En application
DORA : Les règles de résilience opérationnelle numérique s’appliquent
Risque informatique, registre des tiers, notification des incidents et tests.
Secteur financier
Une IA et des plateformes prêtes pour le contrôle prudentiel.
Pour les banques, les assureurs, les gestionnaires et administrateurs de fonds et les établissements de paiement, nous construisons trois choses : une IA que l’on peut expliquer à la CSSF ou au CAA, des intégrations qui ménagent le système central, et une exploitation organisée autour de DORA dès la première décision d’architecture.
Pour les acteurs de la place financière supervisés par la CSSF ou le CAA, et au niveau européen par la BCE, l’ABE, l’AEAPP, l’AEMF et l’AMLA.
17 janvier 2025
DORA s’applique
Pour les entités financières : risque TIC, registre des tiers, déclaration des incidents, tests de résilience ; au Luxembourg, sous la CSSF et le CAA.
10 juillet 2027
Le règlement européen LBC/FT s’applique
Une seule règle de vigilance clientèle pour toute l’Union, et une nouvelle autorité : l’AMLA.
2 décembre 2027
Crédit et assurance : obligations « haut risque » du règlement sur l’IA
Notation de la solvabilité, tarification en assurance vie et santé : deux usages listés à haut risque ; échéance fixée par la modification de 2026.
Ce qui change sur la place financière
La résilience devient une obligation légale
DORA transforme la résilience en obligations concrètes : maîtrise du risque lié aux TIC, registre de chaque accord avec un prestataire TIC, incidents classés et déclarés, tests périodiques. Cloud et IA entrent ainsi dans le périmètre du superviseur.
SourceRèglement (UE) 2022/2554
Une décision d’IA doit laisser une trace
Notation de crédit et tarification d’assurance passent à haut risque. La gestion du risque de modèle doit couvrir aussi l’apprentissage automatique et l’IA générative, avec documentation, suivi et supervision humaine proportionnés à l’enjeu.
SourceRèglement (UE) 2024/1689
Vos clients vous comparent à leur meilleure application
Paiement instantané, contrôle du nom du bénéficiaire, open banking : le client s’est habitué à la vitesse et à la clarté. Les prochains textes sur les paiements serreront encore la vis sur la fraude et sur la tenue des API.
Les systèmes centraux portent des décennies de logique
Les comptes tournent encore sur des mainframes et des systèmes de gestion de portefeuille anciens. On fait évoluer autour d’eux, par API et événements, sans fragiliser la stabilité ni les rapports aux autorités.
Vos enjeux et ce que nous construisons
- L’enjeu
L’entrée en relation et les revues périodiques KYC reposent sur des analystes qui lisent chaque pièce à la main.
Notre réponseLa lecture automatique extrait et vérifie pièces d’identité, preuves de bénéficiaire effectif et justificatifs d’origine des fonds. Un analyste reprend les cas signalés, et chaque vérification laisse une trace, utile à l’audit comme au futur règlement européen LBC/FT.
- L’enjeu
Pour une seule question, conseillers et équipes de service consultent cinq systèmes.
Notre réponseUn assistant interroge produits, politiques et procédures dans la limite des droits de chacun, cite ses sources et garde trace de ce qu’il a montré : le dossier de conseil reste complet.
- L’enjeu
Toute évolution du système central est lente, coûteuse et risquée.
Notre réponseDes API et des flux d’événements exposent les fonctions du cœur ; nous en sortons ensuite une à une, en rapprochant les résultats jusqu’à l’arrêt de l’ancien circuit.
- L’enjeu
Le registre DORA et le circuit des incidents vivent dans des tableurs.
Notre réponseRegistre d’informations, classement des incidents et circuits de déclaration rejoignent vos outils ITSM et cloud, rattachés aux fonctions critiques ou importantes concernées.
- L’enjeu
Un modèle inexplicable ne passe pas la validation.
Notre réponseAvec vos équipes risques et validation, nous fixons jeux de test, niveau d’explicabilité par décision, détection de dérive et procédure documentée de reprise en main par une personne.
- L’enjeu
Chaque trimestre, les rapports réglementaires sont rapprochés à la main.
Notre réponseDes chaînes de données au lignage documenté, avec contrôles de qualité automatiques selon les principes BCBS 239 : chaque chiffre remonte jusqu’à sa source.
Une architecture de référence où le contrôle passe d’abord
L’IA se place entre les canaux et les systèmes centraux. Toute étape aux conséquences importantes passe par une approbation, et les contrôles DORA accompagnent chaque couche.
Exemple illustratif
L’IA ne touche les systèmes centraux que par la couche d’intégration ; DORA s’applique à chaque brique.
Lire le schéma sous forme de texte
Clients, conseillers et équipes de service passent par l’application, le web, l’agence et le centre de contact.
Trois services d’IA se tiennent derrière ces canaux : la lecture des pièces d’entrée en relation et KYC, un assistant pour conseillers et service, et une validation par un analyste, passage obligé de toute décision lourde de conséquences.
Entre l’IA et les systèmes centraux, un seul passage : une couche d’intégration (API, flux d’événements). Derrière elle se trouvent le core banking ou la gestion des polices, le CRM avec la plateforme de service, et une plateforme de données dont le lignage est documenté.
Sur toute la hauteur courent les contrôles DORA : risque TIC, registre des prestataires tiers, classement et déclaration des incidents, tests de résilience. Chaque modèle est inscrit, validé et suivi dans le dispositif de gestion du risque de modèle.
Approuver avant d’agir
L’IA rédige, extrait et propose. Une décision de crédit, de sinistre ou de restriction d’un compte reste entre les mains d’une personne nommée.
Explicable dès la conception
Le niveau d’explication se fixe par type de décision pendant la conception, et non à la veille de la validation.
Sortie et risque de concentration
Fournisseurs de cloud et de modèles sont retenus avec un plan de sortie et une solution de remplacement documentés pour le registre.
Les journaux comme preuve
Entrées, résultats, versions de modèle et approbations sont conservés : superviseurs et auditeurs peuvent reconstituer n’importe quel dossier.
Le calendrier réglementaire des établissements financiers
Les dates qui changent ce qu’un prestataire doit pouvoir démontrer. La CSSF, le CAA et les autorités européennes de surveillance y ajoutent orientations, circulaires et normes techniques.
En application
Règlement sur l’IA : Pratiques interdites, maîtrise de l’IA exigée
En application
AMLA : L’autorité européenne de lutte contre le blanchiment démarre
Elle prépare le corpus unique et la surveillance directe de certains établissements.
En application
Règlement sur les virements instantanés : Vérification du bénéficiaire pour les virements en euros
Dans la zone euro, le prestataire de paiement contrôle le nom du bénéficiaire avant d’exécuter le virement.
En application
Règlement sur l’IA : Obligations de transparence
Le client doit savoir qu’il échange avec un système d’IA.
Situation au 2 octobre 2026
À venir
Règlement LBC/FT : Le corpus unique européen s’applique
Vigilance clientèle, bénéficiaires effectifs et conservation des pièces suivent une seule règle.
À venir
Règlement sur l’IA : Obligations « haut risque » applicables
Notamment la notation de solvabilité et la tarification vie et santé (version modifiée en 2026).
À venir
AMLA : Début de la surveillance directe de certains établissements
Repères réglementaires et normes
Les textes qui encadrent le plus souvent un projet d’IA ou de plateforme dans un établissement financier, et leur conséquence concrète pour la réalisation.
Ce panorama sert à préparer un échange ; il ne remplace ni un avis juridique ni un avis réglementaire. Dates revues le 2 octobre 2026.
- DORAPortéeToute l’UE
Depuis le 17 janvier 2025, DORA (règlement 2022/2554) s’impose aux banques, assureurs, entreprises d’investissement, établissements de paiement et à d’autres acteurs financiers. Quatre volets : risque lié aux TIC, signalement des incidents, tests de résilience, encadrement des prestataires TIC tiers avec clauses obligatoires (article 30). Au Grand-Duché, CSSF et CAA sont compétents ; une entité surveillée par la CSSF lui déclare un incident majeur sur son eDesk, selon la circulaire CSSF 25/893.
Ce que cela implique pour votre programmePrestataire TIC, nous vous aidons à tenir vos obligations : clauses, signalement des incidents, sortie, tests, données du registre.
SourceRèglement (UE) 2022/2554, EUR-Lex (ouvre un site externe)
- Règlement européen sur l’IAPortéeToute l’UE
Noter la solvabilité d’un particulier ou tarifer au risque une assurance vie ou santé avec de l’IA : usage à haut risque. Fournisseur comme déployeur doivent alors gérer le risque, gouverner les données, journaliser, organiser la supervision humaine et documenter. Échéance après la modification de 2026 : 2 décembre 2027.
Ce que cela implique pour votre programmeNous classons chaque cas d’usage tôt, prévoyons le contrôle humain dans le processus et fournissons une documentation compatible avec votre cadre de gestion du risque de modèle.
SourceRèglement (UE) 2024/1689, EUR-Lex (ouvre un site externe)
- Paquet LBC/FT européen (AMLR et AMLA)PortéeToute l’UE
Le 10 juillet 2027, un règlement européen unique contre le blanchiment prendra le relais des règles nationales de vigilance. L’AMLA, nouvelle autorité de l’Union, coordonnera les superviseurs nationaux et contrôlera elle-même quelques établissements jugés très risqués.
Ce que cela implique pour votre programmeEntrée en relation et revues demandent un traitement uniforme des pièces et une piste d’audit. Lecture des documents et circuits de dossiers sont conçus selon ce niveau d’exigence.
SourceRèglement (UE) 2024/1624, EUR-Lex (ouvre un site externe)
- RGPD et décisions automatiséesPortéeToute l’UE
Selon l’article 22, nul ne doit subir une décision reposant uniquement sur un traitement automatisé et produisant des effets importants à son égard. Les exceptions supposent des garde-fous : intervention d’une personne, possibilité de contester. Au Luxembourg, la CNPD veille à son application.
Ce que cela implique pour votre programmeDans nos processus, une personne peut revoir un résultat automatisé, l’expliquer, le corriger, et son intervention est enregistrée.
SourceRèglement (UE) 2016/679, EUR-Lex (ouvre un site externe)
- MiFID II, DDA et traçabilité du conseilPortéeToute l’UE
MiFID II et la directive sur la distribution d’assurances exigent d’évaluer l’adéquation, ou les exigences et besoins du client, et de garder trace du conseil. Une IA qui épaule le conseiller entre dans cette trace.
Ce que cela implique pour votre programmeL’assistant consigne ce qu’il a affiché et les sources utilisées : le dossier de conseil reste complet et vérifiable.
- DSP2 et les futures règles sur les services de paiementPortéeToute l’UE
Aujourd’hui, la DSP2 régit paiements et open banking. Ses successeurs, une DSP3 et un règlement sur les services de paiement, ont été approuvés provisoirement en 2025 ; passé une période transitoire, lutte contre la fraude et performance des API seront plus encadrées.
Ce que cela implique pour votre programmeUne plateforme d’API construite aujourd’hui doit anticiper des exigences plus strictes de performance, de surveillance et de partage des données de fraude.
SourceDirective (UE) 2015/2366, EUR-Lex (ouvre un site externe)
Cas d’usage illustratifs
Exemple illustratifContrôle des pièces à l’entrée en relation
Pièces d’identité et documents de structure de propriété extraits et recoupés, par exemple chez un administrateur de fonds ; l’analyste tranche chaque cas signalé.
Assistant de connaissances pour la conformité
Réponses sur les produits, les procédures internes et les circulaires CSSF, avec leurs sources et dans la limite des droits d’accès de chaque utilisateur.
Réception et orientation des réclamations
Réclamations classées par sujet et par urgence, transmises avec un résumé préparé ; les délais de traitement réglementaires sont suivis.
Déclarations de sinistre chez un assureur
Formulaires, factures et rapports lus puis rapprochés du contrat ; le gestionnaire approuve le paiement.
Fonctions centrales exposées par API
Les transactions du mainframe deviennent des API et des événements documentés : les nouveaux canaux ne dépendent plus des fichiers batch.
Plateformes dans le secteur financier
Salesforce
Summit PartnerEspaces de travail des conseillers, entrée en relation et opérations de service en français, en allemand et en anglais, branchés sur le cœur de système et la lecture des pièces.
SAP
Gold PartnerFinance et consolidation, y compris pour des groupes avec holdings et structures de fonds au Luxembourg, avec des données SAP mises à disposition du risque et du reporting réglementaire, lignage documenté.
FromNine détient les niveaux de partenariat mentionnés. Les noms de produits appartiennent à leurs propriétaires respectifs.
Luxembourg
Conçu pour la surveillance de la CSSF et du CAA
Au Luxembourg, la CSSF surveille les banques, les fonds d’investissement et les établissements de paiement ; le CAA surveille les assureurs et réassureurs. Pour DORA, ce sont les deux autorités compétentes ; les entités surveillées par la CSSF lui déclarent leurs incidents majeurs via son eDesk, selon la circulaire CSSF 25/893.
DORA, le règlement sur l’IA et le paquet LBC/FT valent dans toute l’UE ; à partir de 2028, l’AMLA surveillera directement certains établissements. Les attentes des superviseurs, les formats de reporting et la pratique de l’externalisation restent toutefois propres à chaque pays.
Nous produisons chaque preuve une fois, présentable à chacune de ces autorités : documentation d’architecture et de modèles, journaux, résultats de tests et plans de sortie mis à jour à chaque évolution. FromNine conçoit pour des entités supervisées sans être elle-même supervisée.
- DORARèglement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA) (ouvre un site externe)
- règlement européen sur l’IA (AI Act)Règlement (UE) 2024/1689 sur l’intelligence artificielle (ouvre un site externe)
- règlement anti-blanchiment (AMLR)Règlement (UE) 2024/1624 relatif à la prévention du blanchiment de capitaux et du financement du terrorisme (règlement uniforme), avec l’AMLA (ouvre un site externe)
- RGPDRèglement général sur la protection des données (RGPD) (ouvre un site externe)
Questions fréquentes
Comment soutenez-vous nos obligations DORA en tant que prestataire ?
Le contrat reprend les clauses imposées par DORA. Nous signalons les incidents par le canal prévu, documentons la sortie, prenons part aux tests de résilience et alimentons votre registre d’informations. L’entité supervisée par la CSSF ou le CAA, c’est vous ; nous vous fournissons la matière.
L’IA peut-elle intervenir dans une décision de crédit ou de souscription ?
C’est possible, mais le règlement sur l’IA classe cet usage à haut risque : gestion du risque, qualité des données, journaux, supervision par une personne et documentation deviennent obligatoires. Nos processus laissent la décision, et son explication, à un collaborateur nommé ; les garanties de l’article 22 du RGPD restent respectées.
Où les modèles et les données tournent-ils ?
Selon votre appétence au risque : dans votre propre tenant cloud, dans une région européenne d’un cloud public ou sur vos serveurs pour ce qui est sensible. Modèles, hébergement et options de sortie sont consignés pour votre registre d’informations.
Faut-il remplacer notre système central ?
Non. Le point de départ est l’intégration : API et événements posés autour du cœur, puis sortie de fonctions seulement quand elle rapporte, avec rapprochement jusqu’à l’arrêt de l’ancien circuit.
Comment évaluez-vous l’IA générative dans un processus réglementé ?
Jeux de test et critères de qualité sont arrêtés avec vos équipes risques et validation avant la mise en service ; une surveillance suit, avec relecture des sorties incertaines. Nous partons du principe que certaines réponses seront fausses et les envoyons à une personne.
Parlons de votre programme dans le secteur financier
Un projet d’IA pour l’entrée en relation, le conseil ou les sinistres, ou des tests DORA en vue ? Parlez-en à des ingénieurs qui pensent autant au superviseur qu’à l’utilisateur.