde est celle qui fait les gros titres : le conseil doit s’assurer que l’usage de l’IA ne remplace pas « la nécessaire intervention humaine » des administrateurs. Autrement dit, l’IA peut être le pilote automatique, mais l’avion ne vole pas sans équipage.
Attention, il s’agit d’une recommandation, pas d’une loi. Le code fonctionne selon la règle « appliquer ou expliquer » : chaque année, les sociétés cotées publient un rapport dans lequel elles indiquent quelles recommandations elles suivent et, si elles n’en suivent pas une, elles doivent expliquer pourquoi. Personne ne les sanctionne, mais les investisseurs lisent ces explications.
Pourquoi l’IA arrive maintenant au conseil
Cela ne sort pas de nulle part. Lorsque la CNMV a commencé à préparer la réforme, en novembre 2025, elle avait déjà annoncé des groupes de travail pour étudier l’impact de l’intelligence artificielle sur la gouvernance des entreprises. Et en juillet 2026, son président, Carlos San Basilio, avait annoncé lors d’un forum organisé par KPMG, AON et El Mundo que le nouveau code aborderait de nouveaux sujets, citant l’IA en exemple.
La raison est facile à comprendre. Aujourd’hui, n’importe quel outil d’IA peut résumer en quelques secondes un rapport de deux cents pages, comparer des scénarios ou proposer une décision. Pour un administrateur qui reçoit des montagnes de documents avant chaque réunion, la tentation de lire le résumé plutôt que le rapport est grande. La CNMV n’interdit pas d’utiliser ces outils. Ce qu’elle demande, c’est que le conseil ne devienne pas un simple tampon qui valide ce que dit la machine.
Ce que signifie « intervention humaine » en pratique
Imaginez qu’un conseil approuve une acquisition de plusieurs millions parce qu’un système d’IA l’a recommandée, et que l’opération tourne mal. À qui les actionnaires demandent-ils des comptes ? Pas au logiciel. Ils les demandent aux administrateurs, qui sont ceux qui répondent des décisions qu’ils prennent.
C’est pourquoi la recommandation a du sens, même si elle semble évidente. Utiliser l’IA pour préparer des rapports, analyser des données ou détecter des risques, c’est très bien. Ce que le code veut éviter, c’est que personne au conseil ne sache expliquer pourquoi une décision a été prise, au-delà de « l’outil l’a dit ». Le pilote automatique peut piloter l’avion, mais le pilote doit comprendre où il va.
La cybersécurité, l’autre face de la médaille
Aux côtés de l’IA, le projet intègre la cybersécurité au code. La raison a été donnée par le régulateur lui-même : le risque qu’une entreprise subisse une cyberattaque est de plus en plus élevé. Une attaque informatique peut arrêter une usine, faire fuiter des données clients ou faire plonger le cours de bourse en une matinée ; ce n’est donc plus un sujet que l’on peut laisser aux seules mains du service informatique. Le comité spécialisé proposé par la CNMV couvrirait également ce volet.
Le reste de la réforme, en bref
L’IA n’est qu’une partie d’une réforme plus large. Le nouveau code est beaucoup plus court, puisqu’il passe de 52 à 23 pages, et change de nom : il s’appellera Code de gouvernance des sociétés cotées, sans le « bonne » devant. La mesure qui a fait le plus de gros titres est la recommandation que, dans les entreprises de l’IBEX 35, la personne qui préside le conseil ne soit pas la même que celle qui dirige l’entreprise en tant que directeur général. Le texte renforce aussi les administrateurs indépendants, ceux qui ne travaillent pas pour l’entreprise et ne représentent pas un grand actionnaire, et intègre la durabilité dans l’ensemble du texte.
Ce que cela signifie pour vous
Si vous détenez des actions d’une grande entreprise espagnole ou un fonds indiciel sur l’IBEX 35, cela vous concerne indirectement : les entreprises dans lesquelles votre argent est investi devront indiquer si elles maîtrisent l’IA et les risques informatiques, et ces rapports sont publics.
Si vous travaillez pour une société cotée ou la conseillez, c’est le moment de revoir comment votre conseil utilise l’IA et si quelqu’un supervise la cybersécurité au plus haut niveau. La consultation sert précisément à proposer des modifications avant que le texte ne soit définitif.
À titre personnel, je vais vous dire une chose, maintenant que personne ne nous lit : la CNMV a bien fait d’intégrer l’IA au code, et cette fois elle a devancé son propre calendrier. Mais cela me laisse une étrange impression de ne pas vouloir trop déranger, et que tout se limite à « envisager » de créer un comité. C’est une recommandation si douce que n’importe quel conseil pourra s’y conformer avec quelques lignes dans son rapport annuel. L’IA avance à une vitesse que les régulateurs européens ne suivent généralement pas, et ce qui n’est aujourd’hui qu’une suggestion pourrait s’avérer insuffisant d’ici un an. Espérons que cette fois ils visent juste et que les règles protègent réellement les actionnaires et les entreprises elles-mêmes, sans freiner ceux qui veulent bien utiliser cette technologie.
Comment participer à la consultation
Toute personne ou entité peut envoyer des commentaires par écrit jusqu’au 15 décembre 2026, à l’adresse actualizacioncgsc2026@cnmv.es ou par courrier à la Dirección General de Mercados, Departamento de Información Financiera y Corporativa de la CNMV, calle Edison, 4, 28006 Madrid.
Un détail important : la CNMV publiera tous les commentaires à la fin de la consultation. Si vous ne souhaitez pas que le vôtre soit rendu public, vous devez l’indiquer expressément dans votre réponse. L’habituelle mention de confidentialité en bas des e-mails ne compte pas.
Retour au cockpit
Personne ne conteste que le pilote automatique fait mieux voler les avions. Ce que rappelle la CNMV, c’est que, dans une entreprise qui brasse des milliards, il doit aussi y avoir quelqu’un dans le cockpit qui comprenne ce que fait la machine et qui en réponde. La question est maintenant pour vous : feriez-vous confiance à une entreprise dont le conseil laisse l’IA décider, ou pensez-vous que la CNMV ne va pas assez loin avec une simple recommandation ?
Recevez le meilleur de la semaine par email
Chaque lundi : les articles les plus lus de Territorio Blockchain, le nouvel épisode du podcast et l’actualité de nos événements. Gratuit et sans spam.
Nous vous enverrons un email de confirmation. Vous pouvez vous désabonner à tout moment grâce au lien présent dans chaque newsletter. Confidentialité
