Nos derniers articles

L’intégration structurelle de l’IA au cœur des services financiers critiques impose de dépasser la simple conformité éthique de l'EU AI Act pour se concentrer sur la résilience opérationnelle exigée par DORA, dont les obligations s'appliquent bien avant celles de la réglementation sur l'IA. Les contrôles de continuité classiques sont inadaptés aux défaillances spécifiques de l’IA, telles que la dégradation silencieuse (grey failure), le non-déterminisme et la forte concentration systémique autour de rares fournisseurs de modèles. Pour y remédier, l’AI Resilience Framework (ARF) propose une méthode d'intégration unifiée : cartographier les dépendances aux services importants, piloter une matrice de criticité, instrumenter les tolérances face aux dérives, et garantir des doctrines de repli humain non fictionnelles. Face à ces risques probabilistes, les décideurs et architectes doivent unifier leurs registres de risques et adopter une approche Zero Trust pour assurer la survie de leurs services.

Malgré un contexte macroéconomique chahuté en 2025 (croissance à 0,8 %, protectionnisme), les banques françaises affichent une solide résilience structurelle avec des bénéfices en hausse. Cependant, la digitalisation accélérée et l'émergence de technologies de rupture (IA, informatique quantique) transforment le paysage des risques, exacerbant les cybermenaces et la contagion systémique. Parallèlement, l'exposition accrue au secteur technologique et l'interconnexion croissante avec la finance non bancaire renforcent les risques de propagation. Pour 2026, la vigilance s'impose sur les risques de bilan, la qualité du crédit et la sécurité post-quantique, sous le contrôle du superviseur.

L’IA Act de l’Union européenne marque le passage à une gouvernance structurée des systèmes d’IA, fondée sur trois principes : licéité, éthique et robustesse. Il impose des exigences de contrôle humain, transparence, gouvernance des données, sécurité, équité et responsabilité. Les obligations varient selon le niveau de risque, les systèmes à haut risque devant intégrer un système continu de gestion des risques, une documentation complète, une supervision humaine et des audits. À l’international, l’UE adopte une approche contraignante, tandis que le Canada, la Chine, les États-Unis, Singapour et le Royaume-Uni privilégient des modèles réglementaires différents. L’évaluation combine identification et analyse des risques techniques, éthiques, sociétaux et de cybersécurité, avec des méthodes comme l’analyse de scénarios et la méthode Delphi. Les référentiels NIST et ISO/IEC 42001-23894 fournissent un cadre opérationnel, complété par les approches AI TRiSM et ModelOps pour une surveillance continue.

La cartographie 2026 de l’AMF souligne un environnement financier plus instable, marqué par le resserrement monétaire, les tensions géopolitiques et une hausse des vulnérabilités. L’IA « frontière » accroît les risques opérationnels en facilitant les cyberattaques, tandis que l’informatique quantique menace les standards de chiffrement. DORA est présenté comme le principal cadre de résilience. La fraude financière s’industrialise grâce à l’IA, aux deepfakes et aux crypto-actifs. Malgré l’essor de l’IA chez les jeunes investisseurs, le conseil humain reste essentiel. Pour 2027, les risques cyber et de contagion devraient encore augmenter.

Le rapport de stabilité de l’EIOPA (juin 2026) souligne la solidité financière du secteur européen de l’assurance malgré un contexte marqué par les tensions géopolitiques, l’inflation et la volatilité des marchés. L’IA améliore l’efficacité opérationnelle mais crée de nouveaux risques : biais algorithmiques, dépendance à quelques fournisseurs technologiques et concentration systémique. Parallèlement, les modèles d’IA avancés renforcent les menaces cyber, compliquant l’évaluation des sinistres et pouvant accroître les besoins en capital. L’EIOPA prépare l’application coordonnée de l’IA Act et de Solvabilité II révisée afin de renforcer la résilience du secteur face à ces risques émergents.

Le rapport de l’EBA (juin 2026) considère désormais l’IA comme un risque systémique pour le secteur bancaire. Les modèles avancés accélèrent la découverte et l’exploitation de vulnérabilités, réduisant fortement les délais de réaction face aux cyberattaques. L’IA amplifie aussi les risques de fraude, de biais algorithmiques, d’atteinte à l’intégrité des données et d’incertitude réglementaire. L’EBA souligne deux vulnérabilités majeures : l’écart technologique entre institutions et la dépendance croissante à quelques fournisseurs TIC externes. Elle recommande d’intégrer pleinement le risque IA dans la résilience opérationnelle (DORA), de renforcer la gouvernance, les tests de sécurité automatisés et les capacités de reprise rapide.

Le rapport annuel 2025 de l’EIOPA présente les principales actions menées pour renforcer la résilience opérationnelle numérique du secteur financier européen dans le cadre du règlement DORA. En 2025, EIOPA, en coopération avec les autres ESAs, a finalisé la mise en place du cadre de supervision des prestataires tiers critiques de services TIC (CTPP). Les travaux ont porté sur la création des structures de gouvernance, des équipes conjointes de supervision, des méthodologies d’évaluation, des procédures opérationnelles et des outils informatiques nécessaires à l’exercice de cette surveillance. Dix-neuf prestataires critiques ont été désignés et les premières activités de supervision ont été engagées. Le rapport souligne également le renforcement de la coordination européenne en matière de gestion des cyberincidents et l’intégration de la résilience numérique parmi les priorités de supervision pour les années à venir.

Cet article, basé sur la documentation PCA de l'AMRAE pour 2026, présente la transition d’une conformité réglementaire vers une culture de résilience systémique. Il détaille l'intégration obligatoire des mécanismes de reprise (analyses d’impact métier, alignement des métriques RTO, RPO, DLO) au sein du cadre global de gestion des risques liés aux technologies de l'information et de la communication (TIC).
L'analyse met en évidence deux évolutions méthodologiques majeures préconisées par l'AMRAE : d'une part, le passage d'une logique de scénarios probabilistes à une approche déterministe axée sur l'indisponibilité des ressources (humaines, immobilières, techniques, tiers) ; d'autre part, l'évolution du RTO classique vers le RIO (Recovery of Integrity Objective), indispensable pour valider l'intégrité des données après une cyberattaque.
Enfin, la synthèse aborde la gouvernance des risques liés aux prestataires tiers (Cloud, APIs) afin de neutraliser les points de défaillance uniques (SPOF), et détaille la mise en œuvre de stratégies de continuité graduelles. Le texte conclut sur la nécessité d'une coordination globale et préparée à froid entre la gestion technique des incidents et le pilotage stratégique des crises.

Le rapport de consultation du Financial Stability Board (FSB) présente des pratiques de référence pour l’adoption responsable de l’intelligence artificielle dans les institutions financières. Il analyse les bénéfices opérationnels de l’IA ainsi que les risques associés en matière de gouvernance, qualité des données, explicabilité, performance et dépendances aux tiers. Une attention particulière est portée à la cybersécurité : augmentation des cyberattaques assistées par IA, deepfakes, empoisonnement de données, attaques par injection de prompts, exploitation automatisée de vulnérabilités et risques liés aux agents autonomes. Le rapport recommande des contrôles, une supervision humaine et une gestion renforcée des risques cyber et TIC.

Cet article, basé sur une prépublication qui propose un cadre de partage de risque cyber P2P entre entreprises interconnectées. Les auteurs distinguent un réseau d'attaque, générant la dépendance des pertes par contagion, d'un réseau de partage, allouant les charges réalisées. La perte de chaque sinistré est décomposée en attribution causale, rétention propre et mutualisation résiduelle.