Les ESAs alignées sur l’alerte de l’ESRB concernant les risques cyber systémiques des modèles d’IA de pointe

Les Autorités européennes de surveillance (EBA, EIOPA et ESMA – les ESAs) ont marqué leur soutien à l’avertissement publié aujourd’hui par le Comité européen du risque systémique (ESRB) relatif aux risques cyber systémiques engendrés par les modèles d’intelligence artificielle (IA) de pointe.

Les progrès récents ont considérablement accru la capacité de ces modèles à identifier et exploiter des vulnérabilités critiques dans les systèmes informatiques, en des temps extrêmement réduits. Bien que le cadre réglementaire européen, incluant le règlement DORA et l’AI Act, offre une base solide pour encadrer les risques cyber et liés à l’IA, la rapidité et l’ampleur de ces outils suscitent des inquiétudes quant à leur capacité à compromettre la résilience opérationnelle des entités financières.

Renforcement des mesures de cybersécurité et adaptation des dispositifs

Depuis l’émergence des premiers modèles d’IA de pointe, les ESAs ont alerté sur les risques liés aux technologies de l’information et de la communication (TIC) découlant de leur adoption massive. Elles ont également collaboré avec les autorités compétentes de l’UE afin d’inciter les entités financières à mettre en œuvre des mesures d’atténuation adaptées.

Dans leur premier rapport annuel sur les incidents majeurs liés aux TIC, publié dans le cadre du règlement DORA, les ESAs ont encouragé les entités financières à renforcer leurs dispositifs de cybersécurité pour préserver leur résilience face à l’évolution accélérée des outils IA hautement performants. Les ESAs partagent l’analyse de l’ESRB et exhortent les entités financières à adapter leurs capacités de cybersécurité. Elles invitent également les autorités compétentes à intégrer ces enjeux dans leurs activités de supervision.

Les ESAs soulignent par ailleurs l’appel de l’ESRB à renforcer les capacités, l’expertise et l’autonomie stratégique de l’Union européenne dans ce domaine critique. Cette mobilisation doit impliquer l’ensemble des parties prenantes : fournisseurs d’IA, éditeurs de logiciels, entreprises de sécurité, mainteneurs de solutions open source, institutions financières ainsi que les autorités nationales et européennes.

Collaboration renforcée avec l’écosystème de supervision

Les ESAs œuvrent en étroite coordination avec la communauté de supervision européenne pour garantir que les entités financières de l’UE identifient et atténuent proactivement ces risques, conformément aux exigences du règlement DORA. Ce texte établit un cadre harmonisé pour la gestion des risques liés aux TIC dans le secteur financier.

En leur qualité de superviseurs des prestataires tiers critiques de services TIC, les ESAs interagissent également avec ces acteurs afin d’évaluer les mesures mises en place pour s’adapter à ce contexte et assurer la continuité des services rendus au secteur financier européen.

Perspectives et prochaines étapes

L’avertissement de l’ESRB met en lumière la transformation du paysage de la cybersécurité par les modèles d’IA de pointe, qui permettent aux acteurs malveillants d’accroître la vitesse, l’ampleur et la sophistication des cyberattaques à court et moyen terme. L’ESRB a appelé l’ensemble des parties prenantes, y compris les institutions financières, à renforcer leurs capacités en matière de cybersécurité et a encouragé les autorités concernées à intégrer ces risques dans leurs missions de supervision et de contrôle.

Les ESAs poursuivront leur surveillance étroite de l’utilisation et du développement des modèles d’IA hautement performants sur le plan cyber, tout en évaluant leur impact potentiel sur le secteur financier. Afin de promouvoir une approche de supervision cohérente, fondée sur les risques et prospective, elles collaborent avec les superviseurs nationaux pour clarifier les attentes en la matière. Ces orientations seront communiquées de manière uniforme aux entités financières afin de garantir le respect du cadre réglementaire en vigueur.

Source : EBA