Le règlement FiDA (Financial Data Access)

DEFINITION ET CONTEXTE DE FIDA

Le règlement FIDA (Financial Data Access), proposé par la Commission européenne le 28 juin 2023, vise à instaurer un cadre harmonisé pour l’accès, le partage et l’utilisation des données financières des consommateurs et des entreprises au sein de l’Union européenne.

Selon son article 1er, le règlement fixe les règles relatives à l’accès, au partage et à l’utilisation de certaines catégories de données client dans les services financiers, ainsi que les conditions d’agrément et de fonctionnement des prestataires de services d’information financière (FISP).

Son objectif est double : promouvoir des services financiers fondés sur la donnée et faciliter l’essor de l’Open Finance, en permettant aux consommateurs et aux entreprises d’autoriser des tiers (utilisateurs de données) à accéder à leurs données financières, sous réserve de leur consentement.

En ce sens, FIDA prolonge et élargit la logique d’ouverture des données amorcée par la DSP2, qui était circonscrite aux comptes de paiement, à l’ensemble des données financières pertinentes ; c’est- à-dire épargne, crédit, investissement et assurance.

Le règlement complète par ailleurs, sur un plan sectoriel, le Data Act européen (Règlement UE 2023/2854). Là où ce dernier fixe un cadre horizontal applicable à l’économie de la donnée dans son ensemble, FIDA constitue le cadre spécifique au secteur financier, avec ses propres catégories de données, ses propres acteurs et ses propres modalités de gouvernance.

LES ACTEURS ET LE FONCTIONNEMENT DU DISPOSITIF FIDA

Le dispositif FIDA repose sur une architecture à trois niveaux d’acteurs, complétée par une infrastructure de gouvernance dédiée.

• Les détenteurs de données (data holders) : banques, assureurs, établissements de crédit, entreprises d’investissement, agences de notation de crédit ou encore prestataires de services sur crypto-actifs. Ce sont les entités tenues, sur demande du client, de mettre à disposition les données qu’elles détiennent.
• Les utilisateurs de données (data users) : autres institutions financières, mais aussi une nouvelle catégorie d’acteurs créée par le règlement, les prestataires de services d’information financière (Financial Information Service Providers). Doivent quant à elles obtenir un agrément spécifique pour consolider ces données et proposer des services à valeur ajoutée.
• Le client (consommateur ou entreprise), qui reste maître de ses informations. Il doit donner un consentement explicite avant tout partage et dispose d’un tableau de bord centralisé lui permettant de visualiser les autorisations accordées, de les révoquer à tout moment et de consulter l’historique des accès effectués par les tiers.

Sur le plan technique, le partage des données doit s’effectuer de manière immédiate, continue et en temps réel, via des interfaces de programmation (API) standardisées. La gouvernance de cet écosystème est confiée à des schémas de partage de données financières (Financial Data Sharing Schemes, FDSS). Ces organismes, réunissant détenteurs et utilisateurs de données, définissent les standards techniques communs, les règles de responsabilité ainsi que les modalités de compensation financière versée aux détenteurs de données.

LES ENJEUX DU REGLEMENT FIDA

Un enjeu de diffusion et de partage de la donnée

FIDA constitue avant tout un changement de paradigme dans la gestion de la donnée client. Les détenteurs de données (banques, assureurs, établissements de crédit) ne pourront plus la conserver de manière exclusive. En effet, ils devront la partager, sur demande du client, avec des utilisateurs de données agréés, et ce, au-delà du seul périmètre des comptes courants et des transactions, afin de couvrir l’ensemble des données financières (épargne, retraite, assurance, investissement, crédit).

Pour les institutions financières, l’enjeu dépasse la seule contrainte technique. En effet, la donnée client, qui constituait jusqu’ici un actif propriétaire et un levier de fidélisation, devient un bien partagé sur simple demande du client. C’est une véritable bascule de modèle économique.

Cette évolution présente néanmoins des contreparties pour chacun des acteurs concernés :

• Pour le consommateur : une meilleure interopérabilité des données financières, un accès simplifié, une plus grande fiabilité des informations et une conformité réglementaire facilitée. Le client peut ainsi comparer les offres sur la base de ses données réelles, sans avoir à les ressaisir à chaque changement de fournisseur.
• Pour les détenteurs de données : la possibilité de percevoir une compensation financière raisonnable en contrepartie de la mise à disposition des données, qui devient alors un actif monétisable, dans un cadre encadré.

Pour l’innovation et la concurrence : un accès facilité aux données ouvre le marché à de nouveaux entrants et lève le verrou que constituait l’avantage informationnel des acteurs historiques. FIDA favorise ainsi la collaboration entre l’ensemble des acteurs de la chaîne de valeur, notamment en assurance, en permettant une ouverture réciproque des offres et des données à des services tiers. Les consommateurs pourront, quant à eux, regrouper leurs contrats afin de bénéficier de services à plus forte valeur ajoutée, tout en réduisant leurs coûts.

Un enjeu de continuité avec la DSP2

FIDA s’inscrit dans la continuité de la DSP23, qui a joué un rôle de tremplin pour l’Open Banking. Son objectif principal est précisément d’étendre la logique d’ouverture des données amorcée par la DSP2 au-delà des seuls comptes de paiement, pour englober l’ensemble des données financières pertinentes : c’est le passage de l’Open Banking à l’Open Finance.

Articulation avec les autres textes européens

FIDA ne s’applique pas de manière isolée : il s’inscrit dans un paysage réglementaire européen déjà dense, avec lequel il doit s’articuler.

• RGPD : le règlement FIDA ne déroge pas au Règlement Général sur la Protection des Données. Le consentement du client, pierre angulaire du dispositif, doit être distinct, explicite et révocable à tout moment, en cohérence avec les exigences du RGPD. Les deux textes se superposent donc sur le terrain du consentement et des droits de la personne concernée, ce qui impose une vigilance particulière sur l’articulation des bases légales de traitement.
• DORA (Digital Operational Resilience Act) : dans la mesure où FIDA impose un partage de données en temps réel via des API standardisées, la résilience opérationnelle numérique des infrastructures concernées devient centrale. Les exigences de DORA en matière de gestion des risques liés aux technologies de l’information et de la communication, de tests de résilience et de supervision des prestataires tiers critiques s’appliquent pleinement aux flux mis en place dans le cadre de FIDA.
• Data Act : FIDA constitue la déclinaison sectorielle, pour la finance, des principes horizontaux posés par le Data Act en matière d’accès et de partage de la donnée. Les deux textes doivent en principe rester complémentaires plutôt que redondants, le Data Act s’appliquant par défaut lorsqu’aucune règle sectorielle plus spécifique ne prévaut.
• DSP2 / DSP3 : les négociations en cours visent également à assurer une cohérence entre FIDA et le paquet DSP3 / PSR (règlement sur les services de paiement), en particulier sur les exigences d’authentification forte du client, afin d’éviter la coexistence de plusieurs standards techniques concurrents.

Pour les fonctions risques, conformité et audit interne des établissements financiers, cette superposition de textes constitue un enjeu de cartographie réglementaire. Il s’agit d’identifier, pour chaque flux de données, quel texte prévaut et quelles obligations se cumulent, notamment en matière de sécurité, de gouvernance et de documentation des traitements.

Calendrier et état d’avancement des négociations

Le texte, présenté par la Commission européenne le 28 juin 2023, est entré dans sa phase de trilogue entre la Commission, le Parlement et le Conseil à partir d’avril 2025. Depuis, les présidences successives du Conseil de l’Union européenne (polonaise, puis danoise à compter de juillet 2025, aujourd’hui chypriote pour le premier semestre 2026) se sont succédé pour faire avancer les négociations.

Plusieurs sujets ont concentré les discussions :

• L’exclusion des grandes entreprises du périmètre des clients concernés
• La limitation de l’historique des données partageables
• Les délais de mise en œuvre après publication (les positions allant de 18 à 30 mois selon les États membres)
• La question sensible de l’éligibilité des grands acteurs technologiques non européens au statut de FISP.

Sur ce dernier point, la Commission a proposé d’exclure du dispositif les entités qualifiées de contrôleurs d’accès (gatekeepers) au sens du Digital Markets Act4, une mesure largement soutenue mais dont les modalités pratiques de mise en œuvre restent débattues.

À ce stade, l’adoption définitive du règlement, initialement espérée fin 2025, est désormais attendue pour la fin de l’année 2026, voire le début de l’année 2027. Une fois le texte adopté par le Parlement et le Conseil puis publié au Journal officiel de l’Union européenne, son application devrait être progressive. Les acteurs du marché anticipent une entrée en application par phases entre 2027 et 2030 selon les secteurs, avec une application pleine et entière attendue 24 mois après l’entrée en vigueur du texte.

Le secteur de l’assurance, en particulier, reste le plus critique à l’égard du texte. Certaines fédérations professionnelles mettant en avant le risque que l’ouverture des données ne fragilise le principe de mutualisation des risques sur lequel repose leur modèle économique.

LA DEPENDANCE AUX BIG TECH AMERICAINS

Le traitement de la donnée

Avant même tout débat sur FIDA, la majorité des données bancaires et assurantielles européennes transitent ou sont stockées sur des infrastructures AWS, Microsoft Azure ou Google Cloud — les trois hyperscalers américains contrôlant environ 65 à 70 % d’un marché européen du cloud évalué à environ 110 milliards d’euros en 2024, soit deux fois et demie moins que le marché américain.

Cette dépendance n’est pas théorique : Société Générale a par exemple annoncé un partenariat stratégique avec Google Cloud, et NatWest, l’une des plus grandes banques du Royaume-Uni. Elle s’appuie sur la machine learning et l’analytique de données AWS pour personnaliser ses interactions avec plus de 20 millions de clients.

Les grandes banques ont ainsi externalisé leurs datalake, voire leurs moteurs de scoring, vers ces plateformes pour des raisons de coût et de performance. Alors que les fournisseurs européens (SAP, Deutsche Telekom, OVH) ne pèsent qu’environ 2 % de part de marché chacun.

Une décision de la Cour suprême des États-Unis du 29 juin 2026 (affaire Trump v. Slaughter), qui fragilise l’indépendance de la Federal Trade Commission, ajoute une nouvelle incertitude juridique sur la solidité du cadre transatlantique de protection des données déjà hébergées chez ces prestataires.

Le point de contact avec le client

Apple Pay, Google Pay et les wallets se sont positionnés entre la banque et son client au moment même de la transaction — l’instant le plus riche en données comportementales. Cette désintermédiation s’est faite sans cadre réglementaire dédié, simplement parce que ces acteurs disposaient déjà d’une base installée massive (systèmes d’exploitation mobiles quasi monopolistiques) et d’une expérience utilisateur perçue comme supérieure.

Les chiffres confirment l’ampleur du basculement : en Europe, Apple Pay est utilisé par environ 32 % des utilisateurs de paiement mobile et Google Pay par environ 24 %, ces deux acteurs dominants très largement un marché où l’authentification biométrique (Face ID, Touch ID) est devenue le nouveau standard de confiance, au détriment des dispositifs d’authentification propriétaires des banques elles-mêmes.

Les banques ont ainsi perdu, à cette étape du parcours client, une partie du contrôle sur la donnée de paiement elle-même, bien avant tout débat sur l’ouverture des données financières, et sans qu’aucun texte comme FIDA n’ait eu à être voté pour que ce transfert de facto ait lieu.

Le traitement par l’intelligence artificielle

Les données financières sont désormais le carburant de l’IA, des systèmes à agents, de la tarification dynamique et de la détection de fraude — or le marché européen de l’IA générative reste dominé par OpenAI, Microsoft, Amazon et Google.

Une banque ou un assureur européen qui veut déployer un cas d’usage IA sur ses propres données clients doit très souvent passer par des modèles et une infrastructure américaine, faute d’alternative équivalente en Europe à la même maturité. La donnée reste en théorie chez la banque, mais le traitement à forte valeur ajoutée qui en tire la décision se fait via des briques technologiques non européennes, ce qui pose une question de souveraineté décisionnelle et pas seulement de souveraineté du stockage.

Une régulation autonome en l’absence de cadre européen

En l’absence de règles communes sur le partage de la donnée financière, ce sont les conditions générales d’utilisation des plateformes américaines et leurs standards techniques propriétaires qui font aujourd’hui office de cadre de fait.

Ce constat commence néanmoins à susciter une réaction politique concrète : en avril 2026, la Commission européenne a attribué un marché-cadre de 180 millions d’euros sur six ans à quatre consortiums européens de cloud souverain (Post Telecom/OVHcloud, STACKIT, Scaleway, Proximus), mettant fin à la domination quasi totale d’AWS, Azure et Google Cloud sur les contrats des institutions européennes elles-mêmes, dont la BCE.

Reste, selon l’association patronale du cloud européen CISPE, le véritable test à venir : étendre ce modèle aux secteurs privés régulés comme la banque et l’assurance, où l’inertie demeure considérable — un défi que FIDA devra relever s’il veut inverser cette dynamique plutôt que l’entériner.

Un verrouillage technologique qui rend la dépendance coûteuse à défaire

Le choix initial d’un hyperscaler américain n’est pas neutre dans la durée : la migration d’un data lake bancaire ou d’un moteur de scoring d’un cloud à un autre implique des coûts de sortie (egress fees), une refonte des intégrations logicielles et une perte temporaire de performance, ce qui dissuade en pratique les institutions financières de revenir en arrière une fois engagées.

Face à cette critique, Microsoft, Google et AWS ont chacun développé des offres dites de « cloud souverain » ou « de confiance » — le Cloud de Confiance de Microsoft avec Orange Business et Capgemini, le Trusted Cloud de Google avec Thales en France.

Mais ces montages restent débattus : dès lors que la technologie sous-jacente et l’éditeur restent américains, l’assujettissement au Cloud Act américain demeure, quelle que soit la localisation physique des données ou la nationalité de l’opérateur qui en détient les clés de chiffrement.

Pour un établissement financier européen, cela signifie que la seule option offrant une garantie de souveraineté pleine et entière reste, à ce stade, un fournisseur qualifié SecNumCloud par l’ANSSI (OVHcloud, Outscale), un segment de marché encore embryonnaire face aux hyperscalers.

Le règlement reste un texte en négociation

La position dominante côté européen reste celle décrite en septembre 2025 : la Commission, le Parlement européen, l’Allemagne et la France soutiennent l’exclusion des gatekeepers désignés au titre du Digital Markets Act — l’UE a désigné cinq entreprises américaines (Alphabet, Amazon, Apple, Meta, Microsoft) et une chinoise (ByteDance) comme gatekeepers. Concrètement, ces acteurs ne pourraient pas obtenir la licence FISP5 nécessaire pour devenir utilisateurs de données financières. France Assureurs a explicitement soutenu cette proposition, la comparant à la logique déjà retenue dans le Data Act pour restreindre l’accès des gatekeepers aux données d’objets connectés.

Un article de référence sur FIDA (financial-data-access.com, février 2026) souligne que les gatekeepers ne sont pas entièrement exclus de l’accès à la donnée : ils ne pourront simplement pas s’appuyer sur les droits FIDA pour étendre leur pouvoir de marché. Ce même article distingue deux scénarios encore ouverts pour l’issue des négociations en 2026 : un « FiDA souple », avec une éligibilité plus large des FISP incluant de grandes entreprises non-UE, et un « FiDA strict », avec des garde-fous de souveraineté plus contraignants. Lequel des deux prévaudra n’est pas encore tranché.

SYNTHESE SUR LE REGLEMENT FIDA

Pourquoi FIDA est un tournant

Contrairement à la DSP2, FIDA ne vise plus uniquement les services de paiement mais l’ensemble des données financières. Il modifie durablement les règles de concurrence en facilitant l’émergence de nouveaux services reposant sur la circulation de la donnée. 

Impacts opérationnels

Les principaux chantiers concerneront la gouvernance des données, la standardisation des API, la gestion des consentements, la cybersécurité, les relations avec les FISP et l’adaptation des processus de conformité. 

Points de vigilance

La réussite de FIDA dépendra largement des Financial Data Sharing Schemes (FDSS), qui définiront les standards techniques, les mécanismes de compensation et les responsabilités entre acteurs. 

Conclusion

FIDA doit être analysé comme un projet de transformation stratégique et non comme une simple évolution réglementaire. Les établissements qui sauront exploiter cette ouverture de la donnée pour développer de nouveaux services renforceront leur avantage concurrentiel ; ceux qui se limiteront à une mise en conformité risquent de subir cette évolution.