De Donald Trump au Pape François en passant par Taylor Swift, vous avez probablement vu passer sur vos réseaux  des articles soulignant les dangers des « deepfakes », ces photos ou vidéos mettant en scène des célébrités avec des outils d’intelligence artificielle générative.

Bien au-delà d’Instagram, le recours aux deepfakes se répand chez les fraudeurs. D’après le rapport publié par le développeur Regula il y a quelques jours, «The Deepfake Trends 2024», parmi tous les secteurs étudiés, c’est celui de la finance qui est le plus touché : 23 % des entreprises interrogées dans ce secteur ont déclaré des pertes supérieures à 1 000 000 dollars en raison de la fraude causée par l’IA.

L’intégration de cette technologie dans le private banking laisse souvent entrevoir des avantages multiples pour tous les acteurs de la branche, y compris les gérants de fortune externes (EAM).

Mais qu’en est-il des risques cyber et de l’évolution de la réglementation que les EAM doivent connaitre ? Pour répondre à cette question, nous avons réuni Philipp Fischer, Associé de l’étude Oberson Abels, et nos experts Lombard Odier, Alain Beuchat, Responsable de la Sécurité des Systèmes Informatiques et Richard Denglos, Responsable de l’infrastructure IT.

Quels sont les principaux risques légaux induits par l’IA ?

Pour Philipp Fischer,  les principaux risques réglementaires liés à l’utilisation de l’IA pour une institution financière suisse peuvent être regroupés dans  quatre grandes catégories.

1-Non-conformité aux attentes de l’autorité de la FINMA

L’Autorité de surveillance des marchés financiers a formulé des attentes spécifiques concernant l’utilisation de l’IA, en se focalisant sur les volets suivants : gouvernance et responsabilité, transparence et explicabilité, égalité de traitement, gestion des risques et contrôle.

2-Manque de transparence et d’explicabilité

L’incapacité à expliquer les résultats obtenus par l’IA pourrait conduire à des défis réglementaires, notamment en ce qui concerne la vérifiabilité de décisions par les autorités de contrôle et la capacité à informer correctement les clients et autres personnes concernées.

3-Risques de discrimination (biais)

L’utilisation de l’IA pourrait conduire à des traitements inéquitables, par exemple dans l’acceptation de nouveaux clients ou dans la revue de transaction. Les institutions financières doivent ainsi s’assurer que leurs systèmes d’IA ne créent pas de discriminations injustifiées.

4-Conformité à la future réglementation

Bien que la Suisse n’ait pas encore de réglementation spécifique sur l’IA, le Conseil fédéral a chargé l’Administration fédérale d’identifier les approches possibles en matière de réglementation d’ici fin 2024. Les institutions financières devront anticiper et se préparer à ces futures exigences, y compris la règlementation européenne (EU AI Act), qui pourrait être applicable à certaines banques suisses.

Pour atténuer ces risques, les institutions financières suisses devraient mettre en place un cadre de gouvernance robuste pour l’utilisation de l’IA, assurer une transparence adéquate, maintenir un contrôle humain sur les décisions importantes, et se tenir informées des développements réglementaires à venir.

Un avis que partage Richard Denglos, qui a notamment expliqué que « L’augmentation de l’empreinte Cloud au travers des nouvelles solutions SaaS (Software as a service) est renforcée par l’explosion de l’IA générative. Ceci nous amène à repenser en profondeur notre approche et nos modes opérationnels, et à renforcer notre gouvernance ».

Quelles tendances en cybersécurité impacteront les EAM ?

Pour Alain Beuchat, l’IA va devenir omniprésente, ce qui représente un défi pour la protection des données (par exemple la propriété intellectuelle, le secret des affaires ou encore le droit d’auteur), les biais algorithmiques ou le manque de transparence.

Au-delà de l’IA, d’autres aspects sont liés à la sécurité même des EAM. Il anticipe notamment que les attaques informatiques vont continuer à se développer. Dans ce domaine, la mise en place de mécanismes de protection simples sont un rempart qui sera toujours plus essentiel (installation des correctifs de sécurité, authentification multi-facteur, sauvegarde hors-ligne des données, installation d’un anti-virus).

Pour les nombreux EAM ayant externalisé leur informatique ; que peuvent-ils faire pour se protéger des attaques ? Pour Alain Beuchat, un processus de due-diligence est fortement recommandé lors de la sélection d’une partie-tierce, pour évaluer le profil de risque des prestataires potentiels.

Ensuite, la préparation annuelle d’un rapport de type ISAE ou SOC 2 est un atout, car il permet d’obtenir la liste des contrôles mis en place par le prestataire et leur effectivité (correction des vulnérabilités, authentification multi-facteur des accès à distance, limitation des accès privilégiés des administrateurs IT, sauvegardes régulières hors-ligne, etc). La revue annuelle de ces rapports permet de juger de la sécurité du prestataire.

Laurent Pellet

Limited Partner, Global Head of EAM

Laurent Pellet a rejoint la Banque Lombard Odier & Cie SA en 2017 et pris la responsabilité du département des gérants de fortune externes pour le groupe en 2018. Après ses débuts chez Ferrier Lullin & Cie SA, il a occupé diverses fonctions chez Banque Julius Baer durant plus de 20 ans. Il est titulaire d’un diplôme en gestion quantitative de fortune de HEC Genève et d’un diplôme en droit de la finance digitale de l’Université de Genève et de la CWMA.

Lombard Odier

Lombard Odier est un gestionnaire de fortune et d’actifs mondial qui se consacre exclusivement au service de ses clients privés et institutionnels depuis 228 ans. Entreprise indépendante, entièrement détenue par ses associés-gérants, Lombard Odier est l’une des banques les mieux capitalisées du monde, privilégiant une grande liquidité dans la gestion de son bilan.