Les banques ont maintenant quelques minutes, et non des semaines, pour effectuer les réparations. Le fait que l’argent soit disponible en permanence est la raison pour laquelle le coût est structurel.

Un avertissement envoyé depuis Bâle au début du mois de septembre ressemble à l’intrigue d’un thriller : l’IA frontalière…Cela a réduit le temps qu’un banque doit consacrer à corriger une erreur logicielle, des semaines à quelques minutes.Et les calendriers de mise à jour de routine ne peuvent plus suivre le rythme. La source est la Banque des Règlements Internationaux – la « banque centrale des banques centrales » – par l’intermédiaire de son Institut pour la Stabilité Financière, dans un document sur les menaces liées à l’intelligence artificielle pour le secteur financier. Il identifieDécouverte et exploitation des vulnérabilités autonomesC’est le développement le plus important que l’IA apporte au secteur bancaire. Le risque terroriste mentionné dans les titres financiers est réel, mais il indique plutôt un problème plus lent et plus durable pour ceux qui possèdent des actions bancaires : le risque cyberdevient progressivement une charge opérationnelle, ainsi qu’un risque de type “tail”, que la plupart des valeurs bancaires ne prennent même pas en compte.

Commencez par comprendre ce que signifie réellement cette alerte en termes opérationnels. Une faille est un bug dans le logiciel d’une banque, que les attaquants peuvent utiliser pour accéder aux données de la banque. Pendant des années, on a supposé qu’une banque avait des semaines – un cycle de mises à jour mensuelle, une période de maintenance planifiée – entre l’apprentissage de la faille et son utilisation par des attaquants. C’est cette hypothèse qui est brisée par l’IA. Lorsqu’un modèle peut analyser le code, identifier les points faibles, créer des exploits et combiner plusieurs faiblesses en un seul attaque, l’attaquant n’a plus besoin du temps ou des compétences humaines spécialisées que le modèle ancien supposait nécessaires. Le rapport du BIS indique aux banques…La fenêtre entre la découverte et l’exploitation a passé de quelques semaines à quelques minutes.Les régulateurs et les organismes industriels disent la même chose, dans leur propre langage :Le groupe de résilience opérationnelle des marchés du Royaume-Uni espère que les délais de réparation diminueront, passant de quelques semaines à quelques jours, et dans certains cas, même à quelques heures.Alors que l’Institut de la Finance International exhorte les banques à effectuer les réparations plus rapidement, en dehors des périodes prévues, et à accepter des périodes de suspension planifiées pour effectuer des réparations urgentes.

C’est dans cette dernière phrase que se cache l’aspect financier de l’investissement. Accepter les périodes de suspension des activités semble sans danger, mais pour une banque, ces périodes de suspension correspondent aux moments où elle ne fait pas ce pour quoi elle est payée : transférer de l’argent, valider les virements, financer les prêts. Chaque année, une banque dépense plus d’argent pour se protéger contre les attaques et pour compenser les interruptions nécessaires à ces mesures de protection. Regardez le coût de base.Les services financiers sont entrés en 2026 comme l’industrie la plus attaquée sur Internet.Et les efforts d’IBM concernant les coûts liés aux violations de données ont montré que le nombre moyen de violations de données dans le secteur des services financiers est…5,56 millions en 2025, juste derrière le secteur de la santé.Dans l’industrie en général,Gartner prévoyait que les dépenses en cybersécurité mondiales atteindraient environ 240 milliards de dollars en 2026.+ de plus de 12 % par rapport à l’année précédente. Et l’asymétrie présentée dans ce rapport est ce qui rend cette tendance stable : car…BIS lui-même a soutenu que l’IA réduit les coûts des attaques sophistiquées plus que les coûts de défense.Ainsi, les attaquants deviennent moins coûteux, tandis que les défenseurs doivent s’activer davantage.

Voici la partie que l’annonce ne vous dit pas, et c’est cette partie qui mérite d’être considérée de manière structurée. C’est justement cette tendance qui rend les « minutes plutôt que des semaines » urgentes : elle pousse les banques à offrir des services en temps réel. Or, les services en temps réel ne peuvent pas être suspendus. Au cours de la même période, les banques se sont efforcées de se moderniser pour adopter des systèmes en temps réel : paiements instantanés, dépôts tokenisés, et règlements 24/7. Le BIS est lui-même un moteur de ce processus.Le projet Agorá – une collaboration entre sept banques centrales et plus de quarante institutions financières.– Il teste actuellement un système de règlement en tant que tokenisé. En 2026, ce système est passé du stade de prototype à celui de tests utilisant de l’argent réel.TD déplace des dollars américains réelset unePilote transfrontalier en cours avec JPMorgan, Citi et UBSTout cela repose sur une seule hypothèse que l’avertissement du BIS mine silencieusement : que le processus de règlement puisse se dérouler en continu, en temps réel, pour toujours.

Un cycle mensuel de mise à jour des logiciels représente une solution de compromis que le monde du traitement par lots peut accepter. En effet, un système qui fonctionne à des intervalles programmés peut également être arrêté à ces mêmes intervalles. Le système de règlement en temps réel que vous avez promis aux clients est disponible 24/7. Mais il est impossible de le mettre hors service chaque fois qu’une nouvelle vulnérabilité apparaît. Soit vous continuez à le utiliser et acceptez les risques, soit vous le mettez hors service pour ne pas briser la promesse qui en fait valeur. C’est une tension réelle, et non une simple rhétorique. Cela signifie que la pression décrite dans ce rapport ne reste pas au lieu où elle se trouve initialement. Elle augmente à mesure que l’argent est dépensé pour construire des infrastructures qui doivent fonctionner en permanence. L’institution qui alerte sur la vitesse imprévisible des mises à jour est, en même temps, en train de construire des infrastructures qui ne prennent plus en compte les périodes de indisponibilité.

Pour un investisseur de type retail, l’analyse honnête ne consiste pas à « vendre les banques, car quelqu’un pourrait les pirater ». Aucune violation spécifique n’est prédite ici. Il s’agit plutôt d’une réévaluation de deux facteurs que le ratio prix/actif d’une banque ne montre pas : des coûts de fonctionnement qui augmentent progressivement, et un risque de type « tail », qui devient plus probable à mesure que les conditions deviennent plus difficiles à gérer. Les deux sont de nature structurelle, ce qui signifie qu’ils favorisent les banques qui sont les mieux placées pour les absorber. Une banque utilisant une infrastructure moderne, basée sur le cloud, peut corriger les problèmes de manière continue et considérer les pannes comme partie intégrante du système ; une banque qui utilise encore des processeurs anciens, avec des mesures de sécurité insuffisantes, doit faire face à des corrections urgentes, ce qui entraîne des pannes réelles, des plaintes des clients, et une diminution des dépôts et des revenus liés aux commissions, juste au moment où les marges de ces banques sont déjà sous pression.

La question la plus importante que cette alerte soulève n’est pas de savoir si votre banque sera attaquée, mais quel type de banque c’est. Les banques conçues pour se remettre rapidement des attaques ont transformé le coût en une sorte de barrière défensive. Celles qui ne peuvent pas se remettre rapidement présentent un risque que l’on ne voit pas dans les rapports financiers. Alors que l’argent circule sur des rails qui ne dorment jamais, cette distinction devient de plus en plus difficile à ignorer.