Décisions de conformité
Contrats fournisseurs IA DORA : points à vérifier
Commencez par le service TIC et la fonction qu’il supporte. L’article 30 de DORA précise les clauses générales du contrat et des exigences supplémentaires lorsque le service soutient une fonction critique ou importante. Comparez l’accord réel avec la couche applicable ; la déclaration « prête pour DORA » d’un fournisseur n’est pas un droit contractuel.
Pour Équipes juridiques, achats et gestion des risques TIC des entités financières
L’évaluation de la fonction détermine quelles questions contractuelles supplémentaires sont pertinentes.
Positions contractuelles synthétiques et résultats de revue. Aucune clause fournisseur réelle, droit négocié ou approbation juridique n’est représentée.01
Identifiez le service et les documents contractuels
L’article 30 exige des droits et obligations écrits clairs, avec le contrat complet incluant les accords de niveau de service dans un format durable et accessible. Identifiez l’accord, la commande, la description du service et les conditions incorporées pour le service IA exact. Une présentation commerciale ne constitue pas l’intégralité du dossier contractuel.
Confirmez les entités utilisatrices et contractantes ainsi que la fonction supportée. Maintenez l’entrée du registre d’informations liée au même arrangement. Ce guide passe en revue les exigences contractuelles ; il ne détermine pas le périmètre d’une entité financière ni ne classe chaque outil IA employé comme critique.
Contexte source : Article 30 DORA : Dispositions contractuelles clés
02
Vérifiez les dispositions générales du contrat TIC
La couche générale inclut la description du service, les conditions pertinentes de sous-traitance, les emplacements du service et des données avec notification préalable de changement, la protection des données, l’accès et le retour, les niveaux de service, l’assistance en cas d’incident, la coopération des autorités, la résiliation et les conditions de formation applicables.
Pour l’utilisation de l’IA, distinguez le backend, le lieu de traitement du modèle et les destinataires ultérieurs plutôt que d’accepter une simple étiquette de région cloud comme réponse complète. Demandez comment le contrat couvre le service réel. L’article 30 traite également de l’assistance en cas d’incident sans coût supplémentaire ou à un coût déterminé à l’avance, et non d’une charge d’urgence indéfinie.
Contexte source : Article 30 DORA : Dispositions contractuelles clés
03
Appliquez la couche supplémentaire lorsque nécessaire
Pour les services TIC supportant des fonctions critiques ou importantes, l’article 30 ajoute des exigences incluant des objectifs de performance détaillés, un reporting sur le développement matériel, des mesures de contingence et de sécurité, une coopération pour des tests d’intrusion basés sur les menaces le cas échéant, des droits de surveillance continue et des dispositions de transition de sortie.
Ne présentez pas toutes ces dispositions comme interchangeables avec la couche générale. L’article contient aussi des qualifications spécifiques, notamment une assurance alternative lorsque les droits d’autres clients sont affectés et une disposition pour les microentreprises concernant les droits délégués d’accès, d’inspection et d’audit. Examinez les conditions réelles plutôt que de décrire un droit générique d’audit illimité.
Contexte source : Article 30 DORA : Dispositions contractuelles clés
04
Comparez une clause réelle avec le résultat requis
La matrice fictive ci-dessous utilise des positions fournisseurs inventées pour illustrer la méthode d’examen. Une clause indiquant « les emplacements peuvent changer à tout moment » soulève une question différente d’une clause spécifiant les emplacements et un préavis. Un rapport d’utilisation téléchargeable ne garantit pas nécessairement le droit d’accès, d’inspection ou d’audit pertinent.
Enregistrez la source contractuelle, l’écart et la question pour le conseil juridique ou les achats. Une formulation proposée dans un exercice n’est pas une promesse exécutoire d’un fournisseur réel. Gardez à l’esprit la faisabilité opérationnelle : l’équipe doit pouvoir recevoir les notifications, utiliser les preuves et exécuter une transition, pas seulement collecter des formulations contractuelles.
Contexte source : Article 30 DORA : Dispositions contractuelles clés
05
Rendez le processus de sortie et de changement utilisable
Pour une fonction critique ou importante, l’exigence obligatoire d’une période de transition adéquate garantit la continuité et la migration vers un autre fournisseur ou une solution interne. Déterminez quelles données, configurations et supports de service l’entité aurait besoin pour quitter l’arrangement sans perturbation.
Conservez la revue contractuelle approuvée avec l’évaluation de la fonction, l’entrée au registre et les responsables désignés. Réévaluez les changements matériels de service, de sous-traitance ou d’emplacement selon les exigences applicables. Ni cette feuille de travail ni une évaluation de contrôle Aona ne constituent une approbation juridique du contrat.
Contexte source : Article 30 DORA : Dispositions contractuelles clés
Mettez-le en pratique
Exercice d’écart contractuel IA DORA
Des clauses fournisseurs inventées illustrent comment une entité financière sépare les exigences générales des dispositions supplémentaires pour fonctions critiques.
Positions contractuelles synthétiques et résultats de revue. Aucune clause fournisseur réelle, droit négocié ou approbation juridique n’est représentée.
Arrangement TIC général
Service, emplacements, données, assistance incident et résiliation
Fonction critique ou importante
Dispositions supplémentaires de performance, surveillance, test et transition
Accord réel
Références de clauses, qualifications et écarts non résolus
| Exigence DORA | Position fournisseur inventée | Écart ou question |
|---|---|---|
| 30(2) : service et emplacements | « Le traitement peut avoir lieu où nous le choisissons. » | Identifiez les emplacements du service/données et le préavis de changement requis. |
| 30(2) : assistance en cas d’incident | « Le support d’urgence est facturé à notre tarif futur. » | Comment sera traitée la condition de coût nul ou de coût convenu à l’avance ? |
| 30(2) : accès et retour des données | « L’accès prend fin immédiatement à la résiliation. » | Quelles dispositions garantissent l’accès, la récupération et le retour requis dans un format accessible ? |
| 30(3) : performance de la fonction critique | « Nous visons à fournir un service fiable. » | Où sont les objectifs quantitatifs/qualitatifs nécessaires et le reporting sur le développement matériel ? |
| 30(3) : surveillance de la fonction critique | « Un certificat marketing est notre seule garantie. » | Comment fonctionnent les dispositions applicables d’accès, d’inspection, d’audit et de coopération ? |
| 30(3) : sortie de la fonction critique | « Aucun service de transition n’est disponible. » | Quelle période de transition adéquate et quel support de migration sont requis pour cette fonction ? |
| Périmètre et qualifications | La classification fictive de la fonction n’a pas été décidée. | Résolvez l’applicabilité avant de considérer chaque disposition supplémentaire comme obligatoire dans ce cas. |
Travaillez votre révision
Utilisez les vérifications pour organiser les preuves dont vous avez besoin. Enregistrez vos sélections dans Word, puis ajoutez vos notes et preuves. Vos sélections restent dans cet onglet jusqu'à leur téléchargement.
0 sur 3 révisé
Exemples et matériel de révision
Lisez les détails ici, ou conservez ensemble le PDF, le document Word modifiable et les feuilles de calcul.
Exercice d’écart contractuel IA DORALire
Positions contractuelles synthétiques et résultats de revue. Aucune clause fournisseur réelle, droit négocié ou approbation juridique n’est représentée.
Des clauses fournisseurs inventées illustrent comment une entité financière sépare les exigences générales des dispositions supplémentaires pour fonctions critiques.
Review steps
- Resolve the applicable layer: Connect the ICT service to the documented function assessment et relevant Article 30 provisions.
- Keep the contractual evidence: Record actual clause references, incorporated documents, gaps et negotiated changes.
- Check the operational handoff: Assign owners for notices, incidents, evidence access et exit rather than relying on contract labels alone.
Fictional negotiation note
Arrangement: CONTRACT-EX-21, invented AI drafting service. Observed example gaps: undefined processing locations, unspecified incident-support charges and no transition assistance. Next review: establish actual function criticality and compare the complete agreement with the applicable Article 30 layer.
The quoted positions are invented teaching clauses, not statements about Aona or any named AI vendor. They are not proposed final legal language.
Source et scope
Guide: https://aona.ai/resources/guides/dora-ai-saas-contract-checklist/
Source check: 21 September 2026. General information, not professional approval or a completed control test.
- DORA Article 30: Key contractual provisions: https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng
Avant de continuer
Gardez ces distinctions claires
- Le marketing n'est pas un droit contractuel
- Examiner l'accord contraignant et les documents incorporés.
- La criticité modifie la revue requise
- Ne pas appliquer ou omettre la couche supplémentaire sans évaluation fonctionnelle.
Appliquez-le à l'utilisation de l'IA par les employés
Apportez votre chemin de données réel.
Aona peut fournir des informations ciblées sur l'utilisation de l'IA par les employés et les contrôles des entrées sensibles lors d'une revue de service.
Elle ne négocie pas les clauses DORA, ne classe pas les fonctions critiques ni ne garantit la conformité réglementaire.
Utilisez une évaluation de sécurité sur un chemin supporté comme une preuve parmi d'autres, avec le contrat réel et la revue opérationnelle.
Révisez votre cas d'utilisationFAQ
Questions pour cette décision
Tous les contrats IA nécessitent-ils chaque clause fonction critique ?
Une déclaration DORA remplace-t-elle la revue contractuelle ?
Un certificat d'audit peut-il remplacer tous les droits d'accès et d'audit ?
Le libellé fournisseur d'exemple est-il réel ?
Preuves à l'appui du guide
Sources et portée
Préparé par Aona. Sources vérifiées 2026-09-21. Le matériel cité soutient les points spécifiques ci-dessous ; il ne certifie pas un produit ni votre cas d'usage.
- Article 30 DORA : Dispositions contractuelles clés
Exigences générales des contrats TIC et obligations supplémentaires pour les services soutenant des fonctions critiques ou importantes, y compris les dispositions d'audit et de transition.
law · vérifié 2026-09-21