DORA et externalisation IA dans la finance européenne

DORA couvre tout service TIC (technologies de l'information et de la communication) externalisé qui soutient une fonction critique ou importante de l'entité financière [1]. Un système IA d'aide à la décision crédit, un moteur de scoring fraude, un assistant conversationnel client interfacé avec le système central, un moteur de classification de sinistres entrent dans le champ.

La qualification dépend de l'impact opérationnel en cas d'indisponibilité ou de défaillance, pas de la nature technologique du service [2].

L'article 30 de DORA liste les clauses obligatoires : description précise des services, niveaux de service mesurables, localisation des traitements et des données, sous-traitance encadrée, droit d'accès et d'audit pour l'entité financière et pour le superviseur, plans de sortie testés, coopération en cas d'incident [1].

Pour un système IA, ces clauses se traduisent par des engagements opérationnels : disponibilité du modèle, traçabilité des décisions, capacité à exporter les données et les artefacts, fenêtre de réversibilité documentée. Les clauses standard du fournisseur ne suffisent pas : elles sont à négocier ligne par ligne.

La Commission européenne désigne les prestataires TIC tiers critiques selon trois critères : impact systémique sur la stabilité du secteur financier, importance pour les fonctions critiques, substituabilité [3]. Les premiers actes de désignation sont attendus en 2026.

Un fournisseur IA peut entrer dans la liste s'il sert un nombre significatif d'entités financières européennes et que ses services ne peuvent être remplacés rapidement. Une fois désigné, il fait l'objet d'une supervision directe par l'Autorité de surveillance compétente, avec inspections sur site et obligations de reporting.

Quatre éléments en pratique. Premièrement, un registre des contrats TIC à jour, avec qualification du caractère critique ou important. Deuxièmement, des tests de résilience (TLPT, threat-led penetration testing) couvrant les chaînes IA externalisées au moins tous les trois ans [2].

Troisièmement, un plan de continuité documenté avec scénarios de bascule et fenêtres de tolérance acceptable (RTO et RPO). Quatrièmement, un canal de signalement d'incident TIC majeur dans les délais réglementaires : notification initiale sous 4 heures, rapport intermédiaire sous 72 heures, rapport final sous un mois [4].

Les deux textes se cumulent. DORA vise la résilience opérationnelle de l'entité financière, le Règlement européen sur l'IA vise la conformité du système IA en tant que produit. Un moteur de scoring crédit en banque est simultanément couvert par l'article 30 de DORA (clauses contractuelles), par l'annexe III du Règlement IA (classement risque élevé) [5], par l'article 22 du RGPD (décision automatisée) et par les orientations EBA sur l'externalisation.

La grille de conformité doit être lue dans son ensemble dès la phase de sélection. Les amendes DORA peuvent atteindre 1 pour cent du chiffre d'affaires journalier de l'entité.