IA dans le secteur financier : DORA, externalisation et AI Act

DORA en bref, pour l’IA

Le règlement sur la résilience opérationnelle numérique (DORA, règlement (UE) 2022/2554) s’applique depuis le 17 janvier 2025 aux banques, assureurs, entreprises d’investissement, établissements de paiement et autres entités financières. En France, l’ACPR et l’AMF en contrôlent l’application. DORA encadre la gestion du risque TIC, y compris lorsqu’il se situe chez un tiers.

Un service d’IA relève des TIC. Si votre organisation fait appel à un fournisseur d’IA externe, s’appliquent notamment :

• Le registre d’information : tous les accords contractuels avec des prestataires tiers de services TIC, y compris le fournisseur d’IA et ses sous-traitants importants.
• Les exigences contractuelles (article 30) : notamment le lieu de traitement des données, les droits d’accès, d’audit et d’inspection, la disponibilité et la coopération en fin de contrat.
• Une stratégie de sortie (article 28) : vous devez pouvoir changer de prestataire ou réinternaliser le service sans perturber votre activité ni léser vos clients.
• Le risque de concentration : et si une grande partie de vos TIC reposait sur les mêmes quelques grands acteurs ?

Si le service d’IA soutient une fonction critique ou importante, les exigences sont renforcées.

Le problème de sortie des modèles d’IA fermés

Avec un modèle d’IA fermé d’un grand fournisseur, une stratégie de sortie est difficile. Vous ne pouvez pas emporter le modèle ; il n’existe que chez le fournisseur. Automatisations, prompts et processus sont calés sur ce modèle. Si le fournisseur change ses conditions, son prix ou le modèle lui-même, vous avez peu de marge.

Avec des modèles open-weight, c’est différent. Les poids sont publiés ; vous pouvez exécuter le même modèle sur un autre matériel ou chez un autre acteur. Vos automatisations continuent de fonctionner. La stratégie de sortie devient concrète plutôt que théorique.

Le règlement sur l’IA : solvabilité et assurance sont à haut risque

Le règlement sur l’IA qualifie expressément deux usages financiers de haut risque : l’IA destinée à évaluer la solvabilité des personnes physiques ou à établir leur note de crédit (à l’exception de la détection de fraude), et l’IA d’évaluation des risques et de tarification en assurance vie et santé. Depuis l’omnibus numérique, des exigences strictes de documentation, de journalisation, de qualité des données et de contrôle humain s’y appliquent à partir du 2 décembre 2027. Voir Le règlement européen sur l’IA en 2026.

Pour la plupart des usages internes, comme résumer, chercher dans les procédures ou préparer des rapports, ces exigences lourdes ne s’appliquent pas. Le RGPD, le secret professionnel et DORA, si.

Là où l’IA apporte de la valeur en finance

• résumer les dossiers clients pour un rendez-vous de conseil ou une revue périodique ;
• rassembler et structurer l’information pour les obligations de vigilance LCB-FT, l’analyse restant à vos équipes ;
• chercher et répondre dans les procédures internes, conditions produits et textes réglementaires ;
• préparer des projets de rapports et de notes explicatives ;
• classer et orienter réclamations et demandes clients.

Une chaîne TIC que vous pouvez expliquer

Un superviseur veut savoir qui intervient dans le traitement de vos données clients, où, et ce que vous faites si cet acteur disparaît. Plus la chaîne est courte, plus la réponse est simple.

Avec werqly, l’IA tourne sur un nœud dédié dans votre salle serveur, avec des modèles open-weight. En gestion interne, werqly est avant tout un éditeur de logiciel. Si vous choisissez werqly Cloud ou l’infogérance werqly Pro, werqly est un prestataire tiers de services TIC dans votre registre DORA, et la sortie ne dépend d’aucun fournisseur de modèle. Des garde-fous bloquent IBAN, numéros clients et autres motifs par rôle, et le journal d’audit enregistre qui a fait quoi. Plus de détails sur l’IA pour le secteur financier.