Taïwan ouvre une consultation sur la sécurité des agents d’IA avant leur déploiement dans les systèmes financiers

Trente jours pour débattre des garde-fous applicables aux IA capables d’agir

La Commission de surveillance financière de Taïwan (FSC) a ouvert le 13 octobre 2026 une consultation publique de 30 jours sur des mesures de sécurité destinées aux agents d’intelligence artificielle capables de se connecter aux systèmes opérationnels des institutions financières, d’agir sur eux ou d’y déclencher des opérations. La proposition définit quatre niveaux de risque, de L1 à L4, et prévoit que les actions les plus risquées soient soumises à une autorisation ou à un examen préalable, ou à des mécanismes empêchant leur exécution.

Intitulé Consultation Document on the Safe Use of Agentic AI in the Financial Sector, le document est publié avant tout déploiement à grande échelle. Lin Yu-tai, directeur du département de la gestion de l’information de la commission, a indiqué que la plupart des institutions financières en étaient encore à l’expérimentation ou à de petits essais dans des environnements contrôlés. Il a dit n’avoir connaissance d’aucune institution ayant intégré ces agents à ses activités courantes.

La principale préoccupation de la commission concerne le passage d’une IA qui produit des informations à une IA qui agit. Un assistant qui résume les réclamations des clients ne soulève pas les mêmes enjeux de sécurité qu’un agent capable de consulter des dossiers confidentiels, de modifier des informations dans un système ou d’envoyer directement une réponse à un client.

La consultation porte donc avant tout sur les autorisations et la responsabilité, et pas uniquement sur la précision des modèles. Les institutions devraient déterminer quelles informations un agent peut consulter, quels outils il peut utiliser, quelles actions il peut effectuer et comment le personnel peut l’arrêter ou reprendre la main en cas de problème.

Le document n’est ni une nouvelle réglementation ni une directive officielle. Il ne remplace pas les lois en vigueur, les exigences de surveillance, les règles relatives à l’externalisation ou les contrôles internes. La commission espère que la consultation contribuera à l’élaboration de futures directives, mais n’a fixé aucun calendrier à cet égard.

Pourquoi l’accès aux systèmes opérationnels change le niveau de risque

Les agents d’IA peuvent planifier des étapes, appeler des outils logiciels et récupérer des informations dans différents systèmes pour accomplir une tâche. Ils se distinguent ainsi des applications conversationnelles dont la fonction principale est de produire une réponse qu’une personne évalue. Le problème de sécurité devient plus urgent lorsqu’une réponse erronée peut se traduire directement par une action opérationnelle.

Lin a relevé quatre risques principaux : l’agent peut s’écarter de l’objectif prévu, faire un mauvais usage des outils ou dépasser ses autorisations, exposer des informations sensibles et propager des erreurs dans une succession d’actions. Ces risques peuvent se combiner. Un agent pourrait récupérer des informations qu’il ne devrait pas utiliser, les inclure dans un message puis envoyer celui-ci à l’extérieur de l’institution.

Les hallucinations de l’IA, c’est-à-dire les résultats plausibles mais erronés, restent préoccupantes. Lin a évoqué le cas où un agent intégrerait des informations personnelles dans un courriel externe alors qu’elles n’y ont pas leur place. Il s’agissait d’un exemple de défaillance possible, et non d’un incident signalé dans un établissement financier.

La vitesse change également l’ampleur potentielle des conséquences. Lin a comparé le traitement d’un dossier par une personne, peut-être à raison d’un par heure, à celui de 100 dossiers par un agent. Cet exemple suggère un volume de traitement cent fois supérieur, et non un gain de productivité mesuré. Il voulait souligner que des erreurs automatisées pourraient se propager à de nombreux dossiers avant que le personnel n’intervienne.

Gérer la tâche, pas seulement la technologie

La consultation organise ses propositions autour de trois axes : la gouvernance de la sécurité, la classification des risques et les mesures de sécurité. Elle privilégie la gestion par scénario d’application, c’est-à-dire en fonction de la tâche précise qu’une institution souhaite confier à un agent, plutôt que du produit d’IA considéré isolément.

Pour chaque scénario, l’institution devrait définir l’objectif opérationnel, les personnes responsables, les données auxquelles l’agent peut accéder, les outils mis à sa disposition et les actions autorisées. Elle devrait aussi préciser où les résultats peuvent être envoyés ou enregistrés, et ce qui se passe si l’agent se comporte de manière anormale.

Cette approche permet d’appliquer des contrôles différents à un même logiciel selon son rôle. Un agent qui analyse des informations de sécurité sans agir présente un profil différent de celui d’un agent autorisé à modifier un système opérationnel. Un changement d’autorisations peut donc compter autant qu’un changement de modèle sous-jacent.

La gouvernance ne s’arrêterait pas à l’approbation initiale. Les propositions prévoient des mécanismes d’examen, de surveillance, d’inspection, de réduction des capacités, de suspension et de rétablissement adaptés au niveau de risque. La classification devrait guider les seuils d’approbation, les conditions d’essai, les décisions de déploiement et le contrôle ultérieur, avec une réévaluation à mesure que l’application évolue.

Quatre niveaux de risque évalués selon trois axes

La classification proposée, de L1 à L4, s’appuie sur trois axes : la sensibilité des données, l’impact des actions et les limites des capacités ou le risque de propagation des effets. L’évaluation retient le niveau de risque le plus élevé, sans qu’une caractéristique moins risquée puisse compenser une autre plus dangereuse.

La sensibilité des données concerne les informations auxquelles l’agent peut accéder. Consulter des informations publiques n’équivaut pas à accéder à des dossiers personnels ou à des secrets commerciaux. L’impact des actions porte sur ce qu’il peut faire de ces informations : les lire, modifier des dossiers ou communiquer à l’extérieur de l’institution.

Le troisième axe porte sur l’étendue et la portée de son activité. Un agent limité à une tâche unique se distingue d’un agent capable de traiter des lots, de fonctionner en continu ou d’enchaîner plusieurs étapes liées. C’est là qu’entre en jeu la possibilité qu’une petite erreur se transforme en problème opérationnel plus grave.

Pour les applications de niveau L4, la proposition empêcherait l’exécution automatique d’actions à haut risque sans autorisation ou examen préalable, ou sans mécanisme de blocage. Les applications moins risquées conserveraient une marge de manœuvre pour les essais. La commission affirme que son approche repose sur le risque, la proportionnalité et la neutralité à l’égard des technologies, en s’appuyant sur des cadres internationaux de sécurité.

Le service client montre l’importance des autorisations

L’exemple du service client donné par Lin permet de mieux comprendre la démarche. Un agent qui recueille les réclamations et en prépare des synthèses présente un niveau de risque faible à moyen. S’il peut aussi envoyer des réponses aux clients, son niveau de risque passe, selon lui, de moyen à élevé, car il peut alors agir à l’extérieur de l’institution.

La différence ne tient pas simplement au fait que les deux applications utilisent l’IA. Dans le premier cas, un employé peut examiner la synthèse avant qu’elle n’ait une incidence sur le client. Dans le second, l’agent peut transformer son interprétation en communication externe. L’autorisation d’envoyer le message change les conséquences d’une erreur.

L’autorisation de modifier des informations crée une autre limite. Un agent qui ne peut que lire ne peut pas, par ce seul accès, modifier les dossiers d’origine. Dès lors qu’il peut écrire, une erreur risque de modifier ou de supprimer des informations. Les contrôles doivent donc porter à la fois sur la qualité des résultats et sur l’intégrité des systèmes auxquels l’agent accède.

Cet exemple explique également pourquoi attribuer une seule étiquette à l’ensemble du programme d’IA d’une institution serait insuffisant. Deux usages d’un même agent peuvent nécessiter des conditions d’approbation, de surveillance et de rétablissement différentes en fonction des données auxquelles ils accèdent et des actions qu’ils sont autorisés à effectuer.

Un employé numérique a toujours besoin d’un responsable humain

Lin a décrit un agent d’IA comme un employé numérique, car il peut faire avancer activement une tâche. L’analogie ne consiste pas seulement à lui attribuer un rôle : l’institution doit définir ce qu’il peut faire, le tester avant son déploiement, superviser son activité et disposer d’une procédure pour l’arrêter.

À propos de la responsabilité du déploiement, Lin a précisé que confier une tâche à un agent ne décharge pas les humains de leurs responsabilités. Dans la traduction anglaise de ses propos, il a déclaré :

L’IA ne peut être qu’un assistant ; les humains restent les superviseurs ultimes.

Ce principe confie aux personnes la responsabilité de définir le champ d’action de l’agent et de réagir aux défaillances. Les contrôles de sécurité existants ne peuvent pas être contournés au seul motif qu’un agent d’IA intervient. L’institution doit désigner une personne responsable de la décision et disposer de moyens techniques pour faire respecter les limites qu’elle a approuvées.

La commission ne traite pas de tous les usages de l’IA par les employés. Les assistants personnels qui opèrent dans le cadre des autorisations existantes d’une personne peuvent être gérés au moyen des contrôles internes et des dispositifs de sécurité déjà en place. La connexion d’un agent aux systèmes opérationnels d’une institution financière nécessite une nouvelle évaluation des risques et de la sécurité de l’information.

Les contrôles d’identité et d’accès s’appliquent aussi aux agents

Les propositions de sécurité considèrent un agent comme une identité non humaine et une charge de travail logicielle. Concrètement, l’institution doit savoir quel agent agit et quelles autorisations s’appliquent à lui. Son activité ne doit pas se confondre avec celle d’autres utilisateurs ou processus automatisés sans lien avec lui.

L’approche s’appuie sur les principes du zéro confiance : on ne considère pas automatiquement un accès comme sûr au seul motif que le système se trouve au sein de l’organisation. L’identité et les autorisations doivent être vérifiées, l’accès limité aux besoins de la tâche et les actions traçables.

Les contrôles couvrent les identités, les appareils et les environnements d’exécution, les réseaux, les applications et les charges de travail, ainsi que la protection des données. Les propositions comprennent des exigences et des objectifs de contrôle de base et avancés ; les contrôles comportementaux, la visibilité et l’analyse en font également partie.

Lin a présenté plusieurs mesures concrètes. Les agents devraient fonctionner dans des environnements correctement isolés, les connexions réseau devraient être restreintes en fonction de la tâche et l’accès aux outils limité à une liste approuvée. L’accès aux données devrait respecter le principe du strict nécessaire. Ces mesures visent différentes voies par lesquelles un agent pourrait dépasser le rôle qui lui est assigné, plutôt que de s’appuyer uniquement sur les instructions données au modèle.

Les tests doivent couvrir les défaillances à l’échelle de tout un processus

Pour les applications capables de faire progresser un processus, la consultation préconise des tests avant leur déploiement portant sur les injections de prompt, le mauvais usage des outils, les autorisations héritées et la contamination de la mémoire. Ces tests évaluent le comportement d’un agent lorsque les informations, les outils ou les autorisations auxquels il est confronté risquent de l’éloigner de la tâche approuvée.

Une injection de prompt se produit lorsque des instructions dissimulées dans un contenu consulté par l’agent cherchent à détourner son comportement. Le mauvais usage des outils désigne l’utilisation inappropriée de logiciels connectés. Les autorisations héritées peuvent donner à un agent un accès provenant d’un autre compte ou processus, tandis que la contamination de la mémoire désigne l’influence involontaire d’informations stockées sur des activités ultérieures.

Les objectifs opérationnels ne se limitent pas à prévenir les défaillances. Les systèmes devraient être observables, pouvoir être restreints ou arrêtés, être rétablissables et rester traçables. Le personnel doit pouvoir voir ce que fait un agent, interrompre une activité préjudiciable et rétablir les opérations touchées dans la mesure du possible.

Les journaux d’activité de l’agent devraient faciliter les enquêtes et les audits. Arrêter un agent ne suffit pas nécessairement à résoudre une défaillance s’il a déjà enregistré des informations erronées ou déclenché d’autres actions. Les propositions associent donc l’interruption à des mesures de rétablissement et à la conservation d’une trace des événements.

Une consultation, pas une règle définitive de déploiement

La commission a publié le document dans la rubrique consacrée aux discussions publiques de la plateforme taïwanaise de participation aux politiques publiques. Elle estime que la consultation permettra d’intégrer l’expérience pratique au cadre et servira de base aux travaux sur les politiques, à l’éventuelle publication de directives et aux échanges sur la supervision.

Lin a expliqué que l’évolution rapide des technologies était l’une des raisons pour lesquelles il était prématuré de publier immédiatement une directive définitive. La commission ne peut pas non plus présumer avoir déjà recensé tous les risques pertinents. Son intention d’élaborer des directives dépend donc des retours reçus et de l’évolution des technologies ; elle ne constitue pas la promesse d’un document définitif à une date précise.

Voici les étapes présentées par la commission :

• Juillet 2026 : la FSC a proposé des stratégies pour répondre aux attaques utilisant l’IA, une initiative que Lin a décrite comme un préalable aux travaux actuels.
• 13 octobre 2026 : la FSC a publié le document de consultation sur la sécurité des agents d’IA.
• Après la publication : une période de consultation publique de 30 jours permet de recueillir des commentaires sur l’approche proposée.
• À l’issue de la consultation : l’éventuelle publication de directives officielles dépendra des commentaires reçus et de l’évolution technologique ; aucun calendrier n’a été annoncé.

Les essais en cours permettent de comprendre ce calendrier. Lin a indiqué que de nombreuses expérimentations portaient sur la cybersécurité, par exemple sur l’analyse de renseignements de sécurité sans action opérationnelle directe. La commission veut que les mesures de protection soient prêtes avant que les agents ne soient davantage intégrés aux processus administratifs et opérationnels. La prochaine étape concrète est la consultation ; la formulation définitive et le statut d’éventuelles directives restent indéterminés.

À retenir

• La FSC de Taïwan a ouvert le 13 octobre 2026 une consultation de 30 jours sur l’utilisation sécurisée des agents d’IA dans la finance.
• La consultation porte sur les agents capables de se connecter aux systèmes opérationnels des institutions financières, d’agir sur eux ou d’y déclencher des opérations.
• La proposition définit quatre niveaux de risque, évalués selon la sensibilité des données, l’impact des actions et les limites des capacités.
• Les actions présentant le risque le plus élevé nécessitent une autorisation ou un examen préalable, ou des mécanismes empêchant leur exécution.
• Les institutions devraient limiter les autorisations, conserver les journaux d’activité et pouvoir arrêter les agents et rétablir les systèmes après une défaillance.
• La responsabilité humaine demeure même lorsqu’un agent d’IA exécute la tâche.
• La plupart des usages restent expérimentaux. Le document n’est pas une directive officielle et aucun calendrier de publication n’a été fixé.