Data / IA
Quand l’IA va plus vite que la régulation : pourquoi la finance doit repenser sa sécurité
Par Laurent Delattre, publié le 26 août 2026
Dans la finance, l’IA accélère les décisions autant qu’elle élargit la surface d’attaque. La cybersécurité doit donc désormais progresser au même rythme que l’innovation. DORA fixe une partie du cadre, mais il appartient aux entreprises de construire les garde-fous capables de contenir des systèmes toujours plus rapides et autonomes.
Par James Tucker, Head of CISOs International chez Zscaler
L’intelligence artificielle transforme les services financiers à une vitesse inédite. Mais si la technologie progresse rapidement, les cadres réglementaires et les modèles de sécurité qui l’entourent peinent encore à suivre.
Ce décalage fait émerger un nouveau risque systémique : les organisations avancent désormais plus vite que les mécanismes de contrôle censés garantir leur sécurité.
Le secteur financier a toujours évolué sous une forte pression réglementaire. Pourtant, l’essor de l’intelligence artificielle révèle aujourd’hui les limites d’un modèle conçu pour réagir aux évolutions plutôt que pour les anticiper.
Des réglementations comme DORA vont dans la bonne direction et constituent une avancée majeure. Mais la régulation intervient, par nature, sur des vulnérabilités déjà identifiées ou des risques déjà observés.
L’intelligence artificielle évolue selon une logique radicalement différente. Ses capacités progressent en temps réel, ses usages se multiplient et ses cas d’application se développent plus rapidement que la plupart des décideurs publics ne sont en mesure de les évaluer.
Le résultat est un écart grandissant entre ce que les organisations sont capables de faire avec l’IA et ce que leurs mécanismes de gouvernance sont réellement en mesure d’encadrer.
Or dans les services financiers, cet écart est particulièrement critique : la vitesse sans contrôle n’est pas seulement un risque opérationnel, c’est un risque systémique.
Dans un secteur fondé sur la confiance, la résilience et la responsabilité réglementaire, l’accélération de la prise de décision ne crée de valeur que si elle s’accompagne de mécanismes de contrôle capables d’évoluer au même rythme.
Plus les décisions sont prises rapidement, plus les erreurs et les attaques peuvent se propager rapidement elles aussi.
Une réponse erronée produite par un système d’IA peut désormais se diffuser instantanément d’un système à l’autre, influencer des modèles de risque, des validations, des interactions clients ou des décisions opérationnelles avant même qu’une intervention humaine ne soit possible.
Le paysage des menaces évolue lui aussi à grande vitesse.
Les attaquants utilisent déjà l’intelligence artificielle dans leurs opérations, et à mesure que les modèles gagnent en puissance, leur capacité à identifier des vulnérabilités, automatiser la reconnaissance ou accélérer l’exploitation des failles progresse elle aussi.
Parallèlement, les organisations délèguent une part croissante de la prise de décision aux machines, supprimant progressivement les frictions qui constituaient jusqu’ici des garde-fous naturels.
La supervision humaine disparaît progressivement des processus au moment même où leur vitesse d’exécution augmente.
Dans le même temps, des cadres réglementaires conçus pour des systèmes plus lents et plus linéaires peinent à encadrer des mécanismes de décision pilotés en temps réel par l’IA.
Dans un tel environnement, le risque ne se contente plus d’augmenter : il se multiplie.
Dans de nombreux cas, des capacités d’IA de dernière génération viennent se superposer à des environnements historiques qui n’ont jamais été conçus pour un tel niveau de connectivité, de rapidité ou d’accès aux données.
Les systèmes d’IA nécessitent également un accès à d’importants volumes de données, dont une grande partie reste hébergée dans des environnements historiques qui n’ont jamais été segmentés pour répondre à ces nouveaux usages.
Ajoutez à cela les API et les connecteurs nécessaires aux échanges de données, et les institutions créent autant de nouveaux points d’entrée potentiels pour les attaquants.
La réponse ne consiste pas à ralentir l’adoption de l’intelligence artificielle. Les institutions financières ne peuvent pas se permettre de rester immobiles alors que le marché continue d’avancer.
En revanche, elles doivent apprendre à sécuriser l’IA différemment.
L’innovation et la sécurité doivent désormais évoluer ensemble, et non plus successivement.
Cela implique de s’éloigner des modèles fondés sur des accès réseau étendus et sur la confiance implicite, au profit d’approches reposant sur des accès strictement contrôlés au niveau des applications et sur une exposition minimale des systèmes et des données.
Les organisations doivent identifier et supprimer les accès redondants et s’assurer que les systèmes d’IA ne peuvent accéder qu’aux applications et aux jeux de données strictement nécessaires à leur fonctionnement.
C’est précisément là que le Zero Trust prend tout son sens.
Si une compromission survient, l’objectif n’est plus de considérer qu’elle pourra être évitée dans tous les cas, mais d’en limiter le rayon d’impact.
Dans un monde piloté par l’IA, les compromissions deviendront inévitables. La véritable question n’est plus de savoir si elles surviendront, mais jusqu’où elles pourront se propager.
L’intelligence artificielle transforme aujourd’hui les services financiers plus rapidement que les régulateurs ne peuvent les accompagner.
La responsabilité de la résilience repose donc désormais en premier lieu sur les organisations qui déploient ces technologies.
Les gagnants ne seront pas nécessairement les acteurs qui iront le plus vite. Ce seront ceux qui seront encore debout lorsque la première compromission à l’échelle de l’IA frappera une organisation qui aura privilégié la vitesse au détriment des fondations nécessaires pour la supporter.
La vitesse est facile. Ce n’est jamais la vitesse qui pose problème. C’est l’arrêt brutal lorsqu’un système lancé trop vite rencontre finalement la réalité.
À LIRE AUSSI :
À LIRE AUSSI :
