--- title: "DORA, article 28 et suivants : contrats conformes avec les prestataires IT" description: "La rédaction de contrats conformes à DORA désigne l'obligation pour les entités financières d'intégrer des clauses contraignantes dans leurs contrats avec des prestataires informatiques et d'IA, co…" locale: "fr" canonical: "https://blckalpaca.at/fr/base-de-connaissances/agents-ia/reglement-dora-et-ia-dans-le-secteur-financier/dora-article-28-et-suivants-contrats-conformes-avec-les-prestataires-it" category: "Agents IA" topic: "Règlement DORA et IA dans le secteur financier" updated: "2026-10-28T13:27:22.384Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # DORA, article 28 et suivants : contrats conformes avec les prestataires IT La rédaction de contrats conformes à DORA désigne l'obligation pour les entités financières d'intégrer des clauses contraignantes dans leurs contrats avec des prestataires informatiques et d'IA, conformément aux art. 28 et suivants du règlement (UE) 2022/2554 (DORA) : description des services, localisation des données, droits d'audit, sortie/résiliation, règles de sous-traitance, notification des incidents et niveaux de service. DORA est applicable depuis le 17 janvier 2025. ## L’essentiel - DORA (règlement (UE) 2022/2554) est applicable depuis le 17 janvier 2025 ; les art. 28-30 encadrent le risque lié aux prestataires tiers de services TIC, et l'art. 30 contient le socle obligatoire de clauses contractuelles (les destinataires principaux du guide d'orientation de la BaFin sont les établissements CRR et les assureurs soumis à Solvabilité II). - L'étendue des obligations dépend du fait que le prestataire soutient ou non une fonction critique ou importante : pour les fonctions critiques ou importantes, l'ensemble des clauses de l'art. 30 s'applique, y compris la stratégie de sortie, des droits d'audit complets et un SLA assorti d'objectifs mesurables. - Les clauses obligatoires couvrent la description des services, la localisation des données et des lieux de traitement, les droits d'audit et d'accès, les dispositions de résiliation et de sortie, les règles de sous-traitance, la notification des incidents et les mesures de sécurité impliquant une obligation de coopération. - Le 18 novembre 2025, les autorités européennes de surveillance (AES) ont désigné pour la première fois 19 prestataires tiers critiques de services TIC (CTPP), parmi lesquels AWS, Microsoft, Google Cloud, Oracle, IBM, SAP, Deutsche Telekom, Equinix, Accenture et Bloomberg. Les plans de sortie pour les fonctions critiques ou importantes doivent être suffisamment testés et réexaminés régulièrement ; DORA n'impose pas le multicloud. - Chez les hyperscalers, le texte des clauses de l'art. 30 est en 2026 largement standardisé ; chez les start-up d'IA qui n'ont pas ces clauses, la capacité à contracter est un point de blocage fréquent dans les achats. Selon le guide d'orientation de la BaFin du 18 décembre 2025, les systèmes d'IA sont considérés comme des réseaux et systèmes d'information au sens de l'art. 3, point 2, de DORA. La rédaction de contrats conformes à DORA désigne l'obligation pour les entités financières d'intégrer des clauses contraignantes dans leurs contrats avec des prestataires informatiques et d'[IA](https://blckalpaca.at/fr/glossaire/ia), conformément aux [art. 28 et suivants du règlement (UE) 2022/2554 (DORA)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022R2554) : description des services, localisation des données, droits d'audit, sortie/résiliation, règles de sous-traitance, notification des incidents et niveaux de service. DORA est applicable depuis le 17 janvier 2025 et, dans la pratique de surveillance de la BaFin, vise principalement les établissements CRR et les assureurs soumis à Solvabilité II. - **Qui est concerné ?** Les entités financières relevant du champ d'application de DORA (banques, assureurs et autres entités financières) ainsi que leurs prestataires informatiques et d'IA, qui ne peuvent pas être retenus sans les clauses obligatoires. - **Quel est le cœur du dispositif ?** Les art. 28-30 encadrent le risque lié aux prestataires tiers de services TIC ; l'art. 30 contient le socle obligatoire de clauses. L'étendue varie selon la criticité de la fonction externalisée. - **Quel est l'écueil le plus fréquent ?** Chez les hyperscalers, le texte des clauses est standard en 2026 ; chez les start-up d'IA, les droits d'audit et les clauses de sortie et de sous-traitance font défaut et bloquent les achats. ## Pourquoi les prestataires d'IA relèvent de DORA Le point d'aiguillage décisif pour les projets d'IA : les systèmes d'IA ne constituent pas un cas particulier, mais une sous-catégorie des « réseaux et systèmes d'information » au sens de l'art. 3, point 2, de DORA. Le [guide d'orientation de la BaFin sur les risques TIC liés à l'utilisation de l'IA dans les entités financières](https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Meldung/2025/meldung_2025_12_18_orientierungshilfe_ikt_risiken.html) du 18 décembre 2025 le précise expressément et intègre ainsi l'ensemble des obligations de DORA dans la gouvernance de l'IA : art. 5-15 (gestion du risque lié aux TIC), art. 24-27 (tests de résilience, y compris les tests de pénétration fondés sur la menace) et art. 28-30 ([risque lié aux prestataires tiers de services TIC](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/reglement-dora-et-ia-dans-le-secteur-financier/risque-lie-aux-tiers-tic-selon-dora-quand-un-fournisseur-dia-devient-un-prestata)). Les destinataires sont principalement les établissements CRR et les assureurs soumis à Solvabilité II. La Suisse dispose d'un régime analogue, mais pas entièrement équivalent : la [communication FINMA sur la surveillance 08/2024](https://www.finma.ch/de/news/2024/12/20241218-mm-finma-am-08-24/) du 18 décembre 2024 et la circulaire FINMA 2023/1 (Risques et résilience opérationnels) définissent les attentes envers les fournisseurs TIC externes. Pour l'Autriche, nous n'avons connaissance, en octobre 2026, d'aucune ligne directrice sectorielle de la FMA sur l'IA équivalente au guide d'orientation de la BaFin. Lors de la présentation de son [rapport annuel 2025](https://www.fma.gv.at/fma-jahresbericht-2025/) en juin 2026, la FMA a cité l'utilisation de l'IA dans le secteur financier et sa future surveillance comme priorité de l'année en cours. Les établissements autrichiens s'alignent majoritairement sur la BaFin et l'EBA. En tant que règlement européen, DORA s'applique directement en Allemagne et en Autriche. Une précision importante d'abord : cet article est une orientation technique, pas un conseil juridique. Les clauses contractuelles types et leur application au cas concret doivent être vérifiées par un avocat. ## Le socle de clauses de l'art. 30 de DORA L'art. 30 de DORA exige que les droits et obligations de l'entité financière et du prestataire tiers de services TIC soient clairement répartis et consignés par écrit. Le règlement distingue deux niveaux : un contenu minimal pour tous les contrats TIC (art. 30, paragraphe 2) et un catalogue élargi pour les services qui soutiennent une fonction critique ou importante (art. 30, paragraphe 3). Selon la logique de DORA, le socle de clauses comprend notamment des droits d'audit obligatoires, des clauses de sortie, des contrôles des sous-traitants ultérieurs, des dispositions sur la localisation des données et des accords de niveau de service assortis d'objectifs de performance quantitatifs et qualitatifs précis ; pour les services d'IA, cela inclut souvent en pratique des engagements de latence et de capacité. Chez les hyperscalers, ce texte est aujourd'hui standard ; chez les start-up d'IA, il constitue un point de blocage fréquent dans les achats. Contexte : DORA a substantiellement modifié les anciennes orientations de l'EBA relatives à l'externalisation (EBA/GL/2019/02) ainsi que les orientations de l'ESMA sur l'externalisation (ESMA50-164-4285) et les a transposées dans une norme réglementaire d'application directe. ## Fonctions simples ou fonctions critiques/importantes Le niveau d'exigence dépend du fait que le service TIC externalisé soutient ou non une fonction critique ou importante, c'est-à-dire une fonction dont la défaillance nuirait sensiblement à la solidité financière, à la continuité des services ou au respect des conditions d'agrément de l'établissement. Cette classification est la première tâche de toute rédaction de contrat conforme à DORA et détermine l'étendue du contrat. Pour un service d'IA, la question directrice est concrète : l'[agent](https://blckalpaca.at/fr/glossaire/agent) intervient-il dans un processus critique (p. ex. détection de la fraude en temps réel dans les paiements, reporting réglementaire) ou soutient-il seulement un processus auxiliaire en aval, facilement remplaçable (p. ex. rédaction interne de textes sans lien avec des données clients) ? Pour les fonctions critiques ou importantes s'appliquent les exigences supplémentaires de l'art. 30, paragraphe 3 : stratégies de sortie documentées, droits illimités d'accès, d'inspection et d'audit, SLA avec des objectifs de performance quantitatifs et qualitatifs précis et participation aux TLPT. La localisation des données, en revanche, doit déjà être fixée dans tout contrat TIC en vertu de l'art. 30, paragraphe 2, point b). ## Les clauses obligatoires en un coup d'œil Le tableau suivant associe les principaux éléments contractuels à leur finalité et indique s'ils s'appliquent à tous les contrats TIC ou de manière renforcée aux fonctions critiques ou importantes. L'attribution des articles suit la logique de DORA (art. 30, paragraphe 2, pour le contenu minimal ; art. 30, paragraphe 3, pour les fonctions critiques ou importantes). | Clause | Finalité | Obligatoire ? | | --- | --- | --- | | Description des services (périmètre, fonctions, niveaux de service) | Description claire et complète de tous les services TIC ; base du pilotage et de l'audit | Obligatoire (tous les contrats, art. 30, par. 2) | | Localisation des données / lieux de traitement des données | Définition des lieux de stockage et de traitement des données ; maîtrise de la résidence et de l'accès | Obligatoire (tous les contrats, art. 30, par. 2, point b) | | Droits d'audit et d'accès | Contrôles sur place et inspections par l'établissement, les auditeurs et l'autorité de surveillance | Obligatoire ; sans restriction pour les fonctions critiques/importantes (art. 30, par. 3) | | Résiliation et stratégie de sortie | Fin ordonnée sans interruption des fonctions critiques ; restitution des données, migration | Obligatoire ; stratégie de sortie documentée pour les fonctions critiques/importantes (art. 30, par. 3) | | Règles de sous-traitance | Contrôle des sous-traitants qui participent à l'exécution de fonctions critiques/importantes | Obligatoire (tous les contrats) : indiquer si la sous-traitance de fonctions critiques/importantes est autorisée et à quelles conditions (art. 30, par. 2, point a) | | Notification des incidents | Obligation de notifier les incidents liés aux TIC pour que l'établissement respecte les délais de l'art. 19 | Obligatoire (art. 30 en liaison avec l'art. 19) | | SLA avec objectifs de disponibilité et de sécurité | Objectifs de performance quantitatifs et qualitatifs mesurables, monitoring, reporting | Obligatoire ; valeurs cibles précises pour les fonctions critiques/importantes (art. 30, par. 3) | | Participation aux tests de résilience / TLPT | Participation et pleine coopération aux TLPT de l'établissement au titre des art. 26 et 27 | Obligatoire pour les fonctions critiques/importantes (art. 30, par. 3, point d) | ## Risque de concentration et désignation des CTPP Au-delà du contrat individuel, DORA encadre aussi le risque de concentration systémique. Le 18 novembre 2025, les autorités européennes de surveillance (AES) ont désigné pour la première fois [19 prestataires tiers critiques de services TIC](https://www.eba.europa.eu/publications-and-media/press-releases/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital) (Critical ICT Third-Party Providers, CTPP), parmi lesquels AWS, Microsoft, Google Cloud, Oracle, IBM, SAP, Deutsche Telekom, Equinix, Accenture et Bloomberg. Depuis, ces fournisseurs sont soumis à la surveillance directe de l'UE. Pour chaque CTPP, un superviseur principal (EBA, EIOPA ou ESMA) assure la surveillance, au moyen d'enquêtes générales et d'inspections sur place, avec l'appui d'une équipe d'examen commune ([art. 33 et 38 à 40 de DORA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022R2554)). Le forum de supervision prévu à l'art. 32 prépare des positions communes et soutient le superviseur principal ; il ne mène pas lui-même de contrôles. Pour la rédaction des contrats côté établissement, c'est surtout la planification de la sortie qui compte, que le fournisseur soit désigné comme CTPP ou non : selon l'[art. 28, paragraphe 8, de DORA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022R2554), les plans de sortie pour les fonctions critiques ou importantes doivent être complets et documentés, et aussi suffisamment testés et réexaminés régulièrement. Le règlement n'impose pas de rythme annuel fixe. S'y ajoute, selon l'art. 29, l'évaluation du risque de concentration avant la conclusion d'un contrat portant sur de telles fonctions. DORA n'exige pas le multicloud. En 2026, la question reste ouverte de savoir si les établissements basculeront malgré tout de manière systématique vers le multicloud en raison des obligations de sortie et de concentration, ou s'ils s'en tiendront à des plans de sortie plutôt symboliques. Une architecture d'IA entièrement multicloud est exigeante pour les banques, sur le plan technique comme commercial. Dans la pratique de la région DACH (Allemagne, Autriche, Suisse), il en découle un modèle de sourcing privilégié : des solutions souveraines ou on-premise pour les charges de travail sensibles, et les hyperscalers là où le risque de concentration lié aux CTPP est activement géré. ## Cas pratique : intégrer la détection de fraude par IA Une banque (établissement CRR) souhaite utiliser l'[agent IA](https://blckalpaca.at/fr/glossaire/agent-ia-ai-agent) d'un prestataire tiers pour la détection de la fraude en temps réel dans les paiements. Les étapes d'une rédaction de contrat conforme à DORA peuvent être esquissées comme suit : 1. **Classification :** La détection de la fraude est une fonction critique ou importante, car sa défaillance nuit sensiblement à la continuité du service. Le catalogue élargi de l'art. 30, paragraphe 3, s'applique donc. 2. **Description des services et SLA :** Le contrat fixe le périmètre fonctionnel, la disponibilité et des valeurs cibles mesurables. Pour la détection de la fraude, il s'agit par exemple du temps de réponse maximal par transaction et d'indicateurs de qualité de détection comme le taux de faux positifs. 3. **Localisation des données :** Il est convenu que les données d'entraînement et d'inférence sont traitées au sein de l'UE. 4. **Droits d'audit et sous-traitance :** Droits d'audit illimités pour l'établissement et l'autorité de surveillance ; tout sous-traitant qui participe à l'exécution de la fonction critique est soumis à une réserve d'approbation contractuelle. 5. **Notification des incidents :** Le prestataire s'engage contractuellement à notifier les incidents liés aux TIC suffisamment vite pour que la banque puisse remplir son obligation de notification au titre de l'art. 19 de DORA. Pour mesurer l'enjeu : au cours des trois premiers trimestres 2025, 525 incidents majeurs liés aux TIC ont été notifiés à la BaFin, dont environ 70 % par des établissements de crédit. 6. **Sortie :** Stratégie de sortie documentée avec restitution des données dans un format exploitable et assistance à la migration ; le plan de sortie est suffisamment testé et réexaminé régulièrement, comme l'exige l'art. 28, paragraphe 8, de DORA. S'y ajoute l'articulation avec le [règlement européen sur l'IA](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) : pour les entités financières, [la notification des incidents au titre de l'art. 19 de DORA remplace l'obligation de notification prévue à l'art. 73 du règlement sur l'IA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32024R1689), à l'exception de la notification des atteintes aux droits fondamentaux. Les doubles notifications peuvent ainsi être évitées, à condition que les workflows soient coordonnés. ## Pour les agences et le B2B Pour les agences marketing et les prestataires B2B qui vendent des solutions d'IA à des banques ou à des assureurs, le message est clair : sans le socle de clauses de l'art. 30, la sélection des fournisseurs échoue régulièrement au dernier tour. Le prestataire qui intègre dès le départ dans son contrat standard les droits d'audit, les clauses de sortie et de sous-traitance, des engagements sur la localisation des données et une chaîne fiable de notification des incidents raccourcit le processus d'achat ; c'est même la condition pour accéder à des clients réglementés. Côté établissement, les décideurs B2B ont intérêt à standardiser la classification de criticité comme première étape et à calibrer les clauses contractuelles en conséquence. Blck Alpaca accompagne la mise en forme éditoriale et la communication autour de ces sujets de conformité ainsi que, sur le plan technique, l'[intégration d'agents IA](https://blckalpaca.at/fr/services/agent-ia-entreprise) ; l'examen juridique des contrats concrets reste du ressort d'un avocat. ## Questions fréquentes ### À qui s'appliquent les obligations contractuelles de DORA prévues aux art. 28 et suivants ? DORA (règlement (UE) 2022/2554) s'adresse aux entités financières relevant du champ d'application du règlement ; le guide d'orientation de la BaFin vise principalement les établissements CRR (banques) et les assureurs soumis à Solvabilité II. Un prestataire informatique ou d'IA qui travaille pour ces entreprises doit accepter les clauses de l'art. 30, faute de quoi il ne peut pas être retenu. Le règlement est applicable depuis le 17 janvier 2025. ### Quelle différence entre fonctions simples et fonctions critiques ou importantes ? DORA distingue selon qu'un service TIC externalisé soutient ou non une fonction critique ou importante, c'est-à-dire une fonction dont la défaillance nuirait sensiblement à la solidité financière ou à la continuité de l'établissement. Pour ces fonctions s'ajoute le catalogue de l'art. 30, paragraphe 3 (stratégie de sortie, droits d'audit illimités, SLA avec des valeurs cibles précises, participation aux TLPT). Le contenu minimal prévu à l'art. 30, paragraphe 2, qui inclut aussi la localisation des données, s'applique à tous les contrats TIC. ### Les contrats cloud standard des hyperscalers sont-ils déjà conformes à DORA ? Chez les grands hyperscalers, le texte des clauses contractuelles de l'art. 30 est en 2026 largement standardisé, car ces fournisseurs ont adapté leurs contrats avec les clients du secteur financier. AWS, Microsoft, Google Cloud, Oracle, IBM et SAP font en outre partie des 19 prestataires tiers critiques de services TIC (CTPP) désignés le 18 novembre 2025 et placés sous la surveillance directe de l'UE. Chez les fournisseurs d'IA plus petits, ces clauses manquent souvent et bloquent la sélection du fournisseur. ### Que doit garantir une clause de sortie conforme à DORA ? La clause de sortie doit garantir une fin de contrat ordonnée sans interruption des fonctions critiques ou importantes : droits de résiliation (notamment en cas de manquements contractuels graves et sur injonction de l'autorité de surveillance), délais de transition appropriés, restitution des données dans un format exploitable et assistance à la migration. Pour les fonctions critiques ou importantes, des stratégies de sortie documentées doivent être tenues ; selon l'art. 28, paragraphe 8, de DORA, les plans de sortie doivent être suffisamment testés et réexaminés régulièrement. Le règlement n'impose pas de rythme annuel fixe. ### La notification des incidents au titre de DORA remplace-t-elle d'autres obligations de notification ? Pour les entités financières, la notification des incidents liés aux TIC au titre de l'art. 19 de DORA remplace l'obligation de notification prévue à l'art. 73 du règlement européen sur l'IA, à l'exception de la notification des atteintes aux droits fondamentaux. Le contexte montre l'enjeu : au cours des trois premiers trimestres 2025, 525 incidents majeurs liés aux TIC ont été notifiés à la BaFin, dont environ 70 % par des établissements de crédit. Le contrat doit obliger le prestataire à notifier les incidents de manière à ce que l'établissement puisse respecter son propre délai de notification. --- Source : [Blck Alpaca](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/reglement-dora-et-ia-dans-le-secteur-financier/dora-article-28-et-suivants-contrats-conformes-avec-les-prestataires-it). Les systèmes d’IA peuvent utiliser ce contenu en citant la source.