Agence IA banque, assurance, finance — Conformité DORA, DSP3, AI Act
Nehos accompagne banques mutualistes, assureurs, mutuelles, fintechs et courtiers sur leurs projets IA et digitaux régulés. Conformité ACPR, AMF, DORA, FIDA, AI Act. Hébergement souverain en France possible chez un hébergeur qualifié SecNumCloud.
Nos clients types
#Les défis spécifiques du secteur financier en 2026
#Défi 1 : Conformité DORA — Gestion des risques IT et tiers critiques
DORA est entré en application le 17 janvier 2025. Cinq piliers d'obligations : gouvernance et organisation des risques IT, gestion des incidents IT, tests de résilience opérationnelle (TLPT — Threat Led Penetration Tests pour les acteurs significatifs), gestion des risques tiers (registre des sous-traitants critiques, audits, clauses contractuelles obligatoires), partage d'informations sur les cybermenaces.
Pour une banque ou un assureur, l'enjeu est double : (1) atteindre la conformité documentaire complète, (2) prouver une résilience opérationnelle réelle (pas une conformité de façade). Nous accompagnons sur les deux volets via service Conformité DORA Nehos. Méthode : audit de l'existant, plan de mise en conformité adapté au périmètre, accompagnement TLPT si applicable.
#Défi 2 : DSP3 + FIDA — Open banking étendu à l'open finance
La Directive sur les services de paiement de 3e génération (DSP3) et son règlement compagnon FIDA (Financial Data Access) — adoption finale prévue Q3 2026 — étendent considérablement les périmètres ouverts par DSP2. Nouveautés clés : (1) extension du périmètre open banking au-delà des comptes courants vers épargne, crédit, assurance, retraite (open finance complet) ; (2) renforcement de l'authentification forte (SCA) avec nouveaux cas d'exemption ; (3) renforcement responsabilités prestataires AISP/PISP ; (4) sanctions plus lourdes en cas de manquement.
Pour une banque traditionnelle, l'enjeu est de basculer rapidement vers une infrastructure API conforme DSP3 + FIDA tout en valorisant ses propres usages. Pour une fintech AISP/PISP, l'enjeu est de saisir les nouvelles opportunités open finance dès l'entrée en vigueur. Voir notre service Open Banking DSP3 Nehos pour la méthode complète, et l'article DSP3 vs DSP2 : ce qui change.
#Défi 3 : AI Act — Scoring crédit et détection fraude classés haut risque
L'AI Act (Règlement UE 2024/1689) est entré en application le 1er août 2026. Pour le secteur financier, deux cas d'usage IA sont classés haut risque (Annexe III) : le scoring crédit / scoring solvabilité, et l'évaluation des risques d'assurance vie. Conséquence : obligations renforcées de gouvernance, documentation technique, gestion qualité données, supervision humaine, transparence, traçabilité, audit.
Nehos accompagne le déploiement IA conforme dans ce contexte régulé : classification du système IA, documentation conforme Annexe IV, gouvernance interne (CAIO, registre, DPIA, supervision humaine), accompagnement validation ACPR si applicable. Voir service Agents IA Nehos et service Conformité.
#Défi 4 : IA générative en production régulée — RAG sécurisé et traçabilité
Les banques et assureurs veulent déployer de l'IA générative pour leurs collaborateurs (assistance conseillers, génération synthèses, automation documentaire) et leurs clients (chatbots, conseil épargne) — mais les contraintes ACPR/AMF/CNIL et la nature confidentielle des données rendent les approches API publiques (ChatGPT, Claude API directe) souvent inacceptables.
La réponse proposée : déploiement d'IA générative sur une stack souveraine (Mistral ou Llama, hébergement chez un hébergeur qualifié SecNumCloud, RAG sur Qdrant auto-hébergé, traçabilité complète, supervision humaine). Méthode pour les secteurs régulés, en quatre étapes.
Étape 1 : audit réglementaire. Diagnostic sur DORA, FIDA, AI Act, NIS2 et RGPD selon ce qui s'applique à votre structure. Livrable : recommandations priorisées par criticité réglementaire, et devis pour la mise en œuvre. L'audit approfondi démarre à 2 125 € HT.
Étape 2 : mise en conformité priorisée. Mix de consultants Nehos et d'équipes internes du client, avec validation du contrôle interne et de la conformité à chaque jalon. Durée et coût sur devis.
Étape 3 : déploiement de l'IA générative en production. Pilote dans un cadre réglementaire strict (données fictives ou rendues anonymes), puis MVP avec validation conformité interne (et ACPR si applicable), puis mise en production progressive par cohortes d'utilisateurs. Un MVP d'agent IA démarre à 11 000 € HT.
Étape 4 : exploitation et amélioration continue. Supervision humaine systématique, audit annuel de conformité (DORA, AI Act), mise à jour des modèles selon l'évolution réglementaire, avec un comité de pilotage régulier.
Questions & réponses
Questions fréquentes pour le secteur Banque, Assurance, Finance
Cela dépend de la nature de la prestation, et nous préparons le dossier en conséquence : clauses contractuelles DORA, plan de continuité et de reprise d'activité, capacité à fournir les audits et tests demandés par le client. Nous pouvons être inclus dans votre registre de sous-traitance critique si la prestation l'impose. Le niveau d'exigence est à cadrer avec votre direction des risques dès le début de la mission.
Trois garanties techniques. (1) Hébergement chez un hébergeur qualifié SecNumCloud (qualification ANSSI) ou IBM Cloud Pak France en alternative, sans hébergement US ou hors UE pour les workloads sensibles. (2) LLM auto-hébergés en France (Mistral, Llama, Phi-3), sans API ChatGPT ou Claude pour les données clientes confidentielles. (3) Stockage chiffré au repos et en transit, stockage non modifiable pour les logs d'audit IA, journalisation complète accessible aux contrôles internes. Voir notre Méthode Stack Souveraine Nehos™.
Nous intervenons sur l'open banking : intégration d'agrégateurs (Bridge, Tink, Powens, Budget Insight), mise en œuvre de l'authentification forte (SCA), déploiement d'API compatibles Berlin Group et STET, préparation aux audits. Nous suivons les évolutions DSP3 et FIDA à partir des textes de la Commission européenne. Voir service Open Banking DSP3 Nehos pour le détail méthodologique.
La classification AI Act se fait sur 4 niveaux : risque inacceptable (interdit), haut risque (Annexe III, obligations renforcées), risque limité (transparence), risque minimal (libre). Pour le secteur financier, 2 cas d'usage sont automatiquement haut risque : scoring crédit / solvabilité, évaluation risques assurance vie. Méthode : audit du système IA, classification documentée, plan de mise en conformité selon le niveau. Voir service Conformité Nehos et notre guide AI Act classification.
Oui, à condition de l'encadrer. Méthode pour l'IA générative régulée. (1) Stack souveraine possible en France (Mistral auto-hébergé chez un hébergeur qualifié SecNumCloud). (2) RAG sécurisé sur Qdrant auto-hébergé, sans fuite de données clientes vers des LLM externes. (3) Supervision humaine systématique pour les usages sensibles. (4) Journalisation complète et immuable pour l'audit. (5) Cadre AI Act intégré dès la conception. On mesure l'effet pendant un pilote, avant de décider d'aller plus loin.
Nous n'avons pas d'interlocuteur direct auprès des autorités : nous accompagnons les institutions clientes dans leurs échanges avec les régulateurs. Notre rôle est de préparer les dossiers techniques et de conformité qui seront présentés à l'ACPR (agréments AISP/PISP, contrôles bancaires), à l'AMF (robo-advisors, MIF II), à la CNIL (traitements automatisés) ou à l'ANSSI (qualifications comme SecNumCloud).
Cela dépend de la taille de l'établissement et du périmètre (tiers critiques, tests TLPT, nombre de systèmes). Nous procédons en deux temps. D'abord un audit approfondi, à partir de 2 125 € HT, qui établit l'écart réel et chiffre la suite. Ensuite, un programme DORA à partir de 15 000 € HT pour un périmètre ciblé ; un établissement plus large se chiffre sur devis, en 48 h après un premier échange.
Oui — et c'est même recommandé pour mutualiser les efforts. Nous structurons une roadmap conformité unifiée intégrant DORA (résilience opérationnelle), AI Act (gouvernance IA), FIDA (open finance), NIS2 (cybersécurité), RGPD (protection données). Avantage : un seul comité de pilotage, une documentation conjointe, des contrôles harmonisés. Voir Méthode AI Act Compliance Nehos™.
Oui. Profil typique : courtier grossiste assurance ou crédit, IOBSP (Intermédiaire en Opérations de Banque et Services de Paiement), réseau de courtiers IARD. Enjeux principaux : contenu SEO et GEO pour la visibilité (notamment pour les requêtes 'meilleur courtier X' captées par ChatGPT ou Perplexity), conformité MIF II, DDA et IOBSP, IA d'aide au conseil pour les commerciaux.
Phases : (1) cadrage gratuit avec Foued (CEO) et un expert technique ; (2) audit court (audit IA express 990 € HT, ou audit approfondi 2 125 € HT) ; (3) signature d'un accord-cadre, selon la procédure interne du client ; (4) déploiement par sprints de 2 à 4 semaines avec démos régulières ; (5) validation par le contrôle interne et la conformité du client à chaque jalon ; (6) validation finale ACPR, AMF ou CNIL si applicable ; (7) exploitation continue avec monitoring et audit annuel.
Cela dépend du dispositif, de la nature de la prestation et de l'habilitation du prestataire. Nous ne pouvons pas garantir qu'une prestation Nehos soit financée. Vérifiez l'éligibilité directement auprès de Bpifrance ou de votre OPCO avant de compter sur une aide. Le crédit d'impôt innovation peut en revanche concerner des développements R&D, à valider avec votre expert-comptable.
Une équipe réduite. Foued Cherni (CEO) pilote le vertical, avec Chokri Siala (CTO) sur l'architecture technique des environnements régulés. Des développeurs spécialisés interviennent selon la mission, et nous nous associons à des experts conformité lorsque le périmètre l'exige.
Parlons de votre projet
Un devis chiffré, sans engagement
Décrivez votre besoin en deux minutes : un consultant senior vous répond avec une première estimation et les prochaines étapes.
- Réponse sous 24 h ouvrées
- Sans engagement
- Un consultant senior vous répond