Ce communiqué a été diffusé par l’EIOPA (traduction française).
Les autorités européennes de surveillance (ABE, AEAPP et AEMF – les AES) saluent et soutiennent l’avertissement lancé aujourd’hui par le Comité européen du risque systémique (CERS) sur les cyberrisques systémiques posés par les modèles d’IA aux frontières.
Les progrès récents ont considérablement amélioré la capacité des modèles d’IA frontières à identifier et à exploiter les vulnérabilités de grande gravité dans les systèmes informatiques dans des délais très courts. Si le cadre réglementaire de l’UE, y compris le règlement DORA et la législation sur l’IA, fournit une base solide pour la gestion des cyberrisques et des risques liés à l’IA, la rapidité et l’ampleur de ces outils suscitent des inquiétudes quant au fait que les cyberattaques fondées sur l’IA pourraient nuire à la résilience opérationnelle des entités financières.
Depuis la publication des premiers modèles d’IA aux frontières, les AES ont sensibilisé aux risques liés aux TIC posés par l’adoption généralisée de ces modèles et ont noué un dialogue avec les autorités compétentes de l’UE afin de veiller à ce que les entités financières prennent des mesures d’atténuation appropriées. Dans leur premier rapport annuel sur les incidents majeurs liés aux TIC dans le cadre de DORA,, les AES ont encouragé les entités financières à renforcer les mesures de cybersécurité afin de maintenir leur résilience dans le contexte de l’évolution rapide d’outils hautement performants fondés sur l’IA.
Dans ce contexte, les AES souscrivent à l’avertissement du CERS et invitent instamment les entités financières à prendre les dispositions appropriées pour adapter leurs capacités en matière de cybersécurité. Ils invitent également les autorités compétentes à tenir compte de ces évolutions dans leurs activités de surveillance. Enfin, les AES prennent acte de l’appel lancé par le CERS à l’Union européenne pour qu’elle renforce sa capacité, son expertise et son autonomie stratégique dans ce domaine critique, ce qui exige que toutes les parties soient impliquées, y compris les fournisseurs d’IA, les fournisseurs de logiciels, les entreprises de sécurité, les responsables de l’open source, les établissements financiers et les autorités, tant au niveau national qu’au niveau de l’Union.
Les AES travaillent en étroite collaboration avec la communauté des autorités de surveillance de l’UE pour veiller à ce que les entités financières dans l’ensemble de l’UE recensent et atténuent ces risques de manière proactive, conformément aux exigences de la législation sur la résilience opérationnelle numérique (DORA), qui établit un cadre harmonisé pour atténuer les risques liés aux TIC dans le secteur financier.
En leur qualité de superviseurs des fournisseurs tiers critiques de TIC, les AES dialoguent également avec ces fournisseurs sur les mesures qu’elles prennent pour s’adapter à la situation, afin de gérer les risques et d’assurer la continuité des services fournis au secteur financier de l’UE.
Contexte et prochaines étapes
L’avertissement du CERS met en évidence la manière dont les modèles d’IA aux frontières transforment le paysage de la cybersécurité en permettant aux acteurs de la menace d’accroître la vitesse, l’ampleur et la sophistication des cyberattaques à court et à moyen terme. Le CERS a exhorté toutes les parties prenantes de l’UE, y compris les établissements financiers, à renforcer leurs capacités en matière de cybersécurité et a encouragé les autorités compétentes à tenir compte de ces risques dans leurs travaux de surveillance et de supervision.
Les AES continueront de suivre de près l’utilisation et le développement de modèles d’IA aux frontières hautement cybercapables et d’évaluer leur incidence potentielle sur le secteur financier. Afin de promouvoir une approche prudentielle cohérente, fondée sur les risques et tournée vers l’avenir dans ce domaine, les AES collaborent également avec les autorités nationales de surveillance pour clarifier les attentes en matière de surveillance et les communiqueront de manière cohérente aux entités financières afin de garantir le respect du cadre réglementaire existant.
