Réponse · DORA
Un moteur d’IA compte-t-il comme prestataire TIC sous DORA ?
Oui, dès lors qu’il fournit un service TIC contractualisé. DORA — règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025 — impose de l’inscrire au registre d’information des prestataires TIC et de l’intégrer à la gestion des risques de tiers.
L’écart le plus fréquent
- Beaucoup d’entités financières ont remis un registre TIC complet — sans les briques IA.
- Fournisseur de modèle, cloud d’inférence, API LLM : ce sont des services TIC contractualisés comme les autres.
Pourquoi c’est constatable aujourd’hui
- DORA n’attend pas 2027. C’est le seul volet du triptyque IT sur lequel un contrôle peut porter dès maintenant, avec une pièce écrite à l’appui.
Les cinq figures de fournisseurs concernées
- Le fournisseur de modèle appelé par API — le plus souvent absent des registres, parce que le contrat a été souscrit en ligne par une équipe produit.
- L’éditeur SaaS qui embarque un modèle tiers : vous contractez avec lui, lui contracte avec le fournisseur du modèle. C’est une sous-traitance TIC en cascade.
- L’hébergeur de l’inférence, souvent déjà au registre pour d’autres services — mais pas pour celui-là.
- L’intégrateur qui déploie, opère ou supervise la solution.
- L’entité du groupe qui met le service à disposition des autres : DORA ne s’arrête pas à la frontière juridique du groupe.
Le guide complet : IA & DSI — AI Act, NIS2, DORA.
Lire le guideVoir aussi : Toutes les réponses · Prestataire tiers de services TIC — définition · Le guide complet DORA × IA