Depuis mai 2018 et l'entrée en application du RGPD, le cadre réglementaire européen sur la donnée n'a cessé de s'épaissir. Digital Services Act, Data Act, DORA pour le secteur financier, puis AI Act : chaque texte ajoute une couche d'obligations qui se superpose aux précédentes plutôt que de les remplacer. Pour une direction data en banque ou en assurance, la difficulté n'est plus de connaître l'existence de ces textes, mais de les traduire en pratiques concrètes de gouvernance, sans multiplier les chantiers de conformité qui s'ignorent les uns les autres.
Un empilement réglementaire à lire comme un tout cohérent
Le RGPD, socle toujours vivant
Le RGPD reste la pierre angulaire de toute politique data en Europe. Ses principes fondateurs, minimisation, finalité déterminée, limitation de la conservation, base légale du traitement, continuent de structurer les projets de données personnelles. Ce qui change, c'est le niveau d'exigence des autorités de contrôle sur la preuve : il ne suffit plus d'avoir une politique de confidentialité, il faut pouvoir démontrer, registre des traitements à l'appui, que chaque flux de données personnelles est identifié, justifié et documenté jusqu'à sa suppression.
Le Digital Services Act, une logique de transparence des plateformes
Le Digital Services Act (DSA) vise en premier lieu les plateformes numériques et les places de marché, mais son esprit irrigue plus largement les attentes en matière de transparence algorithmique et de modération des contenus. Pour une banque ou un assureur qui opère des services numériques grand public, le sujet touche notamment aux algorithmes de recommandation, à la publicité ciblée et à la capacité d'expliquer à un utilisateur pourquoi il voit telle offre plutôt qu'une autre.
Le Data Act, l'accès et la portabilité au coeur du modèle
Applicable depuis septembre 2025, le Data Act rebat les cartes du partage de données entre entreprises et avec les utilisateurs, notamment pour les données générées par des objets connectés et des services associés. Il introduit une obligation d'accès et de portabilité qui interroge directement l'architecture data : une donnée verrouillée dans un silo applicatif difficile à extraire devient un risque de conformité, pas seulement un problème technique.
DORA, la résilience numérique imposée au secteur financier
DORA, applicable depuis janvier 2025, s'adresse spécifiquement aux établissements financiers et à leurs prestataires informatiques critiques. Il impose une cartographie précise des systèmes d'information, une gestion rigoureuse des incidents et une supervision renforcée des prestataires tiers, cloud en tête. Pour les directions data des banques et des assurances, cela signifie que le lignage des données doit désormais couvrir non seulement leur origine et leur transformation, mais aussi leur dépendance à des fournisseurs externes, avec des plans de continuité éprouvés.
L'AI Act, encadrer l'intelligence artificielle par les risques
Adopté en 2024, avec une application qui se déploie progressivement selon le niveau de risque des systèmes concernés, l'AI Act classe les usages de l'intelligence artificielle selon une échelle de risque. Le scoring de crédit, la détection de fraude ou la tarification assurantielle relèvent typiquement de catégories à surveiller de près, avec des obligations de documentation, de supervision humaine et de gestion des biais qui remontent directement vers la qualité et la traçabilité des données d'entraînement.
Ce que cela implique concrètement pour une direction data
La traçabilité et la documentation ne sont plus optionnelles
Le point commun de tous ces textes est l'exigence de preuve. Une direction data doit pouvoir répondre rapidement à des questions simples en apparence : d'où vient cette donnée, qui l'a transformée, sur quelle base légale est-elle utilisée, qui peut y accéder aujourd'hui. Sans un catalogue de données à jour et un lignage automatisé, ces réponses prennent des semaines et mobilisent des équipes entières à chaque contrôle ou audit interne.
La minimisation et le consentement, un exercice continu
La minimisation n'est pas un principe qu'on applique une fois au moment de la conception d'un projet, c'est une discipline à maintenir dans le temps, à mesure que les usages évoluent et que de nouveaux besoins métiers apparaissent. La gestion du consentement suit la même logique : elle doit être traçable, révocable et propagée jusque dans les entrepôts de données et les modèles qui les exploitent, faute de quoi une révocation de consentement reste lettre morte dans les traitements en aval.
L'explicabilité des modèles remonte jusqu'à la donnée source
L'AI Act pousse les banques et les assureurs à documenter non seulement leurs modèles, mais aussi les données qui les nourrissent : leur représentativité, leurs biais potentiels, leur fraîcheur. Cette exigence d'explicabilité ne se résout pas au niveau du modèle seul, elle suppose une gouvernance de la donnée en amont, avec des indicateurs de qualité mesurés et documentés à chaque étape du pipeline.
Le rôle d'une plateforme data moderne dans la tenue de ces obligations
Une Modern Data Stack bien conçue devient l'outil naturel pour répondre à ces exigences plutôt qu'un chantier de conformité séparé. Un catalogue de données centralisé permet de savoir ce qui existe et où. Un lignage automatisé, natif dans des outils comme dbt, documente le cheminement de chaque transformation. Un contrôle d'accès granulaire, appliqué au niveau de l'entrepôt Snowflake ou de la couche de restitution Power BI, garantit que seules les personnes habilitées accèdent aux données sensibles. Ces briques, une fois en place, transforment la conformité d'un exercice ponctuel et coûteux en une propriété structurelle de la plateforme.
En conclusion
Le cadre réglementaire européen ne va pas se simplifier dans les années à venir : chaque texte s'appuie sur les précédents et les obligations de traçabilité, de qualité et d'explicabilité des données ne feront que se renforcer. Les directions data qui s'en sortent le mieux sont celles qui ont choisi d'intégrer ces exigences directement dans l'architecture de leur plateforme plutôt que de les traiter en périphérie. HaskeData accompagne les banques et les assureurs dans cette démarche, du diagnostic de gouvernance jusqu'à la mise en place d'une Modern Data Stack conforme, avec catalogue, lignage et contrôle d'accès pensés dès la conception.