Les banques se tournent de plus en plus vers l’intelligence artificielle, mais les régulateurs veulent savoir si les établissements financiers sont capables de garder le contrôle de cette technologie.
Selon Reuters, les régulateurs bancaires américains interrogent les banques sur leur utilisation d’agents d’IA autonomes, les garde-fous qui encadrent leurs actions et leur dépendance à l’égard de modèles développés à l’étranger. Les autorités européennes examinent également la capacité des banques à résister à de graves incidents informatiques et à s’en remettre.
En Europe, les régulateurs pressent les banques de renforcer leur capacité à se remettre de graves incidents informatiques, ce qui témoigne d’une préoccupation plus large : les capacités de l’IA pourraient progresser plus vite que les contrôles nécessaires pour les gérer.
Cette surveillance intervient alors que les outils d’IA deviennent de plus en plus capables d’exécuter des tâches techniques en plusieurs étapes, ce qui pourrait aider aussi bien les défenseurs que les attaquants à identifier les failles des logiciels. Pour les banques, l’enjeu consiste à tirer parti de ces capacités sans donner aux systèmes d’IA un accès excessif aux données sensibles, aux infrastructures critiques ou aux opérations financières.
Les régulateurs veulent savoir comment les banques contrôlent les agents d’IA
Les développeurs d’IA peuvent promettre que leurs modèles sont sûrs, mais les régulateurs bancaires veulent savoir ce qui se passe lorsque ces systèmes sont mis à l’œuvre au sein des établissements financiers.
Selon Reuters, aux États-Unis, la Réserve fédérale, l’Office of the Comptroller of the Currency (OCC) et la Federal Deposit Insurance Corporation (FDIC) interrogent les banques sur leur utilisation d’agents d’IA autonomes, les contrôles qui encadrent leurs actions et les modèles qu’elles déploient.
L’une des préoccupations concerne l’auditabilité. La question est de savoir si les banques peuvent reconstituer ce qu’a fait un agent d’IA, à quel moment et pourquoi il a effectué une action donnée.
Les régulateurs examinent également la manière dont les banques surveillent ces systèmes et limitent leurs actions, notamment pour déterminer si une approbation humaine est requise avant qu’un agent n’effectue des opérations sensibles.
Par exemple, une banque pourrait demander à un employé d’examiner une recommandation générée par l’IA avant de bloquer un compte ou de modifier des instructions de paiement. De tels contrôles pourraient aider les établissements à tirer parti de l’automatisation sans accorder aux systèmes d’IA une autorité incontrôlée sur des décisions lourdes de conséquences.
Les questions concernant l’utilisation de modèles d’IA développés à l’étranger indiquent également que les régulateurs examinent les technologies dont dépendent les banques, même si les préoccupations précises à l’origine de ces questions restent à établir.
La surveillance réglementaire met en évidence deux enjeux liés : le contrôle des systèmes d’IA utilisés au sein des banques et la garantie que les établissements financiers peuvent continuer à fonctionner lorsque les défenses de cybersécurité échouent.
Pourquoi l’IA soulève de nouvelles préoccupations en matière de cybersécurité pour les banques
Les outils d’IA peuvent aider les établissements financiers à automatiser des tâches techniques, à analyser des informations et à repérer des menaces potentielles pour la sécurité. Toutefois, donner davantage d’autonomie à ces systèmes soulève aussi des questions sur ce qui se passe lorsqu’ils commettent des erreurs, suivent des instructions malveillantes ou agissent au-delà de l’autorité qui leur a été attribuée.
Les évolutions récentes, allant des attaques assistées par l’IA signalées visant les défenses des banques sud-coréennes aux mises en garde du Fonds monétaire international (FMI) concernant les cyberattaques qui sapent la confiance dans les marchés financiers, laissent penser que les conséquences pourraient dépasser le cadre des établissements pris individuellement.
Au premier rang figurent des incidents plus vastes liés au fait que l’IA contourne les environnements isolés et s’aventure dans des systèmes externes non autorisés. La crainte est que, si l’IA est capable de faire cela dans d’autres secteurs, elle puisse également agir de la même manière dans un secteur sensible comme la banque.
Ensemble, ces évolutions expliquent pourquoi les régulateurs poussent les banques à renforcer à la fois leurs contrôles de l’IA et leur capacité à se rétablir lorsque les défenses contre les cyberattaques échouent.
Ce qu’un contrôle plus strict de l’IA pourrait impliquer pour les banques
Une surveillance réglementaire accrue pourrait pousser les banques à démontrer que leurs systèmes d’IA fonctionnent dans des limites clairement définies et que leurs employés peuvent intervenir lorsque cela est nécessaire.
Pour les établissements financiers, cela pourrait se traduire par des tests plus rigoureux, une meilleure traçabilité de l’activité de l’IA, des restrictions plus strictes sur ce que les agents autonomes peuvent consulter ou modifier, ainsi que par des dispositifs de rétablissement plus solides pour les services critiques.
Les conséquences s’étendent également aux clients. Un grave incident informatique pourrait perturber les paiements, restreindre l’accès aux comptes ou exposer des informations financières sensibles. Une supervision efficace et une bonne planification du rétablissement peuvent aider les banques à limiter ces conséquences, même lorsqu’une attaque ne peut pas être empêchée.
La question centrale pour les régulateurs est de savoir si les banques peuvent démontrer que l’IA reste responsable devant les personnes et les systèmes chargés de protéger les opérations financières.
Autres actualités : Signalements de portefeuilles matériels Ledger altérés mettent en évidence le risque que les attaques physiques visant la chaîne d’approvisionnement font peser sur les avoirs en cryptomonnaies.