La BCE donne aux banques jusqu'au 31 octobre pour combler leurs failles de sécurité liées à l'IA, et le travail commence dans la chaîne d'approvisionnement

Début juillet 2026, la supervision bancaire de la BCE a publié de nouvelles orientations, « Addressing AI-enabled cybersecurity threats », imposant aux plus grandes banques de la zone euro une échéance ferme : soumettre à leur équipe de surveillance prudentielle conjointe (Joint Supervisory Team) un plan d'action complet de cybersécurité de l'IA d'ici le 31 octobre 2026. Cela laisse environ quatre mois pour affronter un risque que la plupart des établissements commencent à peine à cartographier. Pour les équipes risque, conformité et audit de l'IA, le détail le plus révélateur est l'endroit où la BCE indique que le travail commence réellement, à savoir dans la chaîne d'approvisionnement logicielle.

Il ne s'agit ni d'un document de réflexion ni d'un cadre volontaire. C'est un mandat prudentiel assorti d'un délai, émanant du régulateur bancaire le plus puissant d'Europe, et il relie explicitement le risque lié à l'IA aux dépendances tierces et logicielles qui sous-tendent les systèmes bancaires modernes.

Ce que la BCE demande

Les orientations exigent des établissements importants qu'ils produisent un plan d'action comportant des mesures concrètes, des responsables nommément désignés, un budget et des effectifs alloués, ainsi que des échéanciers de mise en œuvre. Autrement dit, la BCE ne veut pas d'une déclaration d'intention, elle veut la preuve d'un programme financé et responsable. La couverture médiatique de la lettre et les documents de la BCE elle-même mettent en avant plusieurs priorités que les banques sont censées traiter.

• Renforcer la surveillance, la détection et les capacités défensives fondées sur l'IA, afin que les attaques menées par l'IA soient contrées par une défense consciente de l'IA.
• Renforcer la gouvernance, le financement, la sensibilisation et l'assurance de la chaîne d'approvisionnement, en reliant directement la responsabilité et le budget au risque.
• Maintenir des contrôles de base solides, car une bonne hygiène cyber repose toujours sur des inventaires d'actifs précis, une configuration sécurisée, des contrôles d'accès robustes fondés sur le moindre privilège, l'authentification multifacteur et une journalisation complète.
• Améliorer la résilience opérationnelle, y compris la réponse et la reprise, la gestion de crise et les dispositifs de partage d'informations.

Claudia Buch, présidente du conseil de surveillance prudentielle de la BCE, a présenté cette démarche comme une réponse à la montée des menaces cyber alimentées par l'IA. Pour permettre aux établissements de s'y consacrer, la BCE a reporté une enquête informatique distincte et a indiqué qu'elle pourrait ajuster son calendrier d'inspections, un questionnaire de suivi étant repoussé à février 2027 et l'analyse horizontale devant suivre.

Pourquoi la chaîne d'approvisionnement est la partie la plus difficile

L'échéance porte sur l'IA, mais la remédiation mène rapidement au risque tiers, et c'est précisément là que la plupart des dispositifs d'assurance s'effondrent. Les banques construisent rarement leurs capacités d'IA à partir de zéro. Elles consomment des modèles de fondation, des services cloud, des outils de sécurité et des bibliothèques logicielles fournis par un réseau dense de prestataires externes, et chacun d'eux introduit des vulnérabilités que la banque ne contrôle pas directement. Un système d'IA n'est fiable que dans la mesure des composants qui le sous-tendent, si bien que « corriger les vulnérabilités de l'IA » revient en pratique à savoir quels sont ces composants, d'où ils proviennent, et à quelle vitesse la faille d'un fournisseur peut être identifiée et corrigée.

Le problème est que le modèle dominant de gestion des risques liés aux tiers est mal adapté à cette réalité. Des recherches récentes sur l'énumération de la chaîne d'approvisionnement pilotée par l'IA, l'étude ChainShield menée à l'Antwerp Management School sous la direction du professeur Yuri Bobbert, exposent clairement la faille : la gestion traditionnelle des risques liés aux tiers reste ponctuelle, déclarative et mal adaptée à la révélation des dépendances multi-niveaux. Les questionnaires et les attestations tendent à produire des réponses qui reflètent ce qui est attendu plutôt que ce qui est exact, et « en grande partie mis en œuvre » devient discrètement « oui ». Un questionnaire annuel ne peut pas suivre le rythme d'une banque dont les fournisseurs de modèles, les bibliothèques et les sous-traitants changent en permanence.

C'est la même trajectoire que nous avons décrite ailleurs, du NIST intégrant le risque lié à la chaîne d'approvisionnement au cœur de la planification des systèmes (voir notre article sur NIST SP 800-18 Rev. 2) aux régimes européens NIS2 et DORA qui imposent une surveillance continue et vérifiable des dépendances TIC jusqu'au niveau de chaque entité (voir recourir à l'IA pour relever les défis de NIS2). L'attente de la BCE en matière d'assurance de la chaîne d'approvisionnement est une autre expression du même principe : vous êtes responsable du risque qu'apportent vos fournisseurs et vos modèles, et vous devez pouvoir le démontrer en continu.

Des questionnaires à l'énumération continue

Combler cette faille est précisément le problème que la plateforme insAIght d'Anove est conçue pour résoudre, et c'est là qu'intervient la capacité ChainShield. ChainShield applique l'énumération pilotée par l'IA pour construire et maintenir en continu un inventaire des fournisseurs d'une banque et de leurs dépendances TIC, en s'appuyant sur des données accessibles au public, sous licence ou divulguées contractuellement, plutôt que d'attendre qu'un fournisseur remplisse un formulaire. Au lieu de l'auto-déclaration, elle privilégie des signaux observables de manière indépendante : le panel d'experts ChainShield, composé de quatorze spécialistes du domaine, a classé les flux de renseignement sur les cybermenaces, les métadonnées de gestion de versions et la combinaison des données SBOM et CVSS parmi les indicateurs les plus fiables pour la surveillance en temps réel et l'automatisation.

La recherche organise ces signaux dans une taxonomie axée sur la gouvernance, comptant trente-quatre sources de données réparties sur trois niveaux (surveillance stratégique, gestion tactique des risques, et surveillance opérationnelle et technique), et évalue la faisabilité au moyen de son cadre TROE, couvrant la maturité technique, réglementaire, organisationnelle et économique. Pour une banque confrontée à l'échéance de la BCE, l'effet pratique est direct : une image vivante et fondée sur des preuves de la chaîne d'approvisionnement tierce et logicielle, actualisée à partir de signaux observables, qui répond à la question d'assurance du superviseur par des données plutôt que par de la paperasse.

Comment insAIght s'aligne sur le plan d'action de la BCE

Ensemble, insAIght, ChainShield et les outils de gouvernance de l'IA d'Anove répondent aux quatre domaines prioritaires de la BCE comme suit. La distinction honnête, tout au long, est qu'insAIght est la couche de gouvernance, d'inventaire et de preuve. Elle orchestre et démontre, et elle consomme les signaux de la pile de sécurité plutôt que de remplacer vos pare-feux, votre prévention des pertes de données ou vos systèmes d'identité.

Surveillance, détection et défense fondée sur l'IA. insAIght ne remplace pas un SIEM, mais elle maintient l'inventaire des systèmes d'IA et des fournisseurs qui doivent être surveillés et ingère en continu la télémétrie opérationnelle, y compris les signaux issus de la prévention des pertes de données, des événements de pare-feu et des journaux d'identité et d'accès, afin de prouver que la surveillance fonctionne et de détecter le « shadow AI », cet usage non gouverné de l'IA qui préoccupe implicitement la BCE. Les mécanismes de supervision humaine (human-in-the-loop) orientent les décisions à haut risque vers le jugement humain et l'escalade.

Gouvernance, financement, sensibilisation et assurance de la chaîne d'approvisionnement. C'est le cœur de la plateforme. Un modèle de délégation rend la responsabilité explicite et applicable, avec des droits de décision et une propriété alignés sur l'appétit pour le risque, ce qui correspond exactement aux « responsables nommés, budget et effectifs » qu'exige la BCE. ChainShield assure le volet chaîne d'approvisionnement grâce à l'énumération continue des dépendances tierces et multi-niveaux, et le registre des cas d'usage de l'IA agit comme un instrument de gouvernance plutôt que comme une simple liste statique. La formation et la sensibilisation sont suivies comme des preuves plutôt que présumées.

Des contrôles de base solides. La BCE cite en premier les inventaires d'actifs précis, et à juste titre, car tout le reste en dépend. ChainShield et le registre des cas d'usage de l'IA fournissent cet inventaire faisant autorité pour le parc d'IA et sa chaîne d'approvisionnement, tandis que les attentes en matière d'accès et de journalisation sont étayées par la télémétrie d'identité et d'accès. La configuration sécurisée et l'authentification multifacteur demeurent des contrôles techniques qu'insAIght cartographie, exige et documente plutôt qu'elle ne les applique, et le principe « testé une fois, conforme partout » signifie que chaque contrôle, une fois prouvé, est réutilisé pour le règlement européen sur l'IA, NIS2, DORA et les attentes de la BCE, au lieu d'être redémontré pour chaque régime.

Résilience opérationnelle. insAIght conserve les artefacts de gouvernance relatifs à la réponse et à la reprise, les met en correspondance avec des attentes de résilience qui recoupent largement DORA, vérifie que les plans existent et sont testés, et agrège les preuves grâce à des cycles de reporting de gestion qui soutiennent la gestion de crise et les dispositifs de partage d'informations. La réponse aux incidents en direct s'exécute dans vos fonctions opérationnelles, tandis qu'insAIght prouve à l'équipe de surveillance prudentielle conjointe que les dispositifs existent, sont attribués et sont exercés.

Éprouvé dans la supervision financière

Ce n'est pas théorique. NN Group (Nationale Nederlanden), un groupe multinational actif dans l'assurance, la banque et la gestion d'actifs et supervisé par De Nederlandsche Bank, elle-même placée sous le mécanisme de surveillance unique de la BCE, a opérationnalisé exactement ce modèle en utilisant AnoveAI d'Anove avec les artefacts SECA et LockChain. Les mandats de gouvernance ont été convertis en engagements délégués assortis de responsables nommés, d'approbations et de preuves traçables, les preuves ont été collectées en continu par télémétrie, et le shadow AI a été détecté et remonté sous supervision humaine.

Le cas publié fait état de résultats significatifs : une réduction des coûts d'environ 60 % grâce à la délégation des tâches à des équipes responsables, plus de 1 200 applications intégrées en moins d'un an, et environ 1 100 utilisateurs pris en charge. Surtout, dans le contexte de la BCE, l'approche a renforcé la préparation de l'organisation à la supervision de la DNB et aux évaluations des risques informatiques, et a rendu la responsabilité vérifiable plutôt qu'implicite. Une banque confrontée au 31 octobre se trouve pour l'essentiel dans la position qu'occupait NN Group face à son superviseur, et la partie a déjà été jouée.

À retenir

La BCE a fait ce que la gouvernance de l'IA a jusqu'ici largement évité : elle a associé une date, une ligne budgétaire et un responsable identifié à la sécurité de l'IA, et a ancré le travail dans la chaîne d'approvisionnement. Pour les professionnels de la GRC et du risque IA, le 31 octobre 2026 préfigure la manière dont les superviseurs opéreront de plus en plus, avec moins de patience pour les principes et davantage d'exigence de plans financés étayés par des preuves actuelles et observables. Les banques qui pratiquent déjà une gouvernance continue et prête pour l'audit de l'IA et des tiers traiteront l'échéance comme un exercice de reporting. Les autres disposent de quatre mois pour bâtir ce qui aurait dû être en place depuis longtemps, et la voie la plus rapide consiste à cesser de s'appuyer sur des questionnaires pour maintenir une vue vivante et fondée sur des preuves du paysage de l'IA et de la chaîne d'approvisionnement.

Sources : ECB Banking Supervision, « Addressing AI-enabled cybersecurity threats » (juillet 2026) ; Security Boulevard, « The ECB just gave banks four months to fix AI vulnerability gaps » ; ChainShield, « On How AI-Driven Enumeration Can Inventory the Supply Chain to Mitigate Risks », A. Sewnandan et M. El Jerrari, Antwerp Management School (2026) ; étude de cas NN Group dans « Real-Life Applications of DEMO » (Y. Bobbert).

Pour aller plus loin

• insAIght : la plateforme de gouvernance et de gestion des risques de l'IA d'Anove, pour une conformité continue et prête pour l'audit, incluant la capacité d'énumération de la chaîne d'approvisionnement ChainShield.
• AnoveAI et le registre des cas d'usage de l'IA : rendre la responsabilité de l'IA explicite et fondée sur des preuves tout au long du cycle de vie des cas d'usage.
• ExplAIn : vérifiez si les outils d'IA que vous utilisez sont conformes.
• NIST SP 800-18 Rev. 2 : le risque lié à la chaîne d'approvisionnement au cœur de la planification des systèmes : lecture connexe sur le risque de la chaîne d'approvisionnement dans les cadres de gouvernance.
• Recourir à l'IA pour relever les défis posés par la réglementation NIS2 : lecture connexe sur la surveillance continue de la chaîne d'approvisionnement dans le droit européen.

Réservez une démo pour découvrir comment insAIght et ChainShield maintiennent votre gouvernance de l'IA et de la chaîne d'approvisionnement continuellement prête pour l'audit, de l'échéance d'octobre de la BCE à tous les autres cadres que vous suivez.