Depuis le 17 janvier 2025, le règlement européen DORA impose un cadre unique de résilience numérique à une vingtaine de catégories d'entités financières, de l'assureur au courtier en passant par la société de gestion. 90 % des acteurs des marchés financiers français utilisent déjà l'intelligence artificielle ou prévoient de le faire sous douze mois, selon une étude de l'Autorité des marchés financiers publiée début février 2026. Déployer un agent Claude dans une structure régulée n'est donc plus une simple question technique : c'est une question de conformité, et elle se pose dès maintenant.

DORA, un an après l'entrée en application : où en est vraiment la finance

Le règlement (UE) 2022/2554 du 14 décembre 2022 porte un nom que tout le monde a fini par retenir : Digital Operational Resilience Act, DORA pour les intimes. Depuis le 17 janvier 2025, il encadre la gestion du risque informatique, le reporting des incidents, les tests de résilience et la gestion du risque porté par les prestataires tiers, pour l'ensemble des entités du secteur financier européen, selon l'Autorité de contrôle prudentiel et de résolution.

Le texte vise un périmètre large. Établissements de crédit, entreprises d'investissement, sociétés de gestion, compagnies d'assurance et de réassurance, mais aussi intermédiaires d'assurance et de réassurance, c'est-à-dire vos courtiers. Si vous dirigez une compagnie d'assurance, un cabinet de courtage ou une société de gestion, DORA s'applique à vous depuis plus d'un an. Ce qui change en 2026, c'est le degré de contrôle : l'ACPR a organisé le 23 janvier 2026 un webinaire consacré au bilan des premiers mois d'application du texte, et elle a publié quatre instructions techniques entre-temps pour préciser les modalités de déclaration des incidents majeurs liés aux TIC. Les autorités européennes de supervision, l'ABE, l'ESMA et l'EIOPA, ont par ailleurs désigné en janvier 2026 leurs premiers prestataires informatiques jugés critiques, avec les grands fournisseurs de cloud en tête de liste. Ces prestataires passent désormais sous supervision directe des autorités européennes, avec obligation de participer à des tests de résilience numérique coordonnés.

Le dispositif de tests, justement, mérite un mot à part. Les entités jugées significatives par leur régulateur doivent se soumettre à des tests de pénétration pilotés par la menace, les fameux TLPT, au moins une fois tous les trois ans. Ce ne sont pas de simples scans de vulnérabilité : ce sont des exercices de simulation d'attaque réelle, menés par des prestataires indépendants agréés, sur les systèmes qui portent les fonctions les plus critiques. Un agent IA qui pilote une fonction de ce niveau a vocation à entrer dans ce périmètre de test, au même titre qu'un système bancaire cœur de métier.

Votre fournisseur d'IA figure-t-il, ou figurera-t-il un jour, sur cette liste de prestataires critiques ? Pas nécessairement, la barre de désignation reste haute. Mais la question mérite d'être posée avant de signer un contrat, pas après un incident.

Où l'intelligence artificielle entre dans le champ de DORA

Un agent Claude qui traite des dossiers de souscription, qui rédige un rapport réglementaire ou qui interroge une base de sinistres n'est pas un simple logiciel de bureautique. Aux yeux de DORA, c'est un service TIC, et le prestataire qui le fournit entre dans le champ de la gestion du risque de tiers, l'un des piliers du règlement.

Cela emporte des conséquences très concrètes. Chaque entité financière doit tenir un registre d'informations sur ses accords contractuels avec ses prestataires TIC, y compris ceux qui portent sur l'intelligence artificielle. L'ACPR a fixé la remise de ce registre au 31 mars 2026 pour l'exercice en cours, avec un format allégé pour les établissements dont la situation n'a pas changé depuis l'an dernier. Le contrat qui vous lie à votre intégrateur IA ou à votre fournisseur de modèle doit donc prévoir une clause de sortie, un droit d'audit, et une chaîne de sous-traitance documentée jusqu'au dernier maillon, exigence que beaucoup de contrats signés avant 2025 ignorent purement et simplement.

Le registre attendu par l'ACPR ne se limite pas à une liste de noms. Il doit préciser la fonction exacte assurée par chaque prestataire, la nature des données traitées, leur localisation géographique, et surtout la chaîne complète de sous-traitance quand votre fournisseur d'IA s'appuie lui-même sur un hébergeur cloud ou un fournisseur de modèle tiers. Sur ce dernier point, beaucoup d'entreprises découvrent tard que leur outil IA repose sur trois ou quatre couches de sous-traitance qu'elles n'avaient jamais cartographiées.

Les chiffres donnent le vertige à qui les découvre pour la première fois. Un prestataire TIC jugé critique par les ESAs et pris en défaut lors d'une supervision directe s'expose à une astreinte pouvant atteindre 1 % de son chiffre d'affaires mondial moyen par jour, pendant six mois maximum. Les entités financières, elles, restent sanctionnées par leur autorité nationale, l'ACPR en France, sur des barèmes qui varient selon les textes de transposition mais qui peuvent représenter, dans les cas les plus graves, plusieurs points de chiffre d'affaires annuel.

Combien de directions informatiques savent aujourd'hui, avec précision, quels agents IA touchent à un processus critique chez elles ? Trop peu, à en juger par les échanges que nous avons sur le terrain avec nos clients. Le règlement prévoit d'ailleurs, à son article 45, un dispositif volontaire de partage d'informations sur les menaces cyber entre entités financières, un signe que le législateur européen mise autant sur la coopération que sur la sanction pour faire tenir l'ensemble.

Assurance, gestion d'actifs, courtage : trois expositions, un même règlement

Assurance

Une compagnie d'assurance qui confie l'évaluation d'un dossier de souscription à un agent IA engage, sous DORA, la responsabilité de toute la chaîne : le modèle, l'hébergement, et l'intégrateur qui a connecté le tout à son système d'information. Ce n'est pas une hypothèse d'école. Allianz Partners a fait passer le taux de sinistres traités automatiquement de 10 % à 90 % en quelques années, un cas que nous détaillions dans notre analyse du déploiement Claude chez Allianz. Prudential, de son côté, vise 85 % d'automatisation sur souscription et sinistres d'ici 2030. Pour une compagnie d'assurance ou une mutuelle, la question posée par DORA n'est plus de savoir si l'IA doit intervenir dans la chaîne de souscription. Elle est de savoir si le prestataire qui la fournit peut prouver, registre à l'appui, qu'il maîtrise sa propre résilience.

Un point mérite l'attention particulière des directions des risques : les autorités européennes se montrent de plus en plus attentives à la cohérence entre la gouvernance DORA d'un outil IA et les exigences de gouvernance des modèles déjà posées par Solvabilité II. Un même agent, dans une compagnie d'assurance, peut ainsi se retrouver documenté deux fois, sous deux angles réglementaires différents, pour un même déploiement.

Sociétés de gestion

90 % des acteurs des marchés financiers français utilisent déjà l'intelligence artificielle ou comptent l'adopter sous douze mois, selon une étude de l'Autorité des marchés financiers publiée le 2 février 2026 auprès de cent acteurs : sociétés de gestion, prestataires de services d'investissement, acteurs crypto, entreprises cotées et cabinets d'audit. Pour 54 % des répondants, les cas d'usage cités sont déjà en production, majoritairement dans les grandes structures. Sur plus de mille cas d'usage recensés par l'étude, 83 % visent d'abord un gain de productivité interne, pas un produit destiné au client final. Une société de gestion qui pilote un reporting réglementaire ou une analyse de portefeuille avec Claude doit documenter ce prestataire dans son registre DORA, exactement comme elle documenterait un fournisseur de données de marché ou un hébergeur cloud.

Les sociétés de gestion qui relèvent des directives OPCVM ou AIFM connaissent déjà cet exercice de documentation des prestataires essentiels. DORA en étend simplement le périmètre à tout ce qui touche à l'intelligence artificielle, y compris les outils qui, hier encore, passaient pour de simples gains de productivité internes.

Courtage

Le courtage suit un mouvement comparable, à une vitesse un peu différente. Les intermédiaires d'assurance et de réassurance figurent explicitement dans le périmètre de DORA, au même titre que les compagnies qu'ils représentent. Un cabinet de courtage qui automatise la comparaison de contrats ou la relance client avec un agent IA doit, lui aussi, documenter ce prestataire et vérifier ses clauses contractuelles, même si sa taille le classe souvent dans une catégorie de proportionnalité allégée par rapport à un grand groupe bancaire. Les structures les plus prudentes de ce secteur avancent déjà sur le sujet ; beaucoup d'autres découvrent encore l'existence du règlement au détour d'un audit ou d'une question posée par un assureur partenaire.

Beaucoup de courtiers immatriculés à l'ORIAS gèrent déjà une charge de conformité dense entre lutte contre le blanchiment, protection de la clientèle et devoir de conseil. DORA s'ajoute à cette pile sans la remplacer, ce qui justifie d'autant plus de choisir un prestataire IA capable de documenter lui-même sa part du dossier plutôt que de laisser ce travail entièrement à la charge du courtier.

Ce que DORA change concrètement pour un déploiement Claude Cowork

La bonne nouvelle, c'est que la plupart des exigences de DORA recoupent ce qu'une gouvernance IA sérieuse impose déjà. La mauvaise, c'est que beaucoup d'organisations découvrent cette gouvernance après le premier prototype, pas avant.

Un déploiement gouverné de Claude Cowork s'appuie sur une piste d'audit complète : qui a accès à quel connecteur, quelle action un agent peut engager seul, et laquelle doit remonter à un humain avant exécution. Nous détaillions ces arbitrages dans notre analyse des contrôles RBAC en production. Ce sont, presque terme pour terme, les questions que pose un auditeur DORA sur la gestion du risque de tiers : traçabilité des accès, séparation des rôles, capacité à démontrer qu'un incident aurait été détecté avant de causer un dommage. Cette même piste d'audit sert aussi de point de départ naturel au registre d'informations DORA : plutôt que de reconstituer a posteriori qui a accédé à quoi, l'entreprise dispose déjà d'un historique exploitable au moment de la déclaration annuelle.

Anthropic a par ailleurs connecté Claude Enterprise à une trentaine d'outils de sécurité et de conformité. Pour une entité soumise à DORA, ce type d'intégration facilite directement deux des piliers du règlement : le reporting des incidents et la gestion du risque informatique. Cela ne dispense de rien sur le papier, le registre reste à tenir à jour à la main, mais cela réduit sensiblement le travail de collecte des preuves.

Faut-il pour autant tout bloquer en attendant un audit DORA complet avant le moindre déploiement ? Non. Gartner prévoit que plus de 40 % des projets d'IA agentique seront abandonnés d'ici 2027, faute de gouvernance suffisante ou de valeur métier démontrée, pas à cause d'un excès de réglementation. Le risque inverse existe aussi : celui de l'entreprise qui renonce à l'IA par excès de prudence, pendant que ses concurrents referment l'écart de productivité que documente l'AMF.

DORA n'est d'ailleurs pas le seul texte à surveiller. Le règlement européen sur l'IA, lui, s'attaque au risque algorithmique plutôt qu'au risque de résilience informatique : biais, transparence, usage à haut risque. Nous détaillions son calendrier dans notre article sur la conformité à l'AI Act. Les deux textes se complètent sans se recouvrir. DORA vérifie que votre fournisseur d'IA ne tombera pas en panne au pire moment. L'AI Act vérifie que l'IA elle-même ne prend pas de décision qu'elle ne devrait pas prendre seule.

La checklist de conformité avant de généraliser un agent IA

Concrètement, que vérifier avant de passer un agent Claude en production dans une structure régulée ? Le contrat avec votre intégrateur ou votre fournisseur doit d'abord prévoir une clause de réversibilité claire : la possibilité de récupérer vos données et de changer de prestataire sans blocage technique ni pénalité déguisée. Il doit ensuite documenter la chaîne de sous-traitance jusqu'à l'hébergeur final, pas seulement le premier maillon visible sur la facture.

Vient ensuite la question des tests. DORA impose des tests de résilience numérique réguliers, et un agent IA qui touche à un processus critique devrait entrer dans ce périmètre au même titre qu'une application cœur de métier. Peu d'entreprises y pensent spontanément : un agent qui rédige des emails de relance paraît anodin, jusqu'à ce qu'il touche la validation d'un virement ou la clôture d'un dossier de sinistre.

Reste la question du scénario noir : que se passe-t-il si l'agent, ou le service qui l'héberge, tombe en panne un jour de forte activité ? DORA impose de documenter un plan de continuité pour ce cas précis, avec un prestataire de repli identifié quand c'est possible. Trop d'entreprises n'y réfléchissent que le jour de l'incident, ce qui est précisément le moment où il est déjà trop tard pour y réfléchir sereinement.

Pensez-y comme à un nouvel employé qu'on embaucherait sans jamais vérifier ses habilitations d'accès : le profil peut être brillant sur le papier, l'absence de contrôle reste une faute de gestion. Un agent IA mérite exactement la même rigueur qu'un prestataire externe classique, ni plus, ni moins.

Le dernier point, souvent négligé, concerne la formation des équipes. Un agent bien gouverné entre les mains d'une équipe qui ne comprend pas ses limites reproduit les mêmes risques qu'un outil mal gouverné entre des mains négligentes. Nos programmes de formation Claude Cowork couvrent systématiquement ce volet gouvernance pour les équipes en secteur régulé, aux côtés des usages métier proprement dits.

Le sujet prend une dimension supplémentaire depuis le lancement de Claude Commerce Agents début septembre 2026 : un agent qui ne se contente plus de lire vos données mais qui déclenche lui-même un paiement entre directement dans le périmètre des prestataires tiers critiques que DORA vous demande déjà de cartographier.

DORA ne va pas ralentir l'adoption de l'IA dans l'assurance, la gestion d'actifs ou le courtage : les chiffres de l'AMF montrent au contraire une accélération. Ce que le règlement change, c'est l'exigence de preuve. Un registre à jour, un contrat qui prévoit la sortie, des tests qui couvrent vos agents IA au même titre que vos applications critiques : voilà ce qui distingue un déploiement conforme d'un déploiement qui espère simplement passer inaperçu jusqu'au prochain contrôle. Vous voulez vérifier où en est votre organisation sur ces quatre piliers avant votre prochain audit ? Réservez un échange de 30 minutes avec notre équipe.