IA Act, DORA et Protection des Données : le trio infernal (ou salutaire ?) de la conformité au Luxembourg

La digitalisation du secteur financier n’a rien d’un long fleuve tranquille. Entre l’essor de l’intelligence artificielle, l’entrée en application imminente du DORA, et les exigences toujours plus fortes du RGPD (et bientôt du Data Governance Act), l’agenda réglementaire se confirme… intense.

Voici un bref rappel du calendrier réglementaire :

DORA : top départ en janvier 2025

Le DORA (Digital Operational Resilience Act) est entré en application le 17 janvier 2025. Pour les banques, Professionnels du Secteur Financier (PSF), assureurs et gestionnaires d’actifs au Luxembourg, cela signifie :

une cartographie exhaustive des actifs informatiques et des prestataires TIC critiques (y compris les fournisseurs IA) ;
une stratégie de gestion des risques TIC documentée, testée et gouvernée ;
des protocoles de gestion des incidents majeurs (avec notification à la CSSF ou au CAA selon le cas) ;
une exigence de tests de résilience réguliers, parfois sous forme de TLPT (Threat-led Penetration Testing).

Le règlement CSSF 22/806, tout comme les circulaires CAA relatives à la sécurité des systèmes d’information, servent de socle mais ne suffisent plus : le DORA change la donne.

IA : le grand ménage de printemps réglementaire

Le Règlement sur l’IA (AI Act), en voie d’entrée en vigueur, vient rebattre les cartes. Si votre institution utilise des algorithmes dans le cadre :

Du scoring client,
De la lutte contre le blanchiment (AML),
De l’automatisation des décisions (admissibilité, gestion de sinistres, alertes transactionnelles…),

Vous entrez très probablement dans le champ des systèmes à haut risque, avec à la clé :

Des obligations de documentation technique et d’explicabilité ;
Une exigence de qualité des données d’entraînement (exit les biais implicites…)
Une gouvernance IA dédiée, que ni l’IT ni la compliance ne peuvent porter seuls.

Au Luxembourg, la CNPD n’est pas en reste : les traitements algorithmiques impliquant des données personnelles sont déjà sous surveillance, et l’articulation entre AI Act et RGPD devra être anticipée. Le message est clair : pas d’IA sans compliance by design.

RGPD : le grand oublié du DORA ?

Trop souvent, la mise en conformité du DORA s’oriente uniquement autour des processus IT et de la continuité d’activité. Mais dans un monde où IA et cloud sont omniprésents, le RGPD est une composante incontournable de la résilience :

Avez-vous mené une AIPD (analyse d’impact) croisée IA + DORA ?
Vos contrats avec vos sous-traitants technologiques intègrent-ils bien les exigences cumulées des trois régimes ?
Avez-vous identifié les cas où une violation de données constitue aussi un incident opérationnel majeur à notifier à deux autorités différentes (CNPD et CSSF/CAA) ?

Gouvernance croisée ou non-conformité assurée ?

Au Luxembourg, il ne s’agit plus d’empiler les obligations réglementaires mais de bâtir un cadre unifié de conformité numérique :

Une gouvernance transverse réunissant DPO, CISO, RC, CIO et COO ;
Une lecture commune des risques liés aux prestataires technologiques critiques (cloud, analytics, IA…) ;
Une capacité à répondre cohérente et crédible aux inspections CSSF, audits CAA ou demandes CNPD.

Nouvelle formation : IA, cybersécurité et protection des données

Les clés pour naviguer entre innovation et conformité sous RGPD, NIS2 et AI Act !

Découvrez nottre nouvelle formation sur l’IA, cybersécurité et protection des données, avec son programme et ses dates, animée par Julien WINKIN – Managing Partner – Owner – DPO of the yearLuxGap

ABILWAYS Belgium, allié des professionnels au Luxembourg

Chez ABILWAYS Belgium, on vous aide à y voir clair — et surtout à anticiper.

Nous organisons des conférences et formations 100% ancrées dans les enjeux luxembourgeois, pour les professionnels de la compliance, du juridique, du risk et de l’IT confrontés aux nouveaux défis digitaux.