Les attentes de la BaFin en matière de gestion des risques ICT et de l’utilisation de l’IA
Contexte
La BaFin a émis des orientations non contraignantes clarifiant comment les institutions financières doivent gérer les risques liés aux technologies de l’information et de la communication (ICT) qui découlent des systèmes basés sur l’intelligence artificielle (IA) dans le cadre de la réglementation (UE) 2022/2554 et des réglementations connexes de l’UE.
Résultats
Les systèmes d’IA, en particulier l’IA générative et les modèles de langage de grande taille (LLM), doivent être intégrés dans les cadres de gouvernance ICT existants, de test et de gestion des risques des tiers, avec une surveillance accrue.
Avenir
Les institutions financières utilisant ou prévoyant de déployer des systèmes d’IA doivent réévaluer leurs pratiques de gouvernance, de test, d’externalisation cloud et de signalement des incidents pour répondre aux attentes évolutives des superviseurs.
Directives spécifiques
Les orientations visent à fournir des directions supplémentaires concernant le traitement des systèmes basés sur l’IA sous DORA, ainsi que les risques liés aux tiers et à l’externalisation. Les institutions financières doivent s’assurer que les systèmes basés sur l’IA sont gouvernés, sécurisés et surveillés de manière cohérente au sein de leurs cadres de conformité DORA établis, y compris :
- Adoption d’une stratégie d’IA approuvée par la direction, définition de responsabilités claires, développement de compétences en IA et garantie d’une collaboration interdisciplinaire.
- Intégration des systèmes d’IA dans le cadre de gestion des risques ICT conforme à DORA, couvrant l’identification, la protection, la détection, la réponse aux incidents, la récupération, la formation et la communication de crise.
- Application de normes robustes de développement et de documentation aux développements internes d’IA, en prêtant attention à l’utilisation de composants open-source et à la génération de code assistée par IA.
- Extension des obligations de test aux systèmes basés sur l’IA, avec une portée et une profondeur en fonction de leur criticité.
- Importance de la gestion des risques liés aux tiers ICT, en raison de la dépendance généralisée aux services cloud pour l’IA.
- Application de contrôles de cybersécurité et de sécurité des données tout au long du cycle de vie de l’IA, proportionnellement à la criticité des systèmes.
- Identification et signalement des incidents liés aux systèmes d’IA, intégrant des processus spécifiques d’analyse d’impact et de classification.
Conclusion
Ces directives confirment que les systèmes basés sur l’IA ne sont pas soumis à un régime distinct. Ils doivent être intégrés dans la gouvernance ICT existante conforme à DORA, ce qui nécessite une attention particulière des superviseurs concernant les systèmes d’IA, en particulier ceux qui sont génératifs.
