Frontier AI et DORA : ce que les fournisseurs de services informatiques doivent savoir
Contexte réglementaire
Le 31 juillet 2026, le Comité conjoint (JC) des Autorités européennes de surveillance (ESAs) a publié une déclaration détaillant les attentes en matière de gestion des risques TIC liés aux modèles d’IA de pointe dans le cadre du Digital Operational Resilience Act (DORA). Cette initiative s’inscrit dans le Plan d’action de l’UE sur la cybersécurité et l’IA du 7 juillet 2026.
Principaux axes de la déclaration
Prévention : inventaires continus des actifs TIC, conception sécurisée dès le départ, surveillance proactive et mise à jour des correctifs.
Détection : renforcement des processus de découverte de vulnérabilités, surveillance continue, centre d’opérations de sécurité (SOC) et utilisation d’outils d’IA pour le red‑team.
Gestion du risque cyber : tests de résilience opérationnelle, plans de reprise après sinusitre, cadres de gouvernance adaptés aux menaces assistées par l’IA.
Impacts pour les fournisseurs de services ICT
Les fournisseurs devront anticiper un scrutin accru en matière de cybersécurité, de gouvernance, de résilience opérationnelle et de sous‑traitance. Les exigences contractuelles de DORA resteront centrales, notamment :
- Gestion des incidents et notifications ;
- Continuité d’activité et récupération des données ;
- Accès, portabilité et suppression des données ;
- Droits de terminaison et coopération avec les régulateurs ;
- Droits d’audit et d’inspection ;
- Obligations liées aux sous‑traitants.
Lorsque les services ICT soutiennent une fonction critique ou importante, DORA impose des obligations renforcées, telles que les tests de pénétration guidés par les menaces et des exigences supplémentaires pour les sous‑traitants.
Frontier AI : définition et double tranchant
Le plan d’action définit les modèles d’IA de pointe comme les modèles les plus avancés, capables d’accomplir un large éventail de tâches atteignant ou dépassant l’état de l’art. Ces modèles offrent des opportunités de renforcement de la défense cyber (détection de menaces, gestion des vulnérabilités), mais aussi des risques accrus (automatisation de la reconnaissance, accélération de la découverte de failles, attaques sophistiquées).
Attentes des entités financières vis-à‑vis des fournisseurs
Les clients financiers poseront des questions détaillées sur :
- La gouvernance du développement et du déploiement des modèles ;
- La résilience de l’infrastructure sous‑jacente ;
- La transparence sur les limites et les modes de défaillance des modèles ;
- Les processus de gestion d’incidents ;
- La dépendance aux sous‑traitants et aux fournisseurs de cloud ;
- Les plans de continuité d’activité et de résilience opérationnelle.
Proportionnalité et approche adaptée
Conformément à l’article 4 de DORA, les entités financières doivent appliquer une approche basée sur le risque et proportionnée à leur taille, à leur profil de risque et à la complexité de leurs services. Les fournisseurs sont donc encouragés à proposer des solutions flexibles, alignées sur les exigences réglementaires sans imposer un fardeau excessif.
Conclusion
La déclaration du JC des ESAs constitue un repère essentiel pour les fournisseurs d’IA de pointe et de services ICT. En anticipant les attentes de prévention, de détection et de gestion du risque, et en intégrant les principes de proportionnalité, ils pourront répondre aux exigences de DORA tout en renforçant leur position concurrentielle sur le marché européen des services financiers.