Les ESAs appuient l'avertissement de l'ESRB sur les risques cyber systémiques liés aux modèles d'IA de pointe

Contexte et positionnement des Autorités européennes de surveillance

Les Autorités européennes de surveillance (EBA, EIOPA et ESMA – les ESAs) ont marqué leur soutien à l'avertissement publié par le Comité européen du risque systémique (ESRB) relatif aux risques cyber systémiques associés aux modèles d'intelligence artificielle (IA) de pointe. Ces modèles, dont les capacités se sont considérablement accrues, permettent désormais d'identifier et d'exploiter des vulnérabilités critiques dans les systèmes informatiques avec une rapidité inédite.

Cadre réglementaire et enjeux de résilience opérationnelle

Bien que le cadre réglementaire européen, incluant le règlement DORA et l'IA Act, constitue une base solide pour encadrer les risques cyber et liés à l'IA, l'évolution rapide de ces outils suscite des interrogations quant à leur capacité à compromettre la résilience opérationnelle des entités financières. Depuis l'émergence des premiers modèles d'IA de pointe, les ESAs ont alerté sur les risques liés aux technologies de l'information et de la communication (TIC) découlant de leur adoption massive, tout en collaborant avec les autorités compétentes pour inciter les acteurs financiers à mettre en œuvre des mesures d'atténuation adaptées.

Recommandations et actions des ESAs

Dans leur premier rapport annuel sur les incidents majeurs liés aux TIC sous DORA, les ESAs ont encouragé les entités financières à renforcer leurs dispositifs de cybersécurité afin de préserver leur résilience face à l'évolution accélérée des outils d'IA performants. Les ESAs partagent l'analyse de l'ESRB et appellent les entités financières à adapter leurs capacités de cybersécurité. Elles invitent également les autorités compétentes à intégrer ces évolutions dans leurs activités de supervision. Par ailleurs, les ESAs relèvent l'appel de l'ESRB à renforcer les capacités, l'expertise et l'autonomie stratégique de l'Union européenne dans ce domaine, impliquant l'ensemble des parties prenantes : fournisseurs d'IA, éditeurs de logiciels, entreprises de sécurité, mainteneurs de solutions open source, institutions financières et autorités nationales et européennes.

Collaboration et surveillance renforcée

Les ESAs œuvrent en étroite coordination avec la communauté de supervision européenne pour garantir que les entités financières au sein de l'UE identifient et atténuent proactivement ces risques, conformément aux exigences du règlement DORA. En tant que superviseurs des fournisseurs tiers critiques de TIC, les ESAs interagissent également avec ces acteurs afin d'évaluer les mesures mises en place pour gérer les risques et assurer la continuité des services fournis au secteur financier européen.

Perspectives et prochaines étapes

L'avertissement de l'ESRB met en lumière la transformation du paysage cyber par les modèles d'IA de pointe, qui permettent aux acteurs malveillants d'accroître la vitesse, l'ampleur et la sophistication des cyberattaques à court et moyen terme. L'ESRB a exhorté l'ensemble des parties prenantes, y compris les institutions financières, à renforcer leurs capacités de cybersécurité et a encouragé les autorités concernées à intégrer ces risques dans leurs travaux de supervision et de contrôle. Les ESAs poursuivront le suivi de l'utilisation et du développement des modèles d'IA hautement performants en matière de cybersécurité, tout en évaluant leur impact potentiel sur le secteur financier. Pour favoriser une approche de supervision cohérente, fondée sur les risques et prospective, les ESAs collaborent avec les superviseurs nationaux afin de clarifier les attentes en la matière et de les communiquer de manière uniforme aux entités financières, garantissant ainsi le respect du cadre réglementaire existant.

Source : ESMA — News