Le système client-facing que vos tests DORA ont oublié

DORA s'applique aux entités financières européennes depuis janvier 2025. Sous les acronymes, le texte demande trois choses simples : gérer le risque de vos systèmes ICT, tester leur résistance, et le déclarer quand ils cassent. La plupart des banques et assureurs lisent ça et pensent cœur bancaire, chaînes de paiement, plateformes de trading. Ils pensent rarement au chatbot de leur page d'accueil.

Ils devraient. Un assistant client-facing est un système ICT qui sert vos clients. Il annonce, confirme, explique, et parfois engage — en votre nom. DORA ne cite pas les chatbots nommément ; il n'en a pas besoin. Si un système parle à vos clients et qu'une défaillance leur nuirait, à eux ou à vous, il entre dans le périmètre des tests de résilience attendus par DORA.

À quoi ressemblerait alors un test de résilience d'un assistant ? Pas à un test de charge. La question n'est pas de savoir s'il tient sous le trafic — c'est de savoir s'il reste fiable sous pression. Peut-on l'amener à un taux ou un geste qu'il ne devrait pas accorder ? Peut-on en extraire les instructions internes ? Peut-on lui faire ressortir les données d'un autre client ? Voilà les modes de défaillance qui créent une vraie exposition pour une entité régulée — et précisément ceux qu'un pentest d'infrastructure classique ignore.

Le passage honnête, parce que beaucoup de vendeurs vous diront l'inverse. Aucun audit ne vous rend conforme à DORA. La conformité est un programme, validé par vos propres fonctions risque et juridique, pas un badge qu'on achète. Ce qu'un bon audit vous donne, c'est de la preuve — la démonstration reproductible de la façon dont votre assistant se comporte sous attaque, notée par sévérité, sous une forme utilisable par votre comité des risques et vos auditeurs. Un intrant de vos tests de résilience, pas un substitut. Et toute phrase qui relie un constat à un article précis de DORA doit passer par votre juriste avant d'aller où que ce soit.

Ce cadrage n'est pas une précaution timide — c'est la différence entre un document qui vous aide et un document qui se fait démonter au premier contrôle. Une preuve que vous pouvez assumer vaut mieux qu'un certificat que personne ne croit.

Si votre chatbot est en production depuis un an et n'a jamais fait partie d'un test de résilience, ce n'est pas rare. C'est juste le trou que la plupart des entités financières n'ont pas encore comblé. Le combler commence par découvrir ce que votre assistant fait vraiment quand on essaie de le casser.

Voyez ce que votre assistant bancaire fait sous attaque — un audit de 3 jours, forfait fixe, une preuve utilisable par votre équipe risque.