Aller au contenu principal
Audact
Explorer un workflow

DORA

DORA : un agent d’IA dans une conversation réglementée fait partie de votre parc TIC.

Directement applicable depuis le 17 janvier 2025

Dernière révision : 5 octobre 2026

DORA harmonise la gestion du risque lié aux TIC dans le secteur financier de l’UE. Il s’applique directement, sans transposition nationale, et n’exclut pas l’IA. Dès qu’un agent vocal traite un appel KYC, une déclaration de sinistre, une qualification de prêt immobilier ou un litige de paiement, cette interaction appartient au parc TIC de l’entreprise, avec les mêmes exigences de documentation, de tests, de déclaration d’incidents et de conservation des enregistrements que tout autre système qui en fait partie.

Ce que la loi exige

Un cadre documenté de gestion du risque lié aux TIC, réexaminé au moins une fois par an et après chaque incident majeur.
Règlement (UE) 2022/2554, art. 5 et 6
Les incidents liés aux TIC doivent être classés selon des critères définis, et les incidents majeurs déclarés à l’autorité compétente dans les délais prescrits.
Règlement (UE) 2022/2554, art. 17 à 19
Un programme de tests de résilience opérationnelle numérique, avec des tests de pénétration fondés sur la menace pour les entités identifiées comme importantes.
Règlement (UE) 2022/2554, art. 24 à 27
Des exigences contractuelles pour chaque accord avec un prestataire tiers de services TIC, et un registre d’informations couvrant l’ensemble de ces accords, tenu au niveau de l’entité, au niveau sous-consolidé et au niveau consolidé.
Règlement (UE) 2022/2554, art. 28 à 30
Les prestataires tiers de services TIC désignés comme critiques relèvent d’une supervision directe des autorités européennes de surveillance, avec des astreintes pouvant atteindre 1 % du chiffre d’affaires mondial quotidien moyen.
Règlement (UE) 2022/2554, art. 31 et 35, par. 8
Il s’agit d’un règlement, applicable depuis le 17 janvier 2025. Il n’y a pas d’étape de transposition nationale à attendre.
Règlement (UE) 2022/2554, art. 64

Ce que fait Audact

Chaque interaction encadrée est écrite dans la même chaîne de preuves que son enregistrement d’information de l’article 50 : une seule structure de reçu, la politique qui la lit étant fixée par régime.
Opérationnel aujourd’hui
Sans aucune clé, un auditeur peut recalculer l’empreinte d’entrée, l’empreinte de sortie et l’empreinte de l’événement de preuve précédent, à partir du reçu et des textes sur lesquels elles ont été calculées. L’inclusion dans l’arbre de Merkle est le quatrième contrôle ; elle se vérifie par rapport à la racine publiée, avec la preuve d’inclusion tirée du rapport de l’article 50 de l’appel. Confirmer le code d’authentification à clé exige la clé que détient Audact.
Opérationnel aujourd’hui
Une liste des sous-traitants ultérieurs et des dépendances, dans la forme que demande le registre d’informations, nommant la fonction de chaque entrée et l’endroit où elle s’exécute. La liste des sous-traitants ultérieurs elle-même est publiée dans l’accord de traitement des données (DPA) ; remplir le registre reste le devoir propre de l’entité financière.
Prévu
Un export conçu pour une demande de supervision : enregistrements d’incidents, verdicts de politique, journaux d’interaction et attestations de résidence dans un seul paquet.
En développement

Là où il s’applique

Les conversations qui font entrer un agent dans le périmètre.

DORA ne nomme pas l’IA, et c’est précisément pourquoi il l’atteint. Le critère est de savoir si le système soutient une fonction réglementée, et un agent vocal qui prend une déclaration de sinistre, vérifie une identité, qualifie un prêt immobilier ou trie un litige de paiement le fait manifestement.

La conséquence pratique n’est pas une nouvelle obligation, mais un nouvel endroit où chercher la preuve d’une obligation existante. La classification des incidents, les tests de résilience et les registres de tiers s’appliquaient déjà à votre téléphonie et à votre CRM. L’agent se situe entre les deux, et tant qu’il ne produit pas son propre enregistrement, il est le trou dans la chaîne.

Ce qu’un auditeur peut vérifier

Trois champs que n’importe qui peut recalculer, un quatrième vérifié avec la preuve d’inclusion, et un qui exige la clé.

Le reçu d’une interaction porte une empreinte d’entrée, une empreinte de sortie et l’empreinte de l’événement de preuve précédent. Ces trois éléments peuvent être recalculés par quiconque détient l’enregistrement, avec les textes et l’événement précédent sur lesquels ils ont été calculés : sans clé, sans compte, sans demande adressée à nous. Le quatrième, l’inclusion dans la racine de Merkle, ne figure pas sur le reçu lui-même ; il se vérifie par rapport à la racine publiée, avec la preuve d’inclusion tirée du rapport de l’article 50 de l’appel.

Le reçu porte aussi un code d’authentification à clé, et celui-là relève d’un autre type d’affirmation : il est calculé avec une clé symétrique que détient Audact. Dites-le clairement à une autorité de supervision, et les champs ci-dessus pèsent plus lourd, pas moins.

Remarque

De l’information, pas un conseil juridique.

Cette page expose les règles telles que nous les lisons, avec les numéros d’article pour que vous puissiez nous vérifier. Ce n’est pas un conseil juridique, et votre situation dépend de faits que cette page ne peut pas connaître. Demandez conseil à un juriste qualifié avant de vous y fier.

Questions

DORA s’applique-t-il à nous si nous n’utilisons un agent d’IA que pour l’assistance entrante ?
Si votre entreprise est une entité financière dans le champ du règlement, DORA s’applique à l’entreprise et aux TIC dont elle dépend. Le canal n’y change rien. Ce qui change avec le cas d’usage, c’est quelles exigences pèsent le plus : une ligne d’assistance entrante relève en général de la classification des incidents et des registres de tiers plutôt que des tests fondés sur la menace.
Audact est-il un prestataire tiers de services TIC critique ?
Non. Cette désignation est faite par les autorités européennes de surveillance au titre de l’article 31 et vise les prestataires dont la défaillance affecterait la stabilité financière à grande échelle. Audact est un prestataire tiers de services TIC ordinaire, ce qui signifie que les exigences contractuelles de l’article 30 s’appliquent à l’accord qui nous lie.
Que nous fournissez-vous pour le registre d’informations ?
La liste des sous-traitants ultérieurs figurant dans le DPA, avec la fonction que remplit chaque entrée et l’endroit où elle s’exécute ; une liste dans la forme du registre d’informations est prévue. Remplir le registre d’informations reste le devoir propre de l’entité financière.
Combien de temps les enregistrements sont-ils conservés ?
Pendant la durée de conservation convenue dans le contrat. Les métadonnées de conformité et les empreintes sont ce dont est fait un reçu et sont conservées pendant toute cette durée ; l’audio est un réglage distinct et n’est pas conservé par défaut.

Regardez un reçu avant de planifier l’audit

La page Proof parcourt un exemple de reçu champ par champ (valeurs synthétiques, le format de production), et indique quels champs un tiers peut recalculer et lesquels exigent la clé d’Audact.

Voir un reçu

Pages associées