L'IA en banque et assurance, pensée pour les exigences de DORA et justifiable devant un auditeur.
Conseil et déploiement d'agents IA pour banques, assureurs et fintechs. Architecture souveraine, chiffrement, piste d'audit complète, cloisonnement des identifiants MCP, protection contre l'injection de prompt. Une démarche pensée pour répondre aux exigences de DORA et de PCI DSS, aux attentes de l'ACPR et de l'EBA et à vos règles internes de cybersécurité.
Colombani.ai accompagne banques, assureurs et fintechs dans le déploiement d'agents IA pensés pour répondre aux exigences de DORA et de PCI DSS et aux attentes de l'ACPR et de l'EBA. Chaque déploiement repose sur une architecture souveraine ou un cloud européen sous contrat. Les données sont chiffrées, chaque décision de l'agent est tracée, les accès aux systèmes sont cloisonnés et l'agent résiste aux tentatives de manipulation par ses utilisateurs. La documentation attendue par les superviseurs fait partie du livrable.
Cas d'usage
Automatisation KYC et LCB-FT
Extraction structurée de pièces d'identité, vérification de cohérence documentaire, alerte sur opérations atypiques. Piste d'audit exploitable par Tracfin et l'ACPR. La décision finale revient à l'analyste.
Veille conformité ACPR / EBA / AMF
Synthèse hebdomadaire des publications ACPR, EBA, AMF, DGCCRF sur vos activités. Tri par type de risque (crédit, marché, opérationnel). Établie à partir des textes officiels, sources citées.
Revue de contrats de financement
Analyse rapide de conventions de crédit, extraction des clauses financières (covenants), alertes sur clauses atypiques. Les équipes de financement l'utilisent avant signature.
Assistant conseiller client B2B
Aide à la préparation des rendez-vous, synthèse de la situation du client, veille sur les événements de la vie de l'entreprise. Sans exposer les données CB ni les informations couvertes par la DSP2.
Cadre déontologique et réglementaire
DORA, Digital Operational Resilience Act
Entré en application en janvier 2025. Obligations : gestion des risques liés aux TIC (dont les agents IA), tests de résilience, notification des incidents majeurs, gouvernance et registre des risques liés aux modèles. Chaque déploiement Colombani.ai inclut la documentation attendue par le superviseur.
PCI DSS et isolation des données de paiement
Aucune donnée de carte ne doit être transmise à un LLM sans tokenisation préalable. Solutions : agent restreint par MCP à des systèmes hors périmètre PCI, ou pré-tokenisation via un service dédié avant tout traitement IA.
ACPR, EBA et AMF : gouvernance des modèles
Les superviseurs demandent une documentation des modèles utilisés, une évaluation continue de leur performance et la démonstration d'un contrôle humain effectif sur les décisions significatives. Colombani.ai produit cette documentation en même temps que le déploiement.
Ce que nous ne faisons pas
- Conseil financier personnalisé : réservé aux conseillers réglementés (CIF, CGP).
- Trading algorithmique : il relève d'une autre expertise et d'un cadre AMF spécifique.
- Notation de crédit automatisée sans intervention humaine : interdite par l'article 22 du RGPD relatif aux décisions automatisées.
- Certification DORA d'un prestataire tiers de services TIC : les certifications relèvent d'organismes accrédités, pas de Colombani.ai.
Comment nous travaillons avec vous
Conseil : conformité IA sectorielle
Audit de conformité IA face à DORA, PCI DSS, ACPR, EBA, AMF, RGPD art. 22.
Solutions : agents et sécurité de l'IA
Plugins d'agents IA pour la banque et l'assurance, audits de sécurité assistés par des agents.
Formation IA pour équipes réglementées
Formations dispensées par un organisme certifié Qualiopi, éligibles à un financement de l'OPCO Atlas, pour les équipes de la banque et de l'assurance.
Questions fréquentes
Comment garantir qu'un agent IA ne laisse fuir aucune donnée de carte bancaire ? +
Par deux protections successives. Premièrement, l'agent n'a jamais accès direct aux données CB : les outils MCP sont restreints à des systèmes hors du périmètre PCI ou passent par un service de tokenisation. Deuxièmement, un hook exécuté après chaque appel d'outil confronte chaque sortie de l'agent aux motifs de numéros de carte avant émission (DLP). Tout est journalisé et peut être vérifié lors d'un audit.
Comment satisfaire aux exigences de DORA en matière de tests de résilience des agents IA ? +
Chaque plugin est livré avec une suite de tests reproductible qui inclut : scénarios de dégradation (LLM indisponible, réponse hallucinée, dépassement de délai d'un outil), tests de charge, tests d'injection malveillante. Les résultats sont documentés et versionnés pour être présentés au superviseur en cas de contrôle.
Peut-on utiliser Claude dans le cloud ou faut-il rester en local ? +
Cela dépend de la classification des données. Données publiques ou déjà anonymisées : Claude dans le cloud (Anthropic ou via Bedrock EU) acceptable avec contrat de sous-traitance. Données bancaires sensibles ou classifiées : Mistral en local, ou Claude sur une instance européenne dédiée. Le choix est arrêté lors du cadrage.
Un projet en tête ?
Décrivez votre situation. Le premier échange de 30 minutes est offert ; nous vous répondons sous 24 heures ouvrées.