Cyberattaques dopées à l'IA : la BCE attend les plans des banques avant le 31 octobre

Les grandes banques de la zone euro ont jusqu'au 31 octobre pour remettre à la Banque centrale européenne (BCE) un plan d'action contre les cyberattaques facilitées par l'intelligence artificielle. Cette échéance a été fixée par une lettre envoyée le 7 juillet par Claudia Buch, présidente du conseil de surveillance prudentielle de la BCE, aux dirigeants des quelque 110 banques qu'elle supervise directement. Dans un article du 13 octobre, l'agence Reuters rapporte, sur la foi de six sources, que les régulateurs bancaires américains et européens multiplient en parallèle les questions sur l'usage de l'IA par les banques.

Ce que demande la BCE

La lettre part d'un constat : des modèles d'IA savent désormais trouver des vulnérabilités et produire rapidement des exploits qui fonctionnent, ce qui raccourcit le délai entre la découverte d'une faille et son exploitation. Selon Claudia Buch, ces évolutions accroissent « significativement » la vitesse et l'ampleur des risques. Chaque plan doit préciser les mesures, les moyens, les responsables et le calendrier. Selon une analyse du cabinet d'avocats A&O Shearman, les priorités de court terme portent sur la gestion des correctifs à grande échelle, la détection appuyée sur l'IA et le contrôle des prestataires. Toujours selon Reuters, les banques doivent aussi cartographier leurs usages de l'IA, y compris chez leurs fournisseurs, pour pouvoir arrêter et redémarrer leurs systèmes en sécurité.

La BCE ne crée pas de nouvelle règle : le règlement européen DORA sur la résilience opérationnelle numérique reste le cadre de référence. Pour dégager des moyens, elle repousse son questionnaire annuel sur le risque informatique de septembre 2026 à février 2027. Elle annonce aussi une communication à part sur la cryptographie post-quantique.

Washington et Londres posent leurs questions

Selon Reuters, la Réserve fédérale américaine et deux autres régulateurs bancaires interrogent les banques : utilisent-elles des technologies d'IA conçues en Chine ? Confient-elles leur cyberdéfense à des agents d'IA ? Quelles limites leur imposent-elles, et sauraient-elles les arrêter ? Interrogées par Reuters, les trois agences n'ont pas souhaité commenter. La Banque d'Angleterre et la BCE poussent quant à elles les banques à améliorer leurs plans de reprise après incident. Les superviseurs britanniques voudraient que les plus grands établissements étudient des systèmes de secours entièrement séparés de leur informatique principale, sans imposer pour l'instant de nouvelles règles.

Ce que toute entreprise peut en retenir

• Raccourcir les délais d'application des correctifs, à commencer par les équipements exposés à Internet.
• Recenser les usages de l'IA, y compris ceux des prestataires, et savoir comment arrêter un agent d'IA.
• Tester réellement la restauration depuis des sauvegardes isolées du système principal.
• Confier le pilotage du sujet à la direction générale, comme l'exige la BCE.