Les banques sommées par les régulateurs de se préparer aux cyberattaques IA
Les banques centrales s’inquiètent du rôle de plus en plus important joué par l’IA et les agents dans la gestion des établissements financiers. Des cyberattaques dopées à l’IA pourraient faire tanguer des services bancaires critiques et fragiliser les marchés financiers.
Les principales banques centrales du monde, dont la Banque centrale européenne (BCE), la Banque d’Angleterre et la Réserve fédérale américaine (Fed), exigent des banques qu’elles renforcent leur protection contre les cyberattaques exploitant l’intelligence artificielle (IA). Selon des informations de Reuters, ces régulateurs ont donné jusqu’à fin octobre 2026 aux établissements financiers européens pour présenter des plans détaillés de résistance. L’objectif est de limiter les risques de perturbations majeures dans le système bancaire, où l’IA pourrait rendre les attaques plus rapides et difficiles à contrer. Les régulateurs craignent notamment que des agents IA, parfois autonomes ou mal supervisés, ne fragilisent les dispositifs de sécurité existants. Cette initiative s’inscrit dans un contexte où les banques adoptent l’IA sans toujours mettre en place les contrôles nécessaires, augmentant ainsi leur vulnérabilité.
La BCE impose aux banques européennes de se doter de plans de crise pour faire face aux cyberattaques liées à l’IA. Ces plans doivent inclure la capacité de désactiver puis de redémarrer leurs systèmes de manière contrôlée, ainsi que l’amélioration des dispositifs de sauvegarde et de reprise d’activité après un incident. Les banques devront également cartographier leurs prestataires tiers pour identifier les dépendances stratégiques, c’est-à-dire les services externes critiques dont elles dépendent. La BCE souligne que la capacité à se rétablir rapidement après une attaque est aussi importante que la prévention elle-même. Ces mesures visent à garantir que les services essentiels, comme les paiements ou les retraits, puissent être rétablis en cas de crise, limitant ainsi l’impact sur les clients et l’économie.
La Banque d’Angleterre, régulateur britannique, a demandé aux grandes banques du pays d’examiner et de renforcer leurs plans de reprise après une cyberattaque. Elle exige notamment la mise en place de systèmes de secours indépendants, capables de redémarrer même si les systèmes principaux sont compromis. Les banques sont également encouragées à utiliser des outils d’IA avancée pour repérer les vulnérabilités de leurs infrastructures et accélérer le développement de correctifs, c’est-à-dire des mises à jour logicielles destinées à combler les failles de sécurité. Contrairement à la BCE, la Banque d’Angleterre ne souhaite pas imposer de nouvelles règles techniques strictes. Elle privilégie plutôt la collaboration entre les acteurs du secteur pour améliorer la résilience collective face aux cybermenaces.
La Réserve fédérale américaine (Fed) a demandé aux banques des États-Unis de fournir des informations détaillées sur leur utilisation de l’IA. Les établissements financiers doivent notamment déclarer leur recours aux modèles d’IA, y compris ceux développés en Chine, ainsi que l’utilisation d’agents IA dans la sécurité de leurs systèmes. Ils doivent aussi préciser les limites imposées à ces agents et leur capacité à surveiller des systèmes de plus en plus autonomes. La Fed ne formule pas encore d’exigences techniques précises, mais elle souhaite obtenir une vision claire des risques liés à l’IA dans le secteur bancaire. Cette approche vise à évaluer les vulnérabilités potentielles avant d’imposer des règles plus strictes, le cas échéant.
Les régulateurs financiers s’inquiètent de l’impact de l’IA sur la cybercriminalité. Les attaques informatiques pourraient devenir plus rapides, plus sophistiquées et plus difficiles à détecter grâce à des outils basés sur l’IA. Par exemple, des agents IA (programmes autonomes capables d’agir sans intervention humaine) pourraient exploiter des failles de sécurité ou perturber des infrastructures critiques. Les banques, en adoptant l’IA pour automatiser leurs processus, prennent le risque d’introduire de nouvelles vulnérabilités si les garde-fous ne sont pas suffisants. Les régulateurs craignent que ces failles ne mènent à des catastrophes, comme des pannes généralisées ou des fuites de données massives. Pour éviter cela, ils insistent sur la nécessité de renforcer les contrôles et les plans de reprise, malgré les coûts supplémentaires que cela implique.
Les entreprises développant des modèles d’IA, comme OpenAI et Anthropic, ont récemment tiré la sonnette d’alarme sur les dangers potentiels de leurs propres technologies. Ces alertes, bien que parfois perçues comme stratégiques pour valoriser leurs entreprises, s’appuient sur des exemples concrets d’attaques menées par des agents IA contre des infrastructures et des sites web. Ces incidents montrent que l’IA peut être utilisée à la fois pour renforcer la sécurité et pour la compromettre. Les régulateurs financiers s’appuient sur ces mises en garde pour justifier l’urgence de renforcer les protections dans le secteur bancaire. L’objectif est d’anticiper les risques avant qu’ils ne se matérialisent, tout en reconnaissant que l’IA reste un outil ambivalent, dont les bénéfices et les dangers doivent être soigneusement équilibrés.
