Les autorités alertent sur l'IA qui trouve les failles plus vite

Le 31 juillet 2026, les trois autorités européennes EBA, EIOPA et ESMA ont publié une déclaration commune sur les risques informatiques liés aux modèles d'IA de pointe dans le secteur financier. Le message : la gouvernance entourant l'usage de ces modèles doit se resserrer, et leur supervision doit devenir plus cohérente entre États membres. Les autorités retiennent explicitement une approche fondée sur les risques et transsectorielle, et renvoient au plan d'action de la Commission européenne sur la cybersécurité et l'IA.

Pourquoi maintenant

La déclaration ne sort pas de nulle part. Le 3 août 2026, PYMNTS expliquait comment les modèles d'IA avancés réduisent fortement le délai entre l'existence d'une vulnérabilité et son exploitation. Là où un chercheur passait autrefois des semaines sur une seule base de code, un modèle peut désormais balayer des milliers de projets à la recherche d'erreurs d'implémentation. La faille Coldcard de la semaine dernière, où une compilation mal configurée a sapé l'entropie de la génération de la seed, relève exactement de ce type d'erreur.

Scott Aaronson, conseiller scientifique chez StarkWare, le formulait sans détour dans le même article : le moment de réfléchir à une migration vers un chiffrement résistant au quantique, c'est maintenant, pas plus tard.

Là où DORA intervient

Pour le secteur, cela se rattache directement à DORA. Ce règlement impose aux établissements financiers de maîtriser leurs risques informatiques de façon démontrable et place les prestataires informatiques tiers critiques sous supervision européenne directe. Un modèle d'IA utilisé pour la revue de code, la détection de fraude ou la relation client entre en pratique dans ce champ. Les autorités précisent qu'acheter un tel modèle ne déplace pas la responsabilité.

La même logique vaut pour les CASP sous MiCA. Qui détient un agrément dans l'Union doit avoir sa résilience opérationnelle en ordre, fournisseurs compris.

Ce que ce n'est pas

Ce n'est ni une nouvelle règle ni une consultation. C'est un signal commun indiquant où le contrôle va porter dans les mois qui viennent. Les obligations concrètes découlent de DORA et du règlement sur l'IA, pas de cette déclaration.

Ce que cela change pour vous

En tant que particulier, vous ne voyez rien de cette supervision, mais la direction est utile. Partez du principe que le délai entre la publication d'une vulnérabilité et son exploitation se raccourcit. Concrètement : ne laissez pas traîner des semaines les mises à jour de firmware de vos wallets et appareils, et lorsqu'une faille est signalée, mettez d'abord votre solde à l'abri avant de déterminer si vous faites partie du groupe touché. Si vous travaillez chez un acteur soumis à DORA, c'est le moment de cartographier les fournisseurs d'IA de votre chaîne avant que l'autorité ne le demande.

Sources : EBA, EIOPA et ESMA (déclaration commune, 31 juillet 2026), PYMNTS (3 août 2026), règlement (UE) 2022/2554 (DORA). Dernière vérification : 6 août 2026.