Conformité du secteur financier : RGPD, AI Act, DORA & NIS2

Pourquoi le secteur « Secteur financier » est concerné

Ce qui unit le secteur financier, c’est le statut d’entité financière au sens de DORA et l’intensité des obligations numériques qui en découle. Toutes ces entités reposent sur des systèmes d’information critiques et dépendent de prestataires TIC, ce que DORA encadre depuis le 17 janvier 2025.

L’IA y est structurante et souvent à haut risque : scoring de crédit des personnes (banque), évaluation des risques et tarification vie/santé (assurance), sans oublier la lutte anti-fraude et anti-blanchiment. Le RGPD encadre des traitements particulièrement sensibles, du KYC au profilage.

DORA — le dénominateur commun

Toutes les entités financières sont soumises à DORA : gestion des risques TIC, gestion et notification des incidents, tests de résilience, gestion des prestataires TIC tiers via un registre d’information, et partage d’informations. C’est le texte pivot du secteur.

La proportionnalité module les obligations selon la taille et le profil de risque.

Obligations clés

• Cadre de gestion des risques TIC.
• Notification des incidents TIC majeurs.
• Tests de résilience (dont TLPT pour les significatifs).
• Registre d’information des prestataires TIC.

AI Act — des usages souvent à haut risque

Le secteur concentre plusieurs usages à haut risque : le scoring de crédit des personnes physiques et l’évaluation des risques et la tarification en assurance vie et santé. La détection de fraude en est exclue à ce titre. Les obligations du haut risque (qualité des données, supervision, documentation) s’appliquent.

Obligations clés

• Classer les usages (scoring, tarification = haut risque).
• Qualité des données et maîtrise des biais.
• Supervision humaine et information.
• Documentation et évaluation de conformité.

RGPD — des traitements sensibles

KYC, lutte anti-blanchiment, scoring, profilage et, en assurance, données de santé : le secteur financier traite des données personnelles à fort enjeu. Le détail figure dans les pages « Banque » et « Assurance ».

Obligations clés

• Bases légales et information (profilage, décisions automatisées).
• Sécurité et durées de conservation.
• Encadrement des données sensibles (santé en assurance).

NIS2 — résiduel

Le secteur financier entre dans le champ de NIS2, mais DORA prévaut comme réglementation sectorielle pour le risque TIC et les incidents. NIS2 ne joue qu’un rôle résiduel ; il faut articuler les deux sans dupliquer.

Obligations clés

• Reconnaître la prévalence de DORA pour le risque TIC.
• Assurer la cohérence des mesures.
• Coordonner les notifications.

Vue comparée des réglementations

Comment ces réglementations s’articulent

Le secteur financier illustre deux articulations clés. NIS2 / DORA : DORA, texte sectoriel, prévaut pour le risque TIC et les incidents ; NIS2 est résiduel. RGPD / AI Act : les usages à haut risque (scoring, tarification) combinent données personnelles et système à haut risque, à traiter conjointement.

Calendrier d’application

• 1DORA. Applicable depuis le 17 janvier 2025 pour toutes les entités financières.
• 2RGPD. En vigueur.
• 3AI Act. haut risque : À partir du 2 août 2026 (scoring, tarification).
• 4NIS2. Résiduel, DORA prévalant pour le risque TIC.

Sanctions encourues

Les régimes se cumulent : RGPD (20 M€ / 4 %), AI Act (35 M€ / 7 %), DORA (régime prudentiel), NIS2 (10 M€ / 2 %, résiduel). Le secteur est en outre soumis à la supervision prudentielle de ses autorités.

Le risque est autant prudentiel et systémique que financier : un défaut de résilience peut déclencher des mesures des autorités et une perte de confiance.

Feuille de route de mise en conformité

• 1Structurer la résilience (DORA). Bâtir le cadre TIC, la gestion des incidents, les tests et le registre des prestataires.
• 2Maîtriser l’IA à haut risque. Identifier scoring et tarification, déployer les obligations du haut risque.
• 3Sécuriser les traitements RGPD. Encadrer KYC, profilage, décisions automatisées et données sensibles.
• 4Articuler NIS2. Traiter le résiduel sans dupliquer DORA.
• 5Approfondir par vertical. Se référer aux pages « Banque » et « Assurance ».

Comment Data Comply One accompagne le secteur

Data Comply One couvre RGPD, AI Act, NIS2 et DORA sur une plateforme unique, avec DPO et RSSI externalisés — l’ensemble du spectre du secteur financier. L’approche intégrée facilite l’articulation NIS2 / DORA et le traitement conjoint RGPD / AI Act.

DCO propose des modèles adaptés aux entités financières (registre d’information des prestataires TIC, procédures d’incident, documentation AI Act).

Questions fréquentes