Nos derniers articles

Face au risque cyber systémique, ce cadre macroprudentiel dépasse la simple approche microprudentielle centrée sur la résilience individuelle (ex. DORA) en modélisant la topologie globale du réseau financier. Il repose sur quatre piliers : une cartographie des dépendances (Cyber Map), des stress tests dynamiques, des objectifs de résilience fondés sur les moments pour mieux capturer les risques de queue, et des mesures d'atténuation structurelles. L'étude met en lumière un paradoxe majeur : la redondance (backups) visant à se protéger des pannes accroît la connectivité globale et aggrave la propagation des malwares. La régulation doit donc arbitrer entre fragmentation et redondance selon la menace.

L’intégration de l’IA dans les institutions financières impose de passer d’une gestion du « modèle isolé » à celle du système d’exploitation métier activé par l’IA. Le risque de système opérationnel unifie les cadres existants (COSO, NIST, Bâle, OCDE) pour évaluer la résilience globale des processus, données, algorithmes et révisions humaines.
Ce cadre traite notamment du paradoxe wrong-but-running (dysfonctionnement silencieux), où l’IA produit des résultats incorrects sans panne technique visible. Face à cette défaillance silencieuse et à la dépendance aux tiers, la gouvernance doit intégrer des protocoles d'urgence (interruption et reprise) et des KRI ciblés pour préserver la confiance et la résilience institutionnelle.

Un communiqué des Autorités de surveillance européennes (ESAs) alerte sur l'impact des modèles d'IA de pointe dans le secteur financier. En automatisant l'exploitation des failles zero-day, l'IA accélère les cyberrisques et crée une asymétrie tactique en faveur des attaquants, menaçant la stabilité systémique.
Pour y faire face, la réglementation combine DORA et l'AI Act. Les entités financières doivent adapter leur stratégie selon un triptyque opérationnel (prévention zero-trust, détection continue, gestion des défaillances en cascade) tout en renforçant la gouvernance, l'expertise et la surveillance de leur chaîne d'approvisionnement d'ici 2027.

Le secteur européen de l'assurance conserve une résilience globale avec un niveau de risque maintenu à « médium », porté par une solide solvabilité (groupes à 210 %) et la haute qualité de ses fonds propres (86 % en Tier 1).
Toutefois, le risque lié à la numérisation et aux menaces cyber a été relevé à « Élevé » en raison de l'IA de pointe, de la complexité de la souscription cyber et de la hausse des attaques. L'environnement macroéconomique s'assombrit sous l'effet d'une croissance atone (1,0 %) et d'une inflation en hausse (2,9 %), imposant une vigilance accrue à long terme.

Cet article analyse l'impact pour les gestionnaires de risques du Règlement (UE) 2026/1744 (« Paquet Omnibus » numérique). Ce texte révise le Règlement sur l'IA (UE) 2024/1689 pour en simplifier le déploiement face aux retards techniques et administratifs, sans réduire les exigences de sécurité. Il redéfinit la notion de composant de sécurité, assouplit l'obligation de maîtrise de l'IA et permet exceptionnellement le traitement de données sensibles pour corriger les biais. Le texte reporte également les échéances pour l'IA à haut risque à 2027 et 2028, interdit les contenus intimes non consentis et accroît les pouvoirs de contrôle du Bureau de l'IA.

Ce cadre de stress-testing actuariel modélise l'impact financier des pannes Cloud pour l'assurance cyber, un risque d'accumulation majeur identifié par l'EIOPA. La chrono-modélisation décompose la perte selon la durée de la panne (T), le délai de réaction (U) et la phase de rétablissement (V), lissée par l'efficacité du plan de secours. Le modèle distingue un régime standard (mutualisation de Markowitz sous indépendance conditionnelle) d'un régime de stress (panne simultanée d'un fournisseur) où la mutualisation s'effondre, tout en appliquant une approximation gaussienne justifiée par le caractère light-tailed des risques plafonnés. Pour éviter le « piège de rentabilité » incitant à sur-exposer le portefeuille aux fournisseurs risqués, un critère d'optimisation pénalise la concentration, la solvabilité étant mesurée par la VaR et la CTE. Enfin, l'analyse met en évidence le paradoxe des pannes de durée moyenne plus coûteuses et préconise de proscrire la monoculture Cloud, de diversifier les secteurs et de privilégier la capacité de rétablissement à la rentabilité immédiate.

L’intégration structurelle de l’IA au cœur des services financiers critiques impose de dépasser la simple conformité éthique de l'EU AI Act pour se concentrer sur la résilience opérationnelle exigée par DORA, dont les obligations s'appliquent bien avant celles de la réglementation sur l'IA. Les contrôles de continuité classiques sont inadaptés aux défaillances spécifiques de l’IA, telles que la dégradation silencieuse (grey failure), le non-déterminisme et la forte concentration systémique autour de rares fournisseurs de modèles. Pour y remédier, l’AI Resilience Framework (ARF) propose une méthode d'intégration unifiée : cartographier les dépendances aux services importants, piloter une matrice de criticité, instrumenter les tolérances face aux dérives, et garantir des doctrines de repli humain non fictionnelles. Face à ces risques probabilistes, les décideurs et architectes doivent unifier leurs registres de risques et adopter une approche Zero Trust pour assurer la survie de leurs services.

Malgré un contexte macroéconomique chahuté en 2025 (croissance à 0,8 %, protectionnisme), les banques françaises affichent une solide résilience structurelle avec des bénéfices en hausse. Cependant, la digitalisation accélérée et l'émergence de technologies de rupture (IA, informatique quantique) transforment le paysage des risques, exacerbant les cybermenaces et la contagion systémique. Parallèlement, l'exposition accrue au secteur technologique et l'interconnexion croissante avec la finance non bancaire renforcent les risques de propagation. Pour 2026, la vigilance s'impose sur les risques de bilan, la qualité du crédit et la sécurité post-quantique, sous le contrôle du superviseur.

L’IA Act de l’Union européenne marque le passage à une gouvernance structurée des systèmes d’IA, fondée sur trois principes : licéité, éthique et robustesse. Il impose des exigences de contrôle humain, transparence, gouvernance des données, sécurité, équité et responsabilité. Les obligations varient selon le niveau de risque, les systèmes à haut risque devant intégrer un système continu de gestion des risques, une documentation complète, une supervision humaine et des audits. À l’international, l’UE adopte une approche contraignante, tandis que le Canada, la Chine, les États-Unis, Singapour et le Royaume-Uni privilégient des modèles réglementaires différents. L’évaluation combine identification et analyse des risques techniques, éthiques, sociétaux et de cybersécurité, avec des méthodes comme l’analyse de scénarios et la méthode Delphi. Les référentiels NIST et ISO/IEC 42001-23894 fournissent un cadre opérationnel, complété par les approches AI TRiSM et ModelOps pour une surveillance continue.

La cartographie 2026 de l’AMF souligne un environnement financier plus instable, marqué par le resserrement monétaire, les tensions géopolitiques et une hausse des vulnérabilités. L’IA « frontière » accroît les risques opérationnels en facilitant les cyberattaques, tandis que l’informatique quantique menace les standards de chiffrement. DORA est présenté comme le principal cadre de résilience. La fraude financière s’industrialise grâce à l’IA, aux deepfakes et aux crypto-actifs. Malgré l’essor de l’IA chez les jeunes investisseurs, le conseil humain reste essentiel. Pour 2027, les risques cyber et de contagion devraient encore augmenter.