Analyse de la position des autorités de surveillance européennes (ESAs)

Source : ESAs' statement toward a consistent and risk-based approach for ICT risks from frontier AI models. 

Sommaire : Un communiqué des Autorités de surveillance européennes (ESAs) alerte sur l'impact des modèles d'IA de pointe dans le secteur financier. En automatisant l'exploitation des failles zero-day, l'IA accélère les cyberrisques et crée une asymétrie tactique en faveur des attaquants, menaçant la stabilité systémique.
Pour y faire face, la réglementation combine DORA et l'AI Act. Les entités financières doivent adapter leur stratégie selon un triptyque opérationnel (prévention zero-trust, détection continue, gestion des défaillances en cascade) tout en renforçant la gouvernance, l'expertise et la surveillance de leur chaîne d'approvisionnement d'ici 2027.

1. Introduction : L'accélération des cyber-risques par l'IA de pointe

Le communiqué publié le 31 juillet 2026 par les Autorités de surveillance européennes (ESA) souligne une transformation critique du paysage des menaces ICT. L'émergence des modèles d'IA de pointe (frontier AI models) modifie la nature même du cyberrisque en automatisant la découverte et l'exploitation de vulnérabilités, notamment les failles de type « zero-day », à une vitesse dépassant les capacités de réponse humaine conventionnelle.

Ces technologies permettent aux acteurs malveillants de cibler spécifiquement les infrastructures partagées et d'exploiter des points de défaillance uniques traversant plusieurs entités financières. Cette capacité d'analyse des failles architecturales génère un risque systémique majeur, où une seule offensive peut déclencher des défaillances en cascade au sein de l'écosystème financier européen, impactant potentiellement l'économie réelle.

L'asymétrie actuelle favorise les attaquants, capables d'opérer à la « vitesse de la machine », tandis que les défenseurs restent contraints par des protocoles d'assurance qualité et des processus de validation rigoureux. Face à ce basculement, les ESA imposent un renforcement immédiat de la résilience opérationnelle pour compenser cet avantage tactique des cyber-adversaires.

2. Le cadre réglementaire : Convergence entre DORA et l'AI Act

La position des autorités repose sur la complémentarité de deux piliers législatifs, tout en réaffirmant le principe de neutralité technologique. La conformité ne doit pas être perçue comme une liste de contrôle statique, mais comme une adaptation dynamique aux capacités de l'IA.

• Le Règlement DORA (Digital Operational Resilience Act) :
  • Sert de socle pour la gestion des risques ICT, les tests de résilience, la gestion des incidents et la surveillance des risques liés aux tiers.
  • Exige le maintien de la résilience indépendamment de la technologie employée (neutralité technologique).
• L'AI Act (Règlement sur l'IA) :
  • Introduit des obligations spécifiques pour les modèles d'IA à usage général présentant un risque systémique.
  • Impose aux fournisseurs une transparence accrue et la fourniture d'une documentation technique exhaustive incluant les aspects de cybersécurité.
• Proportionnalité (Art. 4 de DORA) :
  • La mise en œuvre des mesures de mitigation doit être strictement proportionnée à la taille de l'entité, à son profil de risque global, ainsi qu'à la nature, l'interconnexion, l'échelle et la complexité de ses services.

3. Stratégies de mitigation : Un triptyque opérationnel

Pour faire face à des menaces évoluant en temps réel, les entités financières doivent restructurer leurs contrôles autour de trois axes stratégiques issus de l'Annexe du communiqué des ESA.

4. Gouvernance et Responsabilité de l'Organe de Direction

Vous devez positionner la gestion des risques IA comme un enjeu stratégique de direction et non comme un simple ajustement technique. L'autorité de surveillance attend une implication directe de l'organe de direction.

• Évoluez vers une décision continue : Vous devez faire passer votre organe de direction d'une surveillance périodique à un engagement continu. La cybersécurité doit être intégrée au cœur de chaque décision stratégique concernant l'architecture IT.
• Réviser le Risk Appetite Framework (RAF) : Il est impératif d'incorporer des métriques spécifiques et des seuils de tolérance liés à l'IA. Votre cadre doit couvrir à la fois l'utilisation interne de ces modèles et l'exposition indirecte via vos prestataires et partenaires.
• Investir dans l'expertise interne : Allouez des ressources dédiées pour renforcer la maturité cyber. La sophistication des menaces exige des investissements ciblés dans l'automatisation des contrôles et la formation spécialisée.
• Garantir l'imputabilité : Assurez-vous que les structures de gouvernance permettent une reddition de comptes claire, capable de suivre le rythme des risques émergents. L'accès aux permissions doit notamment évoluer vers des modèles de type « Just-in-Time » (JIT) pour limiter la surface d'attaque.

5. Perspectives de surveillance : Vers 2027

Les ESA, en leur qualité de superviseurs principaux, ont intensifié leurs engagements auprès des prestataires tiers critiques (CTPP) pour évaluer leur préparation face à l'IA. Ces travaux sont d'ores et déjà intégrés dans le cycle annuel d'évaluation des risques et dans la définition du plan de surveillance 2027. L'intégration des risques liés à l'IA dans la méthodologie d'examen de surveillance (Oversight Examination Methodology) garantira qu'en 2027, la résilience des CTPP sera auditée selon des scénarios de menaces augmentées, assurant ainsi la stabilité de la chaîne d'approvisionnement numérique du secteur financier.