La BCE impose aux banques des plans de défense contre les cybermenaces liées aux modèles d'IA comme Claude Mythos

La Banque centrale européenne (BCE), qui fait office de régulateur bancaire de la zone euro, a demandé aux banques de préparer des plans de riposte face à la cybermenace croissante que représentent les modèles d'IA de pointe, comme Claude Mythos d'Anthropic PBC, rapporte Bloomberg.

Quelle menace le régulateur identifie-t-il ?

Les modèles de langage de pointe gagnent en puissance sur des tâches susceptibles d'être détournées à des fins malveillantes : recherche de vulnérabilités dans le code, automatisation du phishing et de l'ingénierie sociale, génération de faux messages et de fausses voix convaincants pour des escroqueries. La BCE craint que les dispositifs actuels de cyberdéfense des banques ne soient pas conçus pour des attaques renforcées par ces modèles. Elle exige donc des établissements de crédit qu'ils anticipent des scénarios de riposte.

Le risque n'a rien de théorique : ces dernières années, le secteur bancaire constate déjà une hausse des tentatives de fraude recourant à des voix et des vidéos synthétiques qui imitent des employés ou des dirigeants d'entreprise. À mesure que les capacités des modèles progressent, ces attaques deviennent plus difficiles à distinguer de demandes authentiques.

• L'exigence émane de la BCE, régulateur du secteur bancaire de la zone euro
• Le régulateur cite Claude Mythos d'Anthropic PBC comme exemple de modèle de pointe
• Les banques doivent préparer leurs propres plans de riposte aux menaces de cybersécurité liées à l'IA

Qui est concerné par cette exigence ?

Dans le cadre du mécanisme de surveillance unique, la BCE supervise directement les banques les plus grandes et systémiquement importantes de la zone euro : ce sont elles qui recevront en premier la demande de présenter leurs plans de défense. Pour des banques de cette taille, la cyberrésilience figure déjà parmi les priorités des contrôles réglementaires. Mais l'inscription de menaces liées à des modèles d'IA de pointe précis dans la liste des risques marque un niveau d'exigence nouveau et plus concret que les formulations générales sur la « cybersécurité » des directives précédentes.

Comment cette mesure s'inscrit-elle dans la régulation de l'IA en

Europe ?

L'exigence de la BCE complète les mécanismes de contrôle des risques numériques déjà en vigueur dans le secteur financier de l'UE. Parmi eux figurent le règlement sur la résilience opérationnelle numérique (DORA), qui oblige les banques à tester régulièrement la protection de leurs systèmes informatiques, et le règlement sur l'IA (AI Act), qui instaure une surveillance renforcée des usages à haut risque de l'intelligence artificielle. La nouvelle initiative ajoute une couche d'exigences distincte, centrée spécifiquement sur les menaces créées par les modèles de pointe eux-mêmes, et pas seulement sur leur utilisation bénéfique par les banques.

Ce que cela signifie

Les régulateurs européens considèrent de plus en plus les modèles d'IA de pointe non seulement comme un outil que les banques peuvent employer pour se défendre, mais aussi comme une source autonome de risque systémique pour le secteur financier. À mesure que les capacités de ces modèles progressent, ce type de prescriptions sectorielles devrait vraisemblablement se multiplier.