La BCE ordonne aux banques de préparer des plans de défense contre les menaces cybernétiques des modèles d'IA comme Claude Mythos

La Banque centrale européenne (BCE), qui agit en tant que régulateur bancaire de la zone euro, a exigé que les banques préparent des plans pour contrer les menaces de cybersécurité croissantes des modèles d'IA avancés tels que Claude Mythos d'Anthropic PBC, selon Bloomberg.

Quelles menaces le régulateur voit-il

Les modèles de langage avancés deviennent de plus en plus puissants dans des tâches qui peuvent aussi être mal utilisées : trouver des vulnérabilités de code, automatiser le phishing et l'ingénierie sociale, générer des messages faux convaincants et des enregistrements vocaux pour la fraude. La BCE craint que les systèmes actuels de cybersécurité bancaire ne soient pas conçus pour résister aux attaques amplifiées par de tels modèles, et exige des institutions de crédit qu'elles développent des contre-mesures à l'avance. Il ne s'agit pas d'un risque théorique : le secteur bancaire a déjà constaté un nombre croissant de tentatives de fraude au cours des dernières années utilisant des enregistrements vocaux et vidéo synthétisés qui imitent les employés ou les cadres de l'entreprise, et à mesure que les capacités du modèle augmentent, il devient plus difficile de distinguer ces attaques des demandes véritables.

• L'exigence provient de la BCE — le régulateur bancaire de la zone euro
• Comme exemple de modèle avancé, le régulateur cite Claude Mythos d'Anthropic PBC
• Les banques sont tenues de préparer leurs propres plans pour contrer les menaces de cybersécurité liées à l'IA

Qui exactement est affecté par cette exigence

La BCE supervise directement les plus grandes banques et systémiquement importantes de la zone euro dans le cadre d'un mécanisme de supervision unique — ces institutions seront les premières à recevoir une demande pour soumettre des plans de défense. Pour les banques de cette envergure, la résilience de la cybersécurité est déjà l'une des principales priorités des inspections réglementaires, mais inclure les menaces des modèles d'IA avancés spécifiques dans la liste des risques représente un nouveau niveau d'exigences plus concret que les dispositions générales sur la "cybersécurité" dans les directives précédentes.

Comment cela s'inscrit dans la régulation de l'IA en Europe

L'exigence de la BCE complète les mécanismes existants de l'UE pour contrôler les risques numériques dans le secteur financier, notamment la Loi sur la résilience opérationnelle numérique (DORA), qui exige que les banques testent régulièrement la sécurité de leurs systèmes informatiques, et la Loi sur l'IA, qui introduit une supervision renforcée des applications d'intelligence artificielle à haut risque. La nouvelle initiative ajoute une couche distincte d'exigences, axée spécifiquement sur les menaces créées par les modèles avancés eux-mêmes, plutôt que uniquement sur leur utilisation par les banques pour la défense.

Ce que cela signifie

Les régulateurs européens considèrent de plus en plus les modèles d'IA avancés non seulement comme un outil que les banques peuvent utiliser pour la protection, mais aussi comme une source indépendante de risque systémique pour le secteur financier — et à mesure que les capacités de tels modèles augmentent, le nombre d'exigences sectorielles similaires augmentera probablement.