Une entité financière soumise à DORA qui exploite de l'IA relève de deux régimes qui réclament des preuves qui se recouvrent sur les mêmes systèmes. Ce module établit ce que vous pouvez construire une seule fois, ce qu'un contrôle DORA n'a PAS couvert, et les trois horloges d'incident côte à côte.
Paiement sécurisé par Stripe. Livraison immédiate par e-mail, licence nominative.
Une entité financière soumise à DORA qui exploite des systèmes d'IA relève de deux règlements rédigés par des directions différentes, supervisés par des canaux différents et bâtis sur des prémisses différentes — et qui réclament pourtant des preuves qui se recouvrent sur les mêmes systèmes.
La réponse habituelle est de monter deux programmes. C'est cher, et c'est pire que cher : deux registres des mêmes systèmes finiront par diverger, et le jour où ils divergent, aucun des deux ne peut plus être opposé à un superviseur.
Les deux régimes côte à côte. Objet de la réglementation, dates, qui est lié, ce qui déclenche les obligations lourdes, superviseur et exposition aux sanctions. Y compris la disposition que les fonctions conformité manquent le plus souvent : au titre des Art. 74(6)-(7) de l'AI Act, l'autorité de surveillance du marché pour beaucoup de systèmes d'IA utilisés par des institutions financières est le superviseur financier auquel vous rendez déjà compte. Les deux régimes peuvent arriver dans la même conversation.
Ce que chaque régime vous demande de détenir, sous forme d'artefacts et non de principes — le cadre DORA, l'identification des actifs, le processus d'incident, le programme de tests, le registre d'information et les clauses contractuelles, face au système de gestion des risques de l'AI Act, à la preuve de gouvernance des données, au dossier annexe IV, à la journalisation, à la supervision, à l'évaluation de conformité et aux obligations post-marché.
L'analyse de convergence, en huit lignes. Chacune énonce ce qui peut servir aux deux régimes et — la moitié la plus utile — ce que l'AI Act exige encore séparément. Identification des actifs, gestion des risques, gestion des tiers, gestion des incidents, tests, journalisation, système de management, compétence. La règle qu'elle construit : DORA demande si le service continue de tourner ; l'AI Act demande si la décision était fondée et si vous pouvez le montrer.
Une matrice de dix cas d'usage pour l'IA que les entités financières exploitent réellement : scoring crédit, détection de fraude, surveillance LCB-FT, trading algorithmique, tarification assurance, chatbots, contenu génératif, onboarding biométrique, tri de candidatures et assistants internes. Chaque ligne donne l'angle DORA et la question de classification AI Act à trancher — dont les deux qui déplacent le plus souvent un budget : la détection de fraude est expressément exclue du point 5(b) de l'annexe III, et le tri de candidatures est à haut risque mais auto-évalué au titre de l'annexe VI, sans organisme notifié.
Un seul contrat fournisseur au lieu de deux. L'Art. 30 de DORA impose déjà une discipline contractuelle sur laquelle la plupart des exigences AI Act envers un fournisseur peuvent se greffer. Le module établit clause par clause ce que votre annexe TIC couvre déjà, et isole le delta IA : quatre clauses et une garantie.
Les trois horloges d'incident côte à côte. Une seule défaillance d'IA peut déclencher le signalement d'incident majeur DORA, le signalement d'incident grave de l'Art. 73 de l'AI Act et l'horloge de violation de l'Art. 33 du RGPD, sur trois déclencheurs différents. Aucune ne se substitue à une autre. Y compris la contrainte de procédure qui contredit tous les réflexes d'exploitation : l'Art. 73(6) interdit de modifier le système d'une manière susceptible d'affecter l'évaluation des causes avant d'avoir informé les autorités — l'inverse de ce qu'un plan de reprise DORA dit aux mêmes ingénieurs.
Un seul registre, avec des surcouches. Les attributs à ajouter au registre d'information de l'Art. 28(3) de DORA pour qu'il porte aussi la classification AI Act, et pourquoi le niveau de risque doit être dérivé et non saisi.
Une séquence à 90 jours pour une entité déjà conforme à DORA et qui a peu avancé sur l'AI Act, en plaçant en tête les deux obligations aux échéances les plus proches et aux preuves les moins coûteuses.
Aux fonctions conformité, risques et TIC des établissements de crédit, entreprises d'assurance, entreprises d'investissement et établissements de paiement déjà sous DORA — et aux fournisseurs qui leur vendent de l'IA et à qui ces questions sont posées pendant les achats.
C'est une analyse structurelle de deux règlements, pas un conseil juridique. La classification au titre de l'annexe III dépend de votre mise en œuvre : deux banques exploitant des modèles nominalement semblables peuvent tomber de part et d'autre de l'exclusion « fraude » du point 5(b).
Votre organisation est-elle soumise à la fois à l’AI Act et à DORA ? Les deux règlements se croisent sur la résilience opérationnelle des systèmes d’IA financiers. Notre site jumeau regulation-dora.eu couvre DORA en profondeur — et détaille ce que l’AI Act ajoute par-dessus un programme DORA existant.
L’AI Act pour les institutions financières ↗ Explorer regulation-dora.eu ↗Oui. DORA — règlement (UE) 2022/2554 — s'applique depuis le 17 janvier 2025 aux établissements de crédit, aux entreprises d'assurance, aux entreprises d'investissement, aux établissements de paiement et aux autres entités listées à son Art. 2. Ces mêmes entités relèvent de l'AI Act pour les systèmes d'IA qu'elles fournissent ou déploient. Les deux régimes ne se substituent pas l'un à l'autre : DORA gouverne la résilience des TIC qui délivrent vos services, l'AI Act gouverne l'impact des systèmes d'IA sur la sécurité et les droits.
Non, et le supposer est l'erreur coûteuse que ce module existe pour éviter. Les Art. 5 à 10 de DORA portent sur la résilience opérationnelle ; l'Art. 9 de l'AI Act porte sur les atteintes à la santé, à la sécurité et aux droits fondamentaux résultant de l'usage prévu d'un système et de son mésusage raisonnablement prévisible. Un registre de risques DORA ne contiendra pas une seule ligne au sens de l'Art. 9. Le module énonce, domaine de contrôle par domaine de contrôle, ce que l'AI Act exige en plus.
L'analyse d'impact sur les droits fondamentaux se lit habituellement comme une obligation du secteur public. L'Art. 27(1) l'étend aux déployeurs qui sont des établissements de crédit, pour les systèmes de solvabilité du point 5(b) de l'annexe III, et aux entreprises d'assurance, pour les systèmes d'évaluation des risques et de tarification en vie et santé du point 5(c). Elle n'a aucun équivalent DORA : rien de ce que vous exploitez déjà ne la couvre.
Non. La page gratuite est une mise en perspective courte. Ceci est un module de 9 pages : les deux régimes comparés sur six dimensions, un inventaire artefact par artefact de ce que chacun exige, une analyse de convergence en huit lignes, une matrice de classification à dix cas d'usage pour l'IA que les entités financières exploitent réellement, un seul contrat fournisseur servant les deux régimes, les horloges d'incident DORA, AI Act et RGPD côte à côte, et une séquence à 90 jours.
Un PDF de 9 pages, livré par e-mail immédiatement après paiement, licence nominative. Les références à l'AI Act sont celles du texte tel que modifié par le règlement (UE) 2026/1744 — le Digital Omnibus de juillet 2026 — qui a déplacé quatre des dates que la plupart des publications citent encore.