La BCE exige des banques un plan de défense contre les cyberattaques par IA d'ici octobre

La Banque centrale européenne s'inquiète sérieusement de la possibilité que des modèles d'IA de pointe (les LLM les plus puissants, comme GPT d'OpenAI, Claude d'Anthropic ou le chinois DeepSeek) servent à lancer des cyberattaques contre l'infrastructure financière de la zone euro. Le régulateur exige des plus grandes banques qu'elles élaborent des plans de défense d'ici octobre 2026.

En quoi consiste la menace

Les modèles d'IA de pointe sont capables de :

• Automatiser le balayage des réseaux pour y repérer des vulnérabilités
• Générer des e-mails de phishing ciblés et de l'ingénierie sociale
• Écrire et adapter du code malveillant
• Analyser les systèmes bancaires et en trouver les points faibles
• Imiter des employés de banque (deepfakes, clonage vocal)

La différence avec les cyberattaques classiques : les LLM avancés peuvent fonctionner 24 h/24, 7 j/7 sans opérateur humain, en s'adaptant en temps réel aux mécanismes de défense.

Ce que exige la BCE

D'ici octobre 2026, toutes les grandes banques de la zone euro doivent présenter à la BCE :

• Un plan de suivi des modèles d'IA de pointe et de leur disponibilité (y compris ceux à poids ouverts)
• Une stratégie de détection des cyberattaques déclenchées par IA
• Des procédures pour tester les vulnérabilités de leurs propres systèmes face aux outils d'IA
• Des plans de secours (systèmes de sauvegarde) en cas de compromission de l'infrastructure principale
• Une formation des employés pour reconnaître le phishing et l'ingénierie sociale générés par IA

Contexte : la régulation de l'IA de pointe

C'est la première fois qu'une grande banque centrale (la BCE est responsable de la politique monétaire de 20 pays de la zone euro) attire officiellement l'attention sur une menace précise liée à l'IA de pointe. Jusqu'ici, la régulation de l'IA restait générale (l'AI Act européen). Le régulateur passe désormais à des menaces spécifiques.

Ce que cela signifie

La BCE montre que le régulateur financier considère l'IA de pointe comme un risque opérationnel, comparable aux cyberattaques menées par des acteurs étatiques. D'autres banques centrales (la Fed, la Banque d'Angleterre) suivront probablement. Cela pourrait conduire à :

• Un contrôle plus strict de la diffusion des modèles puissants
• Des audits obligatoires des systèmes des banques pour détecter leurs vulnérabilités face à l'IA
• Des amendes en cas de manque de préparation aux cyberattaques par IA
• Une coordination entre banques et entreprises d'IA pour alerter tôt sur les risques

Pour les entreprises d'IA, cela signifie que l'arrivée de modèles puissants sera désormais surveillée non seulement par les éthiciens du monde académique, mais aussi par les régulateurs financiers.