DORA et votre prestataire IA : la checklist du registre d'informations

Le règlement DORA (Digital Operational Resilience Act, règlement (UE) 2022/2554) s'applique depuis le 17 janvier 2025. Pour une entité financière, il a changé la nature du choix d'un fournisseur d'IA : une décision d'achat devenue accord contractuel encadré, inscrit dans un registre que votre superviseur peut demander à tout moment.

Le sujet est presque toujours traité en langage de régulateur ou en PDF de cabinet d'audit. Voici la version praticien : qui est concerné, ce que votre contrat doit obtenir de tout prestataire TIC, et les dix questions à envoyer à votre fournisseur d'IA, telles quelles.

Qui est concerné (et qui ne l'est pas)

DORA s'applique aux "entités financières" : une vingtaine de catégories listées à l'article 2, dont les établissements de crédit, les entreprises d'assurance et de réassurance, les sociétés de gestion, les entreprises d'investissement, les établissements de paiement et de monnaie électronique et les prestataires de services sur crypto-actifs.

Trois cas méritent d'être dits clairement :

• Les courtiers d'assurance figurent dans la liste (au titre des "intermédiaires d'assurance"), mais l'article 2, paragraphe 3, exclut ceux qui sont des microentreprises ou des PME. En pratique, la grande majorité des cabinets de courtage français sont hors champ.
• Les CIF (conseillers en investissements financiers) n'apparaissent pas dans la liste. Un cabinet de conseil en gestion de patrimoine n'est pas une entité financière au sens de DORA.
• Une entreprise ordinaire n'est pas concernée. Si vous dirigez une PME ou une ETI de l'industrie, du négoce ou des services, DORA ne vous impose rien : vos obligations restent le RGPD et le droit des contrats. Avant d'acheter une prestation de "mise en conformité DORA", vérifiez que vous figurez dans la liste de l'article 2.

Vous êtes dans la liste ? Alors chaque fournisseur de services numériques, IA comprise, est un "prestataire tiers de services TIC" au sens du règlement, et la suite vous concerne directement.

Votre fournisseur d'IA est un prestataire TIC

DORA ne réglemente pas l'IA en tant que telle : il réglemente la relation contractuelle entre l'entité financière et ses prestataires de services TIC. Une plateforme d'agents, un fournisseur de modèles, un hébergeur d'inférence entrent dans la même catégorie que votre cœur bancaire ou votre CRM.

Deux mécanismes portent l'essentiel :

• Le registre d'informations (article 28, paragraphe 3) : l'entité financière tient et met à jour un registre de tous ses accords contractuels TIC, en distinguant ceux qui soutiennent des fonctions critiques ou importantes. Elle informe chaque année son autorité compétente (ACPR ou AMF selon votre statut) des nouveaux accords conclus, et met le registre complet à sa disposition sur demande.
• Les clauses contractuelles obligatoires (article 30) : le contrat lui-même doit contenir une liste minimale de dispositions, renforcée quand le service soutient une fonction critique ou importante.

Conséquence pratique : la conformité DORA d'un projet d'IA se joue avant la signature. Un prestataire incapable de remplir sa ligne du registre ou de signer les clauses de l'article 30 est un problème de conformité, quelle que soit la qualité de son produit.

Ce que le contrat doit obtenir de votre prestataire

Traduites en langage d'acheteur, six exigences dessinent le contrat :

La localisation des données, écrite dans le contrat (article 30(2)(b)). Les lieux, régions ou pays, où les services sont fournis et où les données sont traitées, lieu de stockage compris, figurent dans l'accord, et le prestataire s'engage à vous informer avant tout changement de ces lieux. "Nos serveurs sont quelque part dans l'Union" ne satisfait pas cette clause.

La restitution des données (article 30(2)(d)) : l'accès, la récupération et la restitution de vos données dans un format facilement accessible, en cas d'insolvabilité ou de cessation d'activité du prestataire comme en cas de simple résiliation du contrat.

La transparence de la sous-traitance (articles 30(2)(a) et 29(2)) : le contrat précise si la sous-traitance d'un service soutenant une fonction critique ou importante est autorisée, et à quelles conditions. Avant de signer, l'entité financière évalue les risques de la chaîne de sous-traitance, en particulier quand un sous-traitant est établi dans un pays tiers. Pour un service d'IA, la question est concrète : qui fournit le modèle, qui héberge l'inférence, qui voit les données.

Les droits d'audit (article 30(3)(e)) : pour les fonctions critiques ou importantes, des droits illimités d'accès, d'inspection et d'audit, pour vous, pour un tiers que vous désignez et pour votre autorité compétente, sans qu'une autre clause puisse en entraver l'exercice.

La stratégie de sortie (articles 28(8) et 30(3)(f)) : des stratégies de sortie documentées et testées, et, dans le contrat, une période de transition obligatoire pendant laquelle le prestataire continue de fournir le service, le temps de migrer vers un autre prestataire ou de réinternaliser. La réversibilité n'est pas un argument commercial ici : c'est une clause.

L'assistance en cas d'incident (article 30(2)(f)) : une assistance en cas d'incident TIC lié au service, sans frais supplémentaires ou à un coût fixé à l'avance.

La checklist : dix questions à envoyer à votre fournisseur d'IA

Écrites pour être collées dans un e-mail. Les réponses alimentent directement votre registre d'informations et votre analyse de risque précontractuelle.

1. Dans quels pays nos données seront-elles traitées et stockées, et vous engagez-vous contractuellement à nous informer avant tout changement de ces lieux ?
2. De quelle juridiction relèvent votre société, vos hébergeurs et vos sous-traitants ? Une autorité d'un pays tiers peut-elle exiger l'accès à nos données ?
3. Quelles parties du service sont sous-traitées (modèles, hébergement, inférence, support), à qui, et où ?
4. Le contrat nous permet-il d'autoriser ou de refuser la sous-traitance d'un service soutenant une fonction critique, et d'être notifiés de tout changement de sous-traitant ?
5. Accordez-vous des droits d'accès, d'inspection et d'audit, pour nous, pour un tiers désigné et pour notre autorité compétente ?
6. Pouvez-vous produire un journal d'audit exploitable : qui a fait quoi, quand, sur quelles données ?
7. En cas de résiliation ou d'insolvabilité, dans quel format et sous quel délai restituez-vous l'intégralité de nos données, et que garantit le contrat sur leur suppression ensuite ?
8. Acceptez-vous une période de transition obligatoire pendant laquelle vous maintenez le service, le temps que nous migrions ou réinternalisions ?
9. Le service repose-t-il sur des formats et des composants qu'un autre prestataire ou une équipe interne pourrait reprendre, ou sommes-nous captifs d'une architecture propriétaire ?
10. Fournissez-vous, à la signature puis à chaque évolution, les informations nécessaires à la tenue de notre registre d'informations ?

Un prestataire sérieux répond aux dix par écrit. Les réponses évasives aux questions 1 à 3 sont les plus révélatrices : la localisation s'écrit dans un contrat, la juridiction non. Un prestataire soumis au CLOUD Act ne peut pas neutraliser par une clause les obligations que sa propre loi lui impose.

La frontière AI Act, en un paragraphe

DORA encadre la relation avec le prestataire ; le règlement européen sur l'IA encadre les usages. Pour la finance, une frontière est à connaître : l'annexe III classe à haut risque les systèmes d'IA destinés à évaluer la solvabilité des personnes physiques ou à établir leur note de crédit (avec une exception pour la détection de fraude), ainsi que la tarification et l'évaluation des risques en assurance vie et santé des personnes physiques, avec des obligations applicables à partir du 2 août 2026. Un agent qui prépare des dossiers, extrait des pièces et rédige des synthèses n'est pas destiné à ces usages : il reste hors de cette catégorie. Notre position tient en une ligne : jamais de décision de crédit, jamais de tarification d'assurance, jamais de conseil en investissement autonome. L'agent prépare, l'humain décide. Le calendrier complet est dans notre guide AI Act.

Ce vocabulaire est déjà le nôtre

Relisez la checklist : localisation des données, journal d'audit, réversibilité, chaîne de sous-traitance maîtrisée. Ce sont les clauses que DORA impose aux prestataires TIC, et ce sont les propriétés sur lesquelles root Workspace est construit : votre propre instance en France, isolée par client, avec un journal d'audit et une réversibilité prévue au contrat, sur des modèles que vous contrôlez. Le règlement demande aux prestataires ce que la souveraineté exige depuis le départ. Si votre prochain projet d'IA doit passer devant la conformité, autant qu'il arrive avec les réponses déjà écrites.

Questions fréquentes

Qui est concerné par DORA ?

Les "entités financières" listées à l'article 2 du règlement (UE) 2022/2554 : établissements de crédit, entreprises d'assurance et de réassurance, sociétés de gestion, entreprises d'investissement, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs, entre autres, soit une vingtaine de catégories. Le règlement s'applique depuis le 17 janvier 2025, directement dans toute l'Union, sans transposition nationale.

DORA s'applique-t-il aux courtiers d'assurance et aux CIF ?

Les courtiers figurent dans la liste au titre des intermédiaires d'assurance, mais l'article 2, paragraphe 3, exclut ceux qui sont des microentreprises ou des PME : la grande majorité des cabinets français sont donc hors champ. Les CIF ne figurent pas dans la liste : un conseiller en investissements financiers n'est pas une entité financière au sens de DORA. Dans les deux cas, les clauses de l'article 30 restent de bonnes pratiques contractuelles ; l'obligation, elle, n'existe pas.

Que doit contenir le contrat avec un prestataire TIC ?

Au minimum (article 30, paragraphe 2) : la description complète des services et le régime de la sous-traitance, les lieux de traitement et de stockage des données, la protection et la restitution des données, les niveaux de service, l'assistance en cas d'incident et les droits de résiliation. Si le service soutient une fonction critique ou importante, s'ajoutent (paragraphe 3) des objectifs de performance précis, des droits illimités d'accès, d'inspection et d'audit, et une stratégie de sortie avec période de transition obligatoire.

Une entreprise non financière est-elle concernée par DORA ?

Non. Une PME ou une ETI hors du secteur financier n'a aucune obligation au titre de DORA : ses obligations restent le RGPD et le droit commun des contrats. La checklist ci-dessus reste utilisable telle quelle : localisation, audit, réversibilité sont de bonnes questions d'achat, obligation ou pas.