Conformité du secteur bancaire : RGPD, AI Act, NIS2 & DORA

Pourquoi le secteur « Banque » est concerné

La banque traite des données personnelles à grande échelle et pour des finalités sensibles : connaissance client (KYC), octroi de crédit, détection de fraude, lutte contre le blanchiment. Ces traitements imposent une rigueur RGPD maximale, d’autant que le scoring et le profilage produisent des décisions ayant un effet direct sur les personnes.

L’usage de l’IA y est structurant. L’évaluation de la solvabilité des particuliers par un système d’IA figure parmi les usages à haut risque de l’AI Act, avec les obligations les plus lourdes. D’autres usages (détection de fraude, assistants conversationnels) relèvent de régimes plus légers.

Sur le plan de la résilience, la banque relève à la fois de NIS2 (secteur essentiel) et de DORA. En pratique, DORA constitue la lex specialis pour la gestion du risque TIC et la notification des incidents des entités financières : c’est lui qui structure le dispositif, NIS2 s’appliquant de façon résiduelle.

DORA — la résilience opérationnelle numérique

DORA impose aux banques un cadre complet : gestion des risques TIC, gestion et notification des incidents, tests de résilience (y compris des tests d’intrusion fondés sur la menace pour les entités significatives), gestion des risques liés aux prestataires TIC tiers via un registre d’information, et partage d’informations sur les cybermenaces.

C’est le texte pivot de la conformité numérique bancaire depuis le 17 janvier 2025.

Obligations clés

• Cadre de gestion des risques TIC piloté par la direction.
• Classification et notification des incidents TIC majeurs.
• Programme de tests de résilience (dont TLPT pour les significatifs).
• Registre d’information des prestataires TIC et encadrement contractuel.

AI Act — le scoring de crédit à haut risque

L’évaluation de la solvabilité et l’établissement de scores de crédit des personnes physiques sont expressément classés parmi les usages à haut risque (à l’exception de la détection de fraude). Les banques concernées supportent des obligations lourdes : gestion des risques, qualité des données, transparence, supervision humaine, documentation.

Les autres usages (chatbots, automatisation interne) relèvent le plus souvent du risque limité ou minimal.

Obligations clés

• Classer les systèmes d’IA (scoring de crédit = haut risque).
• Qualité et représentativité des données, gestion des biais.
• Supervision humaine et information des personnes.
• Documentation technique et évaluation de conformité.

RGPD — KYC, scoring et lutte anti-fraude

La banque est responsable de traitement pour des finalités à fort enjeu : KYC/LCB-FT, octroi de crédit, scoring, détection de fraude. Le profilage et les décisions automatisées appellent une vigilance particulière (information, droit à une intervention humaine).

La base légale, la durée de conservation et la sécurité doivent être maîtrisées finement, dans un cadre où le secret bancaire s’ajoute au RGPD.

Obligations clés

• Base légale et information renforcée pour le profilage.
• Encadrement des décisions automatisées (intervention humaine).
• Durées de conservation adaptées (crédit, LCB-FT).
• Sécurité et traçabilité de niveau élevé.

NIS2 — secteur essentiel, articulé avec DORA

La banque figure parmi les secteurs essentiels de NIS2. Toutefois, pour la gestion du risque TIC et la notification des incidents, DORA prévaut en tant que réglementation sectorielle spécifique. NIS2 conserve une portée résiduelle et impose de comprendre l’articulation des deux textes pour éviter les doublons.

Obligations clés

• Comprendre l’articulation NIS2 / DORA (DORA prévaut pour le TIC).
• Mesures de sécurité cohérentes avec DORA.
• Coordination des dispositifs d’incident.

Vue comparée des réglementations

Comment ces réglementations s’articulent

Le point clé pour une banque est l’articulation NIS2 / DORA. Les deux visent la cybersécurité, mais DORA, en tant que texte sectoriel, prévaut pour la gestion du risque TIC et la notification des incidents des entités financières. Concrètement, une banque structure sa résilience autour de DORA et n’applique NIS2 que de façon résiduelle, sans dupliquer les dispositifs.

Par ailleurs, l’IA de scoring crée un cumul RGPD / AI Act : un score de crédit repose sur des données personnelles (base légale, information, droit à une intervention humaine au titre du RGPD) et constitue un système à haut risque (qualité des données, supervision, documentation au titre de l’AI Act). Les deux exigences doivent être traitées conjointement.

Calendrier d’application

• 1DORA. Applicable depuis le 17 janvier 2025.
• 2RGPD. En vigueur ; contrôles réguliers sur le profilage et le scoring.
• 3AI Act. haut risque : Obligations principales à partir du 2 août 2026 pour le scoring de crédit.
• 4NIS2. Applicable de façon résiduelle, DORA prévalant pour le risque TIC.

Sanctions encourues

Les régimes se cumulent. Le RGPD expose à 20 M€ ou 4 % du CA mondial, l’AI Act à 35 M€ ou 7 %. DORA relève d’un régime prudentiel : les autorités compétentes disposent de pouvoirs de surveillance et de sanction, et un prestataire TIC critique peut faire l’objet d’astreintes. NIS2 prévoit jusqu’à 10 M€ ou 2 % pour les entités essentielles, mais son application est résiduelle dans la banque.

Au-delà des amendes, l’enjeu est prudentiel et réputationnel : un incident de résilience majeur peut déclencher des mesures des autorités de supervision et une perte de confiance immédiate.

Feuille de route de mise en conformité

• 1Structurer la résilience autour de DORA. Bâtir le cadre de gestion des risques TIC, la classification des incidents et le programme de tests, en articulant NIS2 de façon résiduelle.
• 2Maîtriser l’IA à haut risque. Identifier les systèmes de scoring de crédit et déployer gestion des risques, qualité des données, supervision et documentation.
• 3Sécuriser les traitements RGPD sensibles. Encadrer profilage, décisions automatisées, durées de conservation et sécurité pour KYC, crédit et fraude.
• 4Gérer les prestataires TIC. Tenir le registre d’information et encadrer contractuellement les prestataires (clauses DORA).
• 5Piloter au niveau direction. Faire porter la résilience et la conformité par la direction, conformément aux exigences prudentielles.

Comment Data Comply One accompagne le secteur

Data Comply One couvre RGPD, AI Act, NIS2 et DORA sur une plateforme unique, avec DPO et RSSI externalisés — l’ensemble du spectre réglementaire bancaire. L’approche intégrée facilite l’articulation NIS2 / DORA et le traitement conjoint du cumul RGPD / AI Act sur les usages de scoring.

DCO met à disposition des modèles adaptés aux entités financières (registre d’information des prestataires TIC, procédures d’incident, documentation AI Act pour le scoring).

Questions fréquentes