DORA et intelligence artificielle : comment intégrer les nouveaux risques liés à l’IA dans votre cybersécurité ?
L'intelligence artificielle s'est installée extrêmement rapidement dans les entreprises. ChatGPT, Microsoft Copilot, Gemini, Claude et de nombreux outils métiers intégrant désormais des fonctionnalités d'IA sont utilisés quotidiennement par les collaborateurs.
Dans le même temps, l'IA transforme également la menace cyber : recherche accélérée de vulnérabilités, automatisation de certaines attaques, phishing plus crédible, analyse de données à grande échelle ou assistance à l'exploitation de failles.
Pour les entreprises du secteur financier soumises au règlement DORA (Digital Operational Resilience Act), cette évolution pose une question importante :
comment intégrer les nouveaux risques liés à l'intelligence artificielle dans un dispositif de résilience opérationnelle numérique conçu pour évoluer avec la menace ?
En 2026, cette question n'est plus théorique. L'Autorité des marchés financiers (AMF) a placé l'évolution des risques liés à l'IA parmi ses préoccupations en matière de résilience cyber et appelle les acteurs financiers à adapter leurs dispositifs.
DORA et IA : pas une nouvelle réglementation, mais un nouveau risque à intégrer
DORA est applicable depuis le 17 janvier 2025.
Le règlement impose aux entités financières concernées un cadre structuré autour de plusieurs piliers : gestion des risques liés aux technologies de l'information et de la communication (TIC), gestion et notification des incidents, tests de résilience opérationnelle numérique, gestion du risque lié aux prestataires tiers TIC et, pour certaines entités, tests de pénétration fondés sur la menace (TLPT).
L'intelligence artificielle ne constitue donc pas un nouveau « chapitre DORA » apparu en 2026.
En revanche, l'évolution extrêmement rapide des capacités de l'IA modifie certains des risques que les dispositifs DORA doivent précisément permettre d'identifier, d'évaluer, de tester et de maîtriser.
C'est une distinction importante.
Une entreprise ne devient pas conforme à DORA en rédigeant simplement une « politique IA ». Elle doit être capable de comprendre comment l'utilisation de l'IA — par ses collaborateurs, ses systèmes, ses prestataires mais également par des attaquants — modifie son exposition aux risques numériques.
Pourquoi l'IA modifie-t-elle la menace cyber ?
En juin 2026, l'AMF a publiquement alerté les acteurs financiers sur l'évolution rapide des menaces cyber liées à l'intelligence artificielle. Le régulateur souligne notamment que les progrès de certains modèles peuvent permettre d'accélérer l'identification des vulnérabilités, faciliter leur exploitation et contribuer à une industrialisation des campagnes malveillantes.
En juillet 2026, les autorités européennes de supervision — EBA, EIOPA et ESMA — ont également soutenu l'alerte de l'European Systemic Risk Board concernant les risques cyber systémiques pouvant être associés aux modèles d'IA les plus avancés.
Le problème n'est donc pas uniquement l'apparition de nouvelles catégories d'attaques.
C'est également leur vitesse potentielle d'exécution.
Si une vulnérabilité nouvellement découverte peut être identifiée, analysée et exploitée plus rapidement, le délai dont disposent les entreprises pour la détecter et la corriger se réduit.
Cela remet au premier plan plusieurs fondamentaux de la cybersécurité :
connaître sa surface d'exposition ;
détecter rapidement les vulnérabilités ;
les qualifier et les prioriser ;
accélérer le déploiement des correctifs ;
détecter les comportements anormaux ;
tester régulièrement les dispositifs de sécurité ;
disposer de capacités de réponse et de restauration réellement opérationnelles.
Ce sont précisément des sujets déjà couverts par DORA.
L'AMF commence à poser des questions très concrètes
Cette évolution est déjà visible dans les échanges entre le régulateur et les acteurs financiers.
En 2026, plusieurs clients et prospects de Safercy soumis à la supervision de l'AMF ont notamment été interrogés sur la manière dont ils intègrent les nouveaux risques liés à l'intelligence artificielle dans leur dispositif de cybersécurité.
Les sujets abordés sont particulièrement concrets :
une gouvernance du risque lié à l'IA existe-t-elle ?
l'entreprise connaît-elle son degré de dépendance aux outils utilisant l'IA ?
les risques de sécurité liés à l'IA ont-ils été récemment évalués ?
quels audits cyber ont été réalisés ou sont prévus ?
les collaborateurs sont-ils sensibilisés aux risques spécifiques liés à l'IA ?
comment les vulnérabilités sont-elles identifiées, qualifiées et corrigées ?
comment l'entreprise peut-elle absorber une augmentation du volume de vulnérabilités ?
les prestataires TIC disposent-ils eux-mêmes de dispositifs adaptés ?
des discussions ont-elles été engagées avec les fournisseurs sur leurs propres risques liés à l'IA ?
Le message sous-jacent est important : il devient difficile de traiter l'IA comme un sujet périphérique à la cybersécurité.
Elle doit progressivement entrer dans la cartographie des risques, les scénarios de tests, les politiques de sécurité, les dispositifs de continuité et la gestion des tiers.
Shadow AI : savez-vous réellement quelles IA sont utilisées dans votre entreprise ?
Il existe par ailleurs un autre risque, beaucoup plus proche du quotidien des entreprises : le Shadow AI. Le principe ressemble au Shadow IT.
Un collaborateur utilise un service ou une fonctionnalité d'intelligence artificielle sans que cet usage soit nécessairement connu, validé ou encadré par l'organisation.
Il peut s'agir d'un compte personnel sur un assistant d'IA générative, d'une extension installée dans un navigateur, d'une fonctionnalité IA ajoutée à un logiciel SaaS déjà utilisé par l'entreprise ou encore d'un outil métier connecté à une API d'intelligence artificielle.
Le problème n'est pas nécessairement l'utilisation de l'IA elle-même.
Le problème est l'absence de maîtrise de cet usage.
Un collaborateur peut, par exemple, transmettre à un service d'IA :
un document interne ;
du code source ;
des données clients ;
une procédure ;
un contrat ;
un rapport d'incident ;
des données financières ;
ou simplement des informations confidentielles permettant de comprendre le fonctionnement de l'entreprise.
Dès lors, plusieurs questions apparaissent.
Quel fournisseur traite ces informations ? Où sont-elles traitées ? Combien de temps sont-elles conservées ? Peuvent-elles être réutilisées ? Quels comptes disposent d'un accès ? L'entreprise possède-t-elle les journaux nécessaires ? Que se passe-t-il en cas d'incident chez le fournisseur ? L'organisation est-elle devenue dépendante de ce service pour une fonction importante ?
Et surtout :
la direction informatique ou le RSSI sait-il seulement que cet outil est utilisé ?
Pourquoi le Shadow AI devient-il un sujet DORA ?
DORA ne contient pas une obligation appelée « lutte contre le Shadow AI ».
Mais le phénomène peut directement compliquer la maîtrise de plusieurs risques couverts par le règlement.
DORA impose notamment aux entités financières d'identifier et gérer leurs risques TIC et de considérer le risque lié aux prestataires tiers de services TIC comme une composante de ce dispositif.
Une organisation qui ignore qu'un service externe d'IA est utilisé pour traiter certaines informations ou participer à certains processus peut difficilement en évaluer correctement le risque.
Le sujet devient encore plus sensible lorsque des fonctions critiques ou importantes dépendent, directement ou indirectement, d'un prestataire externe.
La première étape n'est donc pas nécessairement d'interdire l'intelligence artificielle.
Elle consiste à retrouver de la visibilité.
1. Cartographier les usages de l'IA
Avant de sécuriser l'IA, il faut savoir où elle est utilisée.
L'entreprise peut commencer par établir un inventaire :
outils d'IA officiellement autorisés ;
fonctionnalités IA intégrées aux solutions SaaS ;
comptes professionnels et personnels ;
extensions navigateur ;
API utilisées par les équipes techniques ;
applications développées en interne intégrant des modèles externes ;
données susceptibles d'être transmises ;
processus métier dépendant de ces outils.
Cette cartographie permet ensuite de distinguer les usages anodins des usages présentant un risque réel.
2. Définir une gouvernance claire
Qui peut utiliser quels outils ?
Avec quelles données ?
Dans quelles conditions ?
Qui valide un nouveau service ?
Quels usages sont interdits ?
Quels contrôles doivent être réalisés avant de connecter un nouveau modèle ou fournisseur ?
Une politique d'utilisation de l'IA doit répondre simplement à ces questions.
L'objectif n'est pas de produire cinquante pages de règles que personne ne lira, mais de donner aux collaborateurs et aux équipes IT un cadre compréhensible.
3. Intégrer l'IA dans la cartographie des risques cyber
L'utilisation de l'intelligence artificielle ne doit plus être analysée séparément de la cybersécurité.
Les scénarios de risque doivent notamment prendre en compte :
la fuite de données vers un service IA ;
la compromission d'un compte donnant accès à un assistant connecté aux données de l'entreprise ;
la dépendance envers un fournisseur ;
l'indisponibilité d'un service IA utilisé dans un processus métier ;
l'utilisation malveillante d'IA contre l'entreprise ;
l'accélération de l'exploitation de vulnérabilités ;
les nouvelles possibilités de social engineering.
Ces scénarios peuvent ensuite être intégrés aux exercices de sécurité et de continuité.
4. Réduire le délai entre détection et correction des vulnérabilités
C'est probablement l'un des sujets les plus importants.
Si les capacités d'identification et d'exploitation automatisées des vulnérabilités progressent, une organisation ne peut plus se contenter d'un scan ponctuel suivi plusieurs mois plus tard d'une campagne de correction.
La gestion des vulnérabilités doit devenir un processus continu :
identifier → qualifier → prioriser → corriger → vérifier.
La criticité technique d'une vulnérabilité ne suffit d'ailleurs pas toujours.
Il faut également tenir compte de l'exposition du système, de son importance pour l'activité, de l'existence d'un exploit, des données accessibles et du contexte de menace.
L'enjeu n'est donc pas simplement de détecter davantage de vulnérabilités.
Il est de corriger les bonnes vulnérabilités suffisamment rapidement.
5. Tester réellement la sécurité
DORA place les tests de résilience au cœur du dispositif.
L'évolution de la menace liée à l'IA renforce l'intérêt de combiner plusieurs approches :
scans de vulnérabilités ;
audits de configuration ;
pentests externes et internes ;
tests applicatifs ;
exercices de réponse à incident ;
tests de restauration ;
scénarios de continuité ;
et, pour les entités concernées, Threat-Led Penetration Testing.
Le but n'est pas seulement de vérifier qu'une procédure existe.
Il est de vérifier qu'elle fonctionne lorsque l'organisation en a réellement besoin.
6. Revoir le risque lié aux prestataires
L'IA augmente également le nombre de dépendances technologiques.
Un éditeur SaaS peut désormais intégrer un modèle d'IA fourni par une autre entreprise, elle-même dépendante d'une infrastructure cloud.
La chaîne de dépendance devient rapidement complexe.
DORA impose déjà aux entités financières de gérer le risque lié aux prestataires tiers TIC comme une composante de leur risque TIC et de maintenir un registre des accords contractuels concernés.
L'arrivée de l'IA rend donc certaines questions particulièrement pertinentes :
quels prestataires utilisent de l'IA ?
pour quelles fonctions ?
quelles données sont concernées ?
existe-t-il des sous-traitants supplémentaires ?
quelles mesures de cybersécurité sont appliquées ?
comment les vulnérabilités sont-elles traitées ?
comment un incident est-il communiqué ?
quelles solutions existent en cas d'indisponibilité ou de rupture du service ?
L'entreprise reste responsable de la maîtrise de son risque même lorsqu'une partie de son système d'information est externalisée.
7. Former les collaborateurs sans leur dire simplement « n'utilisez pas l'IA »
Interdire totalement les outils d'intelligence artificielle peut sembler rassurant.
Cela ne signifie pas nécessairement qu'ils ne seront pas utilisés.
Une stratégie plus robuste consiste à expliquer clairement :
quels outils sont autorisés ;
quelles informations peuvent être transmises ;
quelles données ne doivent jamais l'être ;
comment vérifier une réponse produite par une IA ;
comment reconnaître de nouveaux scénarios de phishing ou de fraude ;
comment signaler un usage ou un incident.
La sensibilisation devient donc une composante importante de la maîtrise du Shadow AI.
De la conformité DORA à la résilience réelle
L'un des enseignements de DORA est précisément que la cybersécurité ne peut pas se limiter à une succession de documents de conformité.
En septembre 2026, l'AMF a publié son premier bilan des incidents majeurs déclarés en 2025 au titre de DORA.
Sur les 33 incidents majeurs signalés par les entités financières françaises concernées, plus de 80 % provenaient de prestataires. L'AMF souligne également que la majorité des incidents avaient été déclarés par des sociétés de gestion de portefeuille.
Ce constat illustre parfaitement la logique de DORA : la résilience dépend autant de la sécurité interne que de la connaissance de ses actifs, de ses dépendances, de ses fournisseurs et de sa capacité à continuer ou restaurer son activité lorsqu'un incident survient.
L'intelligence artificielle ajoute désormais une nouvelle dimension à cette équation.
8 questions à se poser dès maintenant
Pour une entreprise soumise à DORA, un premier état des lieux peut commencer par huit questions simples :
Savons-nous précisément quels outils et fonctionnalités d'IA sont utilisés dans notre organisation ?
Savons-nous quelles données leur sont transmises ?
Avons-nous évalué les risques cyber associés à ces usages ?
Nos collaborateurs disposent-ils de règles claires concernant l'utilisation de l'IA ?
Sommes-nous capables de détecter et prioriser rapidement nos vulnérabilités ?
Nos délais de correction sont-ils adaptés à une menace susceptible de s'accélérer ?
Avons-nous interrogé nos principaux prestataires TIC sur leur utilisation et leur sécurisation de l'IA ?
Nos tests de sécurité et scénarios de continuité prennent-ils en compte cette évolution de la menace ?
Si certaines réponses sont inconnues, cela ne signifie pas nécessairement que l'organisation n'est pas conforme à DORA.
En revanche, cela permet d'identifier les zones qui méritent désormais d'être évaluées.
Comment Safercy peut accompagner les entreprises soumises à DORA ?
Chez Safercy, nous intervenons sur plusieurs composantes directement concernées par ces évolutions :
SaferAI permet d'évaluer les usages de l'intelligence artificielle, leur gouvernance et les risques associés, notamment afin d'identifier et réduire les situations de Shadow AI.
Nos audits de cybersécurité permettent d'évaluer le dispositif existant, d'identifier les écarts et de construire une feuille de route priorisée.
Nos équipes de pentest testent concrètement la résistance des systèmes, applications et infrastructures.
Enfin, nos activités de SOC, réponse à incident, RSSI à temps partagé et sensibilisation permettent d'accompagner les organisations dans la durée.
L'objectif n'est pas d'ajouter une nouvelle couche de conformité à DORA.
Il est de s'assurer que le dispositif de résilience évolue au même rythme que les risques auxquels l'entreprise est confrontée.
DORA a créé le cadre. L'intelligence artificielle change désormais une partie de la menace. Aux entreprises d'adapter leur dispositif en conséquence.
