La BCE donne quatre mois aux banques de la zone euro pour contrer les risques d'IA

La Banque centrale européenne a donné aux banques de la zone euro quatre mois pour élaborer des plans visant à contrer les cybermenaces rendues possibles par l'intelligence artificielle (IA) et susceptibles d'éroder la confiance dans le système financier et de perturber les réseaux de paiement.

La directive, publiée mardi, reflète l'inquiétude croissante des régulateurs européens face aux capacités cybernétiques accrues des modèles d'IA avancés.

Selon la BCE, les progrès de l'IA ont atteint un stade où certains modèles sont devenus si puissants que l'accès à ces derniers a été restreint. La banque centrale a souligné que cette restriction n'affecte pour l'instant pas les banques de la zone euro.

La BCE souligne les risques pour les systèmes TIC des banques

Dans une lettre adressée aux directeurs généraux des banques, la BCE a averti que les avancées de l'IA pourraient avoir des conséquences importantes sur la sécurité et la résilience des infrastructures technologiques bancaires.

« Ces développements ont des implications potentiellement profondes pour la confidentialité, l'intégrité et la résilience des systèmes d'information et de communication des banques », indique la BCE dans la lettre.

La banque centrale a demandé aux établissements de donner la priorité à la protection des systèmes exposés à Internet et des autres actifs technologiques les plus vulnérables aux risques cybernétiques.

Elle leur a également demandé de renforcer la sécurité des logiciels fournis par des tiers et des composants open source, d'accélérer la correction des vulnérabilités identifiées et d'améliorer les capacités de surveillance.

Au‑delà des mesures de sécurité immédiates, la BCE a exhorté les banques à moderniser des infrastructures technologiques vieillissantes et à améliorer l'hygiène numérique globale.

Le superviseur bancaire a également appelé les établissements à renforcer leurs cadres de gestion de crise, leurs dispositifs de reprise et leurs mécanismes de partage d'information afin d'améliorer leur préparation face à d'éventuels incidents cybernétiques.

Les banques ont jusqu'au 31 octobre pour soumettre leurs plans d'action en matière de cybersécurité à la BCE.

Pour aider les établissements à se concentrer sur ces priorités, la banque centrale a indiqué qu'elle reportait une enquête distincte sur les technologies de l'information.

Elle a aussi précisé qu'elle pourrait ajuster les inspections prévues et d'autres activités de supervision afin de libérer des ressources pour ces nouvelles initiatives en cybersécurité.

L'ESRB alerte sur des risques financiers systémiques

Parallèlement à la communication de la BCE, le Conseil européen du risque systémique (ESRB) a publié un avertissement soulignant les risques plus larges pour la stabilité financière posés par des cyberincidents à grande échelle.

L'ESRB a indiqué que des perturbations cybernétiques étendues pourraient fragiliser la confiance du public dans les institutions financières et, dans les cas graves, déclencher des ruées contre des entreprises voire des pays perçus comme moins résilients sur le plan cybernétique.

« L'ESRB considère que ces développements constituent une source de risques systémiques pour le système financier », a déclaré l'organisme.

Les incidents cybernétiques pourraient se propager dans tout le secteur financier

Pour illustrer l'impact potentiel, l'ESRB a décrit plusieurs scénarios possibles impliquant des cybermenaces rendues possibles par l'IA.

Ils vont d'une érosion progressive de la confiance envers les banques de moindre taille à des campagnes d'espionnage soutenues par des États et des attaques coordonnées visant les systèmes de paiement, de compensation et de règlement.

Le conseil a également averti que des campagnes de désinformation pourraient amplifier les effets de tels incidents en accroissant l'incertitude et en sapant la confiance du public.

L'ESRB a en outre noté que les incidents cybernétiques pourraient se propager rapidement via des fournisseurs technologiques partagés et des logiciels couramment utilisés dans le secteur financier, augmentant ainsi le risque de perturbations à grande échelle.

La dernière directive de la BCE et l'avertissement de l'ESRB soulignent l'accent croissant des régulateurs sur le renforcement de la résilience cybernétique alors que les avancées de l'IA continuent de remodeler le paysage de la cybersécurité.

Alors que les banques font désormais face à une échéance au 31 octobre, les autorités européennes cherchent à s'assurer que les institutions financières sont mieux préparées à répondre à des menaces cybernétiques de plus en plus sophistiquées tout en préservant la confiance dans le système financier.