IA générative souveraine en banque : déployer l’IA dans un environnement PCI DSS, DORA et AI Act

Entre le règlement européen sur l’IA (AI Act), l’entrée en application de DORA et les exigences de PCI DSS v4.0.1, le cadre réglementaire n’a jamais été aussi dense. La complexité ne s’arrête pas à la conformité : elle concerne également l’hébergement des données, la gouvernance des modèles et la maîtrise du patrimoine informationnel.

Ce guide explore les dimensions réglementaires, techniques et organisationnelles à maîtriser pour intégrer une IA générative souveraine dans vos opérations bancaires. Claranet, certifié PCI DSS depuis 2012, accompagne les acteurs financiers avec une expertise couvrant le cloud, la cybersécurité, la conformité et les plateformes d’IA.

Points clés

• L’IA générative en banque impose de conjuguer conformité réglementaire, protection des données et gouvernance des modèles.
• DORA, PCI DSS v4.0.1 et l’AI Act forment un triptyque réglementaire que les établissements financiers doivent articuler.
• L’hébergement en France réduit l’exposition aux mécanismes d’accès extraterritoriaux, sans constituer à lui seul une garantie juridique absolue.
• Claranet propose Clovis, une plateforme d’IA de confiance hébergée en France et conçue pour les environnements exigeants.
• La gouvernance de l’IA ne relève plus du seul périmètre IT : elle engage la direction générale, la conformité, le juridique et les métiers.

Pourquoi l’IA générative transforme la banque

L’IA générative modifie en profondeur les opérations bancaires. Selon une étude de l’AMF publiée en février 2026, 90% des acteurs financiers français déclarent utiliser l’IA ou prévoir de le faire à court terme ; l’IA générative est la technologie la plus déployée.

Les cas d’usage couvrent la productivité interne, l’extraction documentaire, la synthèse réglementaire et l’assistance aux analystes. Cette adoption rapide soulève toutefois des risques spécifiques dans un secteur fortement régulé.

La confidentialité des données clients, la traçabilité des décisions assistées par IA et la protection de la propriété intellectuelle deviennent des exigences de premier plan. Sans cadre maîtrisé, l’IA générative peut favoriser le Shadow AI : des usages non contrôlés qui exposent l’organisation à des fuites de données et à des traitements non conformes.

Quel cadre réglementaire pour l’IA en banque ?

Le paysage réglementaire européen crée un maillage dense d’obligations pour les banques qui déploient l’IA générative. Trois cadres structurent principalement ce paysage.

Le règlement européen sur l’IA

Entré en vigueur en août 2024, l’AI Act s’applique progressivement au secteur financier. Les systèmes d’IA utilisés pour l’évaluation de la solvabilité ou la tarification en assurance sont notamment classés « haut risque ». Selon l’ACPR, ces exigences seront pleinement applicables à compter du 2 décembre 2027.

Concrètement, les établissements doivent anticiper la mise en conformité : documentation des systèmes, qualité des données, transparence, journalisation et supervision humaine. Les usages internes d’IA générative ne relèvent pas nécessairement de la catégorie « haut risque », mais ils restent soumis à des obligations de transparence et doivent être intégrés dans une gouvernance des risques.

Le règlement DORA

Applicable depuis le 17 janvier 2025, DORA impose aux entités financières un cadre complet de résilience opérationnelle numérique. Il couvre la gestion des risques TIC, le reporting des incidents, les tests de résilience et la surveillance des prestataires tiers.

Pour un projet d’IA générative, le fournisseur de plateforme IA est généralement un prestataire de services TIC. Son contrat, sa criticité, ses engagements de sécurité et ses modalités de sortie doivent donc être documentés dans le registre d’informations exigé par DORA.

La norme PCI DSS v4.0.1

PCI DSS v4.0.1, publiée en juin 2024, est une révision de la version 4.0 : elle clarifie certaines exigences et corrige des erreurs, sans introduire de nouvelles exigences ni en supprimer.

Déployer une IA générative dans un périmètre PCI DSS requiert néanmoins une rigueur particulière. Les modèles de langage ne doivent pas accéder aux données de porteurs de carte sans contrôles stricts : segmentation, chiffrement, gestion fine des accès, journalisation et prévention des fuites de données doivent être intégrés dès la conception.

Comment la souveraineté des données conditionne vos projets

La souveraineté des données n’est pas un simple argument marketing dans la banque : elle conditionne la maîtrise opérationnelle, juridique et stratégique des actifs informationnels. Données de paiement, informations clients, modèles, prompts, embeddings et documents internes constituent des actifs sensibles.

L’hébergement en France, associé à un opérateur sous contrôle européen, réduit l’exposition aux mécanismes d’accès extraterritoriaux. Il ne supprime pas pour autant toute contrainte juridique : le choix de l’hébergeur, des sous-traitants, des modèles et des clauses contractuelles doit être analysé globalement.

Hébergement français et cloud de confiance

Un hébergement de confiance implique que les traitements soient réalisés sur le territoire français, dans des datacenters soumis à la réglementation européenne. Claranet opère Clovis depuis la France, dans des environnements certifiés ISO 27001.

Pour les cas d’usage nécessitant le niveau de qualification le plus élevé certifié par l’ANSSI, il est possible de recourir à des infrastructures SecNumCloud via le réseau de partenaires de Claranet. Cette option reste réservée aux périmètres qui la justifient, car son niveau de contrainte opérationnelle n’est pas adapté à tous les projets IA.

Pourquoi le RGPD ne suffit pas

Le RGPD encadre le traitement des données personnelles, mais il ne couvre pas l’ensemble des enjeux de souveraineté. La propriété intellectuelle, les modèles, les données métiers non personnelles et les savoir-faire sectoriels nécessitent des protections complémentaires.

Un hébergement souverain vise précisément à protéger l’intégralité du patrimoine informationnel : transactions agrégées, référentiels, spécifications métier, documentation interne et données de production.

Comment choisir un prestataire d’IA bancaire ?

La sélection d’un prestataire pour un projet d’IA générative bancaire ne se limite pas à une évaluation technique. Elle engage la conformité réglementaire, la résilience opérationnelle et la maîtrise stratégique des données.

Certifications et conformité

Le prestataire doit démontrer un historique de conformité vérifié et audité. Les certifications clés incluent PCI DSS pour la sécurité des données de paiement, ISO 27001 pour la sécurité de l’information et, selon les contextes, HDS pour l’hébergement de données de santé.

Claranet est certifié PCI DSS depuis 2012 et a validé sa certification PCI DSS v4.0.1 en mai 2026, pour la 14e année consécutive. Cette continuité traduit une intégration de la sécurité dans les processus opérationnels.

Localisation et contrôle des données

Vérifiez que l’inférence, le fine-tuning éventuel, le stockage des embeddings et les journaux restent hébergés en France. Analysez également la chaîne de sous-traitance, les modèles utilisés, les transferts de données et les engagements contractuels relatifs à la confidentialité.

Gouvernance et traçabilité

Un prestataire adapté au secteur bancaire doit proposer une traçabilité complète : journalisation des requêtes, versionnage des modèles, gestion des droits d’accès, suivi de la consommation et capacité à produire des éléments d’audit. Ces éléments sont indispensables pour répondre aux exigences de DORA et de l’AI Act.

Indépendance technologique

Privilégiez un prestataire capable d’opérer sur différentes infrastructures cloud sans dépendance à un hyperscaler unique. Cette flexibilité permet de faire évoluer l’architecture selon les exigences réglementaires, les performances et les contraintes de souveraineté, sans verrouillage contractuel ou technologique.

Clovis : l’approche Claranet pour l’IA bancaire

Claranet a développé Clovis, une plateforme d’IA générative de confiance conçue pour les organisations qui ne peuvent pas transiger sur la sécurité de leurs données. Clovis combine chatbot privé, assistance au code et agents sur mesure, avec un hébergement en France sur des infrastructures certifiées ISO 27001.

Une plateforme pensée pour les environnements exigeants

L’expertise PCI DSS de Claranet se traduit dans l’architecture de Clovis : chiffrement des données, traçabilité des accès, contrôle granulaire des droits utilisateurs et conformité RGPD et AI Act.

Les données et traitements restent hébergés en France. Cette architecture répond aux besoins des établissements financiers qui souhaitent déployer l’IA générative dans un périmètre soumis à des contraintes PCI DSS, tout en gardant la maîtrise de leurs données et de leurs modèles.

Retour d’expérience : le GIE CB

Le Groupement d’Intérêt Économique Carte Bancaire (GIE CB), qui représente les grands établissements bancaires opérant en France et traite 15 milliards de paiements par an, a choisi Clovis pour ses projets d’IA générative.

L’enjeu pour CB était clair : adopter l’IA générative sans exposer des données de paiement souveraines ni compromettre la propriété intellectuelle du groupement. Comme l’explique Samuel Willy, responsable data et lutte contre la fraude chez CB : « Il était impensable pour nous d’ouvrir l’IA générative via un cloud étranger. Nous nous sommes appuyés sur Clovis, qui répondait à nos attentes : utiliser les LLM du marché tout en restant français. »

CB a déployé trois cas d’usage :

• Un système RAG exploitant la documentation des spécifications de paiement CB, tout en protégeant la propriété intellectuelle de ces documents.
• La reconnaissance de caractères dans des documents numérisés, afin d’extraire automatiquement les informations pertinentes.
• Un chat interne donnant accès aux capacités de l’IA générative sans exposer les données du groupement.

Comment structurer la gouvernance de l’IA ?

La gouvernance de l’IA dans le secteur bancaire ne relève plus du seul périmètre IT. Elle doit associer la direction générale, la conformité, le juridique, la sécurité, les métiers et les fonctions data.

Responsabilité de la direction générale

DORA comme l’AI Act placent une part importante de la responsabilité au niveau de l’organe de direction. Celui-ci doit définir, approuver et superviser le cadre de gestion des risques liés aux TIC, y compris les systèmes d’IA.

Cette exigence dépasse le mandat du DSI ou du RSSI. Elle implique que la direction générale comprenne les risques spécifiques de l’IA générative et les intègre dans sa gouvernance globale.

Mettre en place un comité IA

Un comité transversal associant DSI, RSSI, direction juridique, conformité et métiers permet de cadrer les usages de l’IA. Il valide les cas d’usage, évalue les risques — biais, hallucinations, fuites de données — et définit les règles d’accès aux modèles.

Il assure également le suivi des obligations réglementaires : registre d’informations DORA, documentation AI Act et contrôles PCI DSS applicables.

Former et acculturer les équipes

L’acculturation des collaborateurs est un levier de gouvernance souvent sous-estimé. Déployer une plateforme IA de confiance comme Clovis permet de canaliser les usages et de réduire fortement le Shadow AI.

Mais la technologie ne suffit pas. Les équipes doivent comprendre les limites des modèles génératifs, les règles d’utilisation et les obligations de confidentialité applicables à leur périmètre.

Quels cas d’usage créent le plus de valeur ?

Les cas d’usage de l’IA générative dans la banque se concentrent d’abord sur des applications internes à forte valeur ajoutée. L’objectif n’est pas de remplacer les systèmes critiques en production, mais d’augmenter la productivité et la qualité des processus métiers.

Synthèse et extraction documentaire

Les équipes conformité et juridiques consacrent un temps considérable à l’analyse de textes réglementaires, de contrats et de rapports d’audit. Un système RAG alimenté par la documentation interne, hébergé dans un environnement maîtrisé, accélère cette analyse tout en protégeant la confidentialité des documents.

Assistance aux analystes et lutte contre la fraude

L’IA générative ne remplace pas les algorithmes de scoring temps réel, qui reposent sur des données structurées et des contraintes de latence incompatibles avec les LLM. En revanche, elle apporte de la valeur en périphérie : aide à la rédaction de scénarios de fraude, analyse exploratoire et synthèse d’alertes.

CB utilise Clovis dans cette logique, en complément de ses algorithmes de machine learning qui analysent 150 paramètres en moins de 80 millisecondes sur plusieurs milliards de transactions par an.

Productivité interne

Chatbots internes pour les questions RH, juridiques ou IT, assistance au code, génération de documentation technique : ces cas d’usage génèrent des gains mesurables. Clovis permet jusqu’à 40% de gains d’efficacité sur certaines tâches quotidiennes, selon les mesures réalisées par Claranet sur des déploiements en production. Les résultats varient toutefois selon les cas d’usage, les métiers et le niveau d’intégration.

Comment articuler PCI DSS, DORA et AI Act ?

Articuler trois cadres réglementaires dans un même projet d’IA générative constitue un défi organisationnel réel. Chaque texte a sa logique propre, ses exigences de documentation et ses autorités de contrôle.

Cartographier les exigences croisées

PCI DSS impose la protection des données de carte. DORA exige la résilience opérationnelle et la surveillance des prestataires TIC. L’AI Act demande la documentation et la maîtrise des systèmes d’IA selon leur niveau de risque.

La cartographie des exigences permet d’identifier les recouvrements en gestion des accès, journalisation, gestion des incidents, tests de résilience et documentation.

Choisir un prestataire multi-référentiels

Travailler avec un prestataire certifié sur plusieurs référentiels réduit la charge de mise en conformité. Claranet détient les certifications PCI DSS, ISO 27001 et HDS, et accompagne ses clients dans leur parcours de conformité DORA.

Cette couverture multi-référentiels permet de mutualiser une partie des audits, des processus de gestion des incidents et de la documentation réglementaire.

Intégrer la conformité dès la conception

L’approche « secure by design » implique que la conformité ne soit pas un ajout tardif. Elle doit structurer l’architecture : segmentation, contrôle des accès, chiffrement, journalisation, gestion des modèles et capacité de sortie.

Quels risques spécifiques pour la banque ?

Hallucinations et fiabilité

Les modèles de langage peuvent générer des informations incorrectes avec un niveau de confiance apparent élevé. Dans un contexte bancaire, une réponse erronée sur un point réglementaire peut avoir des conséquences directes. La supervision humaine reste indispensable.

Fuites de données et Shadow AI

Sans plateforme IA encadrée, les collaborateurs peuvent utiliser des outils grand public. Ces usages non contrôlés exposent les données de l’entreprise, y compris les données clients, à des tiers non maîtrisés.

Déployer une solution souveraine et intégrée au SI comme Clovis réduit structurellement ce risque en offrant une alternative sécurisée, traçable et conforme.

Biais et explicabilité

L’AI Act impose des exigences d’explicabilité pour les systèmes d’IA à haut risque dans le secteur financier. Les banques doivent pouvoir expliquer comment un modèle a contribué à une décision, notamment en matière d’octroi de crédit. Cela nécessite une traçabilité des prompts, des contextes et des réponses générées.

Feuille de route : déployer l’IA générative en banque

1. Auditer la maturité réglementaire et technique

Évaluez votre niveau de conformité actuel sur PCI DSS, DORA et l’AI Act. Identifiez les périmètres où l’IA générative pourrait être déployée, en distinguant les environnements qui manipulent des données de paiement de ceux qui traitent des données internes.

2. Définir la gouvernance IA

Constituez un comité IA transversal, définissez les rôles et responsabilités, puis établissez une politique d’usage. Documentez les cas d’usage autorisés, les données accessibles et les contrôles associés.

3. Sélectionner un prestataire souverain

Évaluez les prestataires sur les certifications, la localisation des données, la traçabilité, la gouvernance des modèles et l’indépendance technologique. Un partenaire comme Claranet, qui combine expertise finance, certifications PCI DSS et plateforme IA souveraine, réduit le risque de non-conformité.

4. Lancer des cas d’usage pilotes

Commencez par des cas d’usage à valeur immédiate et à risque maîtrisé : synthèse documentaire, chatbot interne ou assistance au code. Mesurez les gains, recueillez les retours utilisateurs et ajustez les contrôles avant d’élargir le périmètre.

5. Industrialiser et piloter en continu

Une fois les cas d’usage validés, intégrez la plateforme IA dans le SI et déployez les agents spécialisés adaptés aux métiers. Claranet accompagne cette phase d’industrialisation avec un support 24/7 et des évolutions continues de la plateforme.

En conclusion

Déployer l’IA générative dans le secteur bancaire en France et en Europe n’est ni simple ni immédiat. Le cadre réglementaire (AI Act, DORA et PCI DSS) impose une rigueur méthodologique que seuls des acteurs maîtrisant la conformité, l’hébergement souverain et l’expertise IA peuvent accompagner efficacement.

Claranet accompagne les établissements financiers dans cette transformation avec Clovis, une plateforme IA de confiance hébergée en France, et une expertise PCI DSS éprouvée depuis 2012. Pour évaluer un projet d’IA générative souveraine, contactez nos experts afin de structurer votre démarche.

FAQ

Qu’est-ce que l’IA générative souveraine pour la banque ?

L’IA générative souveraine désigne le déploiement de modèles de langage sur des infrastructures hébergées en France, soumises au droit européen et conçues pour limiter l’exposition aux lois extraterritoriales. Claranet propose cette approche avec Clovis, sa plateforme IA de confiance certifiée ISO 27001.

Peut-on déployer l’IA générative dans un environnement PCI DSS ?

Oui, à condition que l’infrastructure respecte les exigences PCI DSS applicables au périmètre concerné et que les modèles n’accèdent pas aux données de porteurs de carte sans contrôles stricts. Claranet, certifié PCI DSS v4.0.1 depuis 14 années consécutives, opère des environnements compatibles avec ces contraintes.

Quel est l’impact de DORA sur les projets d’IA en banque ?

DORA impose de documenter et surveiller les prestataires TIC, y compris les fournisseurs de plateformes IA. Les établissements doivent tenir un registre d’informations contractuelles et démontrer la résilience opérationnelle de ces services.

Pourquoi l’hébergement en France est-il important pour l’IA bancaire ?

L’hébergement en France réduit l’exposition aux mécanismes d’accès extraterritoriaux et facilite la maîtrise des traitements. Clovis traite et stocke les données en France, afin de maintenir les informations dans un cadre de conformité européen.

Comment réduire le Shadow AI dans un établissement bancaire ?

Le Shadow AI survient lorsque les collaborateurs utilisent des outils IA non autorisés. Déployer une plateforme IA de confiance intégrée au SI, comme Clovis, réduit fortement ce risque en garantissant la traçabilité, la sécurité et la conformité des interactions.