La BCE interpelle les directions des grandes banques sur le risque IA-cyber
La Banque centrale européenne (BCE) a demandé mardi aux dirigeants des principaux établissements placés sous sa supervision de lui soumettre, d'ici au 31 octobre, des plans d'action visant à renforcer leur résilience face à une menace cyber accrue par les modèles d'intelligence artificielle. La demande, adressée aux 110 groupes bancaires supervisés directement par l'autorité, marque un durcissement du ton des régulateurs européens face aux évolutions technologiques.
Dans sa lettre, la présidente du conseil de surveillance prudentielle, Claudia Buch, juge que les modèles d'IA récents sont capables d'identifier des vulnérabilités et d'automatiser des outils d'attaque, ce qui modifie durablement le paysage des risques. L'alerte de la BCE intervient après l'annonce début avril par la start‑up américaine Anthropic de nouveaux modèles, événement que les autorités jugent révélateur d'un changement significatif dans la cybersécurité.
« une transformation durable du paysage des menaces et non un phénomène temporaire »
Le superviseur met l'accent sur la responsabilité des instances dirigeantes : la direction générale et les conseils d'administration doivent porter ces travaux au plus haut niveau, selon la lettre. Parmi les attentes figurent des mesures immédiates et des actions à plus long terme pour protéger les systèmes exposés, sécuriser les logiciels tiers et open source, accélérer les correctifs et améliorer les capacités de surveillance.
Conséquences pratiques pour les banques
Concrètement, la BCE exige que les établissements :
- priorisent la sécurisation des systèmes accessibles depuis Internet et des actifs technologiques les plus vulnérables ;
- renforcent la sécurité des composants fournis par des tiers et des éléments open source ;
- modernisent les infra-structures informatiques vieillissantes et améliorent l'hygiène numérique ;
- fortifient les plans de gestion de crise, de reprise et les mécanismes de partage d'information.
La Banque centrale souligne que si, à terme, les modèles dits « frontier » pourraient améliorer la sécurité, ils offrent actuellement une capacité accrue aux acteurs malveillants pour identifier des failles et déployer des attaques plus rapides et sophistiquées. Cette mise en garde est corroborée par le Comité européen du risque systémique (CERS), qui a relevé le caractère potentiellement systémique des risques cyber liés aux IA de pointe.
| Élément | Valeur |
|---|---|
| Nombre d'établissements concernés | 110 |
| Date limite de soumission | 31 octobre |
| Exemples de banques citées | Deutsche Bank, BNP Paribas, Santander |
Pour les banques françaises — grandes banques de réseau et filiales de groupes internationaux — la lettre de la BCE impose un calendrier et une priorisation qui pèseront sur les programmes informatiques et sur les budgets de sécurité. Les établissements devront arbitrer entre corrections urgentes, investissement dans la modernisation des infrastructures et renforcement des dispositifs de gouvernance et de crise, sous le regard du superviseur européen.
Au-delà de l'effort technique, la démarche vise à réduire un risque qui, s'il se matérialisait à grande échelle, pourrait éroder la confiance dans le système financier et perturber les paiements. La BCE mise ainsi sur une combinaison de mesures opérationnelles et de gouvernance pour limiter l'extension d'un risque cyber qui, selon les autorités, a gagné en vitesse et en ampleur avec l'arrivée de nouveaux modèles d'intelligence artificielle.
