Services financiers
La gouvernance de l’IA pour les banques et établissements financiers.
Sachez quels outils d’IA touchent aux données clients et financières, encadrez-les, et gardez les preuves que vos superviseurs et auditeurs demanderont.
Les règles qui s’appliquent
DORA couvre déjà les services d’IA que vous achetez. L’AI Act ajoute le scoring de crédit aux usages à haut risque.
DORA s’applique depuis le 17 janvier 2025 aux banques, assureurs, entreprises d’investissement, établissements de paiement et autres entités financières. Il leur demande de gérer le risque lié aux prestataires tiers de services TIC et de tenir un registre d’informations sur leurs contrats avec ces prestataires. Les services d’IA achetés à des fournisseurs, des API de modèles aux logiciels d’IA, sont des services TIC à ce titre.
Selon l’AI Act, les systèmes d’IA utilisés pour évaluer la solvabilité des personnes ou établir leur score de crédit sont à haut risque (annexe III, point 5 b)), hors détection de la fraude. Leurs déployeurs doivent mener une analyse d’impact sur les droits fondamentaux avant la première utilisation (article 27). Les obligations à haut risque s’appliquent à ces systèmes à partir du 2 décembre 2027.
Rien de tout cela n’est possible sans savoir quels systèmes d’IA sont utilisés, par qui, et avec quelles données.
Scénarios courants
Trois situations que vous reconnaîtrez, et comment Qastel y répond.
Scénario 1
Des données clients dans un compte d’IA personnel
Un conseiller rédige un courrier client avec un compte d’IA grand public. Qastel repère l’usage d’un compte personnel, et ses détecteurs trouvent IBAN, numéros de carte et données clients dans le prompt. Une politique appliquée par l’extension de navigateur ou l’agent poste de travail peut les masquer ou bloquer le message avant son envoi.
Scénario 2
Des services d’IA absents de votre registre des prestataires
Les équipes adoptent des outils d’IA plus vite que les achats ne les enregistrent. Qastel tient un inventaire unique de chaque système d’IA utilisé, autorisé ou non, avec le fournisseur, le statut du DPA et la localisation des données : un point de départ pour votre registre d’informations DORA.
Scénario 3
Un système d’IA dans une décision de crédit
Qastel classe chaque système d’IA selon les niveaux de risque de l’AI Act et explique pourquoi, pour que ceux utilisés dans des décisions à haut risque comme le scoring de crédit soient revus tôt. Le rapport de conformité rassemble évaluations, violations et recommandations pour votre équipe conformité.
Les questions qu’on nous pose.
Qastel nous rend-il conformes à DORA ?
Aucun outil ne le fait seul. Qastel vous donne l’inventaire des services d’IA utilisés, avec le fournisseur, le statut du DPA et la localisation des données, ainsi que les politiques et preuves associées. Votre programme DORA décide de la suite.
Qastel conserve-t-il ce que saisissent nos collaborateurs ?
L’analyse des prompts est désactivée par défaut et seul un administrateur peut l’activer. Une fois activée, le texte des prompts est classé en mémoire et jamais stocké : Qastel conserve la catégorie détectée, pas le texte.
Une politique bloquera-t-elle les équipes dès le premier jour ?
Non. Une nouvelle politique peut d’abord tourner en observation : elle enregistre ce qu’elle aurait fait sans rien changer pour personne. Seule une politique appliquée bloque, masque ou avertit.
Cette page est une information générale, pas un conseil juridique.
Voyez-le à l'œuvre.
Découvrez en 30 minutes comment Qastel repère, évalue et contrôle l'IA utilisée dans une entreprise.