IA « frontière » : les régulateurs financiers européens somment les banques de muscler leur gouvernance

Le 31 juillet 2026, l'EBA, l'EIOPA et l'ESMA — les trois autorités de surveillance financière de l'UE, réunies au sein du Joint Committee — ont publié une déclaration commune appelant les entités financières à renforcer leur gouvernance face aux risques informatiques posés par les modèles d'IA « frontière ». Un texte qui ne crée pas de nouvelle obligation, mais qui fixe une grille de lecture commune pour les superviseurs nationaux, et qui vise en particulier les prestataires tiers critiques (CTPP) au sens de DORA.

Ce qui s'est passé

Dans leur déclaration conjointe, les trois autorités européennes de surveillance (ESAs) appellent à une approche de supervision « cohérente et fondée sur les risques » pour limiter les risques informatiques (ICT) liés aux modèles d'IA de frontière dans le secteur financier. Le texte s'appuie sur le plan d'action de la Commission européenne sur la cybersécurité et l'intelligence artificielle, ainsi que sur les travaux récents du Comité européen du risque systémique (ESRB), de l'ENISA et du Mécanisme de surveillance unique (BCE).

Les ESAs demandent aux entités financières de disposer de cadres de gouvernance et de gestion des risques robustes pour prévenir, détecter et gérer les cyber-risques associés à l'IA de frontière. Elles précisent également le calendrier des activités de supervision DORA à venir concernant les prestataires tiers critiques en TIC (CTPP) — les fournisseurs cloud et d'infrastructure IA au premier chef.

Pourquoi c'est important

Ce texte s'inscrit dans une séquence qui s'accélère depuis le printemps : l'ESRB avait relevé en juillet le niveau de risque cyber systémique lié à l'IA de frontière d'« élevé » à « sévère » en trois mois seulement, la BCE a ensuite sommé 110 banques significatives d'agir avant fin octobre. La déclaration du 31 juillet vient élargir ce mouvement : elle couvre l'ensemble des entités soumises à DORA (banques, assurances, sociétés de gestion), et non plus les seuls établissements systémiques suivis directement par la BCE.

Pour les DPO et RSSI, le signal est clair : les superviseurs ne traitent plus l'IA de frontière comme un sujet d'innovation isolé, mais comme un facteur de risque opérationnel à part entière, au même titre que la dépendance aux prestataires cloud. Le texte fait explicitement le lien avec les obligations DORA de gestion des risques liés aux tiers, qui reposent sur la même logique d'encadrement contractuel et d'audit que l'article 28 du RGPD pour les sous-traitants traitant des données personnelles.

Ce que ça change pour les organisations

Les entités financières concernées par DORA — mais aussi, par ricochet, tout DPO d'un groupe bancaire, assurantiel ou d'une société de gestion — doivent désormais anticiper trois évolutions concrètes. D'abord, une cartographie actualisée des fournisseurs d'IA de frontière utilisés en interne ou par des prestataires tiers, avec une attention particulière aux CTPP au sens de DORA. Ensuite, un renforcement des clauses contractuelles et des questionnaires de sécurité adressés à ces prestataires, sur le modèle de ce qu'impose déjà l'audit des sous-traitants RGPD. Enfin, une préparation au dialogue de supervision : les ESAs invitent explicitement les autorités compétentes et les entités financières à utiliser cette déclaration comme base de discussion lors des contrôles, ce qui signifie que les inspecteurs pourront s'y référer dès les prochains cycles d'audit.

Plus largement, ce texte confirme la tendance à la convergence des référentiels réglementaires : RGPD, NIS 2 et DORA se recoupent de plus en plus sur la gestion des risques tiers et la gouvernance des systèmes automatisés, un point que Leto détaille dans son guide sur l'articulation entre DORA, NIS 2 et RGPD. Les organisations qui traitent ces textes en silos multiplient le travail sans réduire le risque réel.

Ce que Leto pense de cette décision

Cette déclaration confirme ce que l'on observe depuis plusieurs mois : les autorités de supervision financière avancent plus vite que le législateur sur l'encadrement de l'IA de frontière, en mobilisant les textes existants (DORA, RGPD, plan d'action cybersécurité de la Commission) plutôt qu'en attendant une nouvelle réglementation dédiée. C'est une bonne nouvelle opérationnelle : les organisations n'ont pas à attendre un texte hypothétique pour agir, les leviers — audit des sous-traitants, cartographie des dépendances, clauses contractuelles — sont déjà dans leur boîte à outils RGPD et DORA. Le vrai risque, pour les DPO et RSSI, serait de continuer à traiter l'IA de frontière comme un sujet à part, alors que les superviseurs la rattachent explicitement à la gestion classique du risque tiers.

Sources :
ESMA — EBA, EIOPA and ESMA call for enhanced governance and consistent supervision to mitigate ICT risks from frontier AI models in the EU financial sector (31 juillet 2026)