Risques IA banques : l’alerte de la FINMA

L’Autorité fédérale de surveillance des marchés financiers (FINMA) a haussé le ton. Elle met en garde les banques et les compagnies d’assurance suisses contre les dangers croissants liés à l’intelligence artificielle et aux cybermenaces. Ce signal fort intervient dans un contexte déjà tendu. Le secteur financier suisse vient de subir une cyberattaque marquante. Il doit désormais composer avec deux fronts à la fois : la sécurité informatique classique et les nouveaux risques IA banques encore mal maîtrisés.

Une présidente qui tire la sonnette d’alarme

Dans un entretien accordé à Finanz und Wirtschaft, Marlène Amstad, présidente du conseil d’administration de la FINMA, a livré un constat sans détour. Les cyberattaques ont bondi. Jusqu’à un tiers de plus dans toutes les institutions financières surveillées par l’organisme. Ce chiffre donne la mesure du problème. Il illustre aussi l’urgence d’agir avant que la situation ne devienne incontrôlable.

Interrogée sur la question de savoir si les modèles avancés développés par des entreprises comme OpenAI et Anthropic représentaient une menace directe pour UBS, la présidente a nuancé la réponse. Le danger dépasse largement le cadre d’une seule organisation. C’est tout un écosystème financier qui doit se préparer. Cette dimension systémique change la nature du problème. Elle oblige les régulateurs à penser en termes de résilience collective, pas seulement individuelle.

Le risque d’effondrement systémique au cœur des préoccupations

Mme Amstad, également professeure à l’Université de Berne, a été particulièrement claire sur ce point. Une intelligence artificielle très développée peut affecter des secteurs entiers, pas uniquement quelques établissements isolés. Pour limiter ce risque d’effondrement systémique, la FINMA a choisi une approche directe. Elle place la responsabilité sur les épaules des banques elles-mêmes.

Ces dernières doivent désormais rendre des comptes en permanence. Elles doivent aussi maîtriser leurs risques opérationnels, y compris ceux liés aux fournisseurs tiers. C’est un changement d’approche significatif. Il ne suffit plus de se conformer à des règles statiques. Les établissements doivent démontrer une vigilance continue, adaptée à un environnement technologique qui évolue vite.

Pour mieux comprendre l’ampleur de ces dangers émergents, une veille spécialisée sur les Menaces IA permet de suivre, semaine après semaine, les incidents et vulnérabilités qui touchent le secteur. Elle recense notamment des cas d’agents autonomes compromis ou de failles exploitées dans des environnements professionnels, des situations qui concernent directement les institutions financières.

Suivre le rythme des évolutions technologiques

Le défi n’est pas seulement de réagir aux menaces actuelles. Selon la présidente de la FINMA, l’enjeu principal consiste à évoluer au même rythme que les progrès technologiques. Cette course de vitesse inquiète les régulateurs du monde entier. Les modèles d’IA progressent plus vite que les cadres réglementaires ne peuvent les encadrer.

Pour répondre à ce défi, la FINMA ne se contente pas d’observer de l’extérieur. L’autorité renforce ses propres applications internes d’intelligence artificielle. Elle intensifie également ses collaborations internationales. Cette double stratégie vise à mieux comprendre les outils qu’elle doit superviser. Elle permet aussi de partager les bonnes pratiques avec d’autres régulateurs confrontés aux mêmes questions.

L’informatique quantique, une menace encore lointaine mais réelle

La présidente n’a pas limité son avertissement à l’intelligence artificielle. Elle a aussi évoqué l’informatique quantique comme technologie émergente à surveiller de près. Ce domaine reste encore au stade de développement. Mais il pourrait avoir des impacts majeurs sur la sécurité du système financier dans les années à venir.

Cette anticipation témoigne d’une approche prudente. Les régulateurs ne veulent pas être pris au dépourvu comme cela a pu être le cas avec l’essor rapide de l’IA générative. Le secteur bancaire et les autorités doivent donc se préparer dès maintenant, sans attendre que la technologie devienne mature et potentiellement disruptive.

Une cyberattaque récente qui illustre l’urgence

Ces déclarations n’arrivent pas dans le vide. Elles font suite à une cyberattaque contre les serveurs SharePoint exploités par l’Office fédéral des technologies de l’information, des systèmes et des télécommunications (FOITT). Cet incident a perturbé l’accès à Internet pour de nombreuses personnes en Suisse.

Environ 200 comptes ont été compromis lors de cette attaque. Les premières investigations pointent vers des failles de sécurité du logiciel SharePoint de Microsoft. L’éditeur avait déjà signalé plusieurs vulnérabilités similaires à la mi-juillet. Ce délai entre la découverte des failles et leur exploitation soulève des questions légitimes. Les correctifs arrivent-ils assez vite pour suivre le rythme des attaquants ?

Le FOITT exploite des serveurs installés dans des centres de données du gouvernement fédéral. Selon le communiqué officiel, les équipes ont immédiatement commencé à déployer les mises à jour de sécurité disponibles. Cette réactivité est nécessaire. Elle reste toutefois insuffisante si les vulnérabilités structurelles ne sont pas traitées en amont.

Ce que cela signifie pour les établissements financiers

Le message de la FINMA est limpide. Les banques ne peuvent plus se contenter d’une posture attentiste face aux risques liés à l’IA. Elles doivent intégrer ces enjeux dans leur gouvernance des risques, au même titre que les risques de crédit ou de marché.

Cela implique plusieurs actions concrètes. Cartographier les usages de l’IA au sein de l’organisation. Évaluer la dépendance envers des fournisseurs tiers qui développent ces technologies. Mettre en place des mécanismes de contrôle capables de détecter rapidement les anomalies. Former les équipes aux nouveaux types de menaces, y compris celles qui touchent les modèles eux-mêmes.

Les compagnies d’assurance sont également concernées par cet avertissement. Elles partagent avec les banques une exposition croissante aux cybermenaces et une dépendance similaire aux technologies numériques. La collaboration internationale évoquée par Mme Amstad prend ici tout son sens. Aucun pays, aucune institution ne peut affronter seul ces défis systémiques.

Conclusion

L’alerte lancée par la FINMA marque un tournant dans la manière dont la Suisse envisage la régulation financière à l’ère de l’intelligence artificielle. Entre cyberattaques en hausse, responsabilisation accrue des banques et anticipation des technologies émergentes comme l’informatique quantique, le message est cohérent. La vigilance doit devenir permanente, et l’adaptation, continue. Les prochains mois diront si le secteur bancaire suisse parvient à suivre ce rythme imposé par l’évolution rapide des risques IA banques.