IA de pointe : le BSIF en fait le risque de l'automne, effets au Québec

La mise à jour semestrielle du Regard annuel sur le risque 2026-2027 est le document par lequel le Bureau du surintendant des institutions financières (BSIF), l'autorité fédérale de surveillance des banques et des assureurs, actualise son évaluation des menaces pesant sur le système financier canadien. Publiée le 8 octobre 2026, l'édition d'automne porte principalement sur l'intelligence artificielle (IA) de pointe et sur les risques qu'elle amplifie.

En octobre 2026, ce choix marque un déplacement. Dans le Regard publié en avril 2026, l'innovation en IA figurait parmi les « autres risques », derrière le crédit hypothécaire, les institutions financières non bancaires et la liquidité. Six mois plus tard, elle occupe le centre du document. Le texte ne crée aucune règle nouvelle et ne contient aucune donnée chiffrée, mais il indique où la surveillance fédérale va se concentrer. Pour le Québec, il s'ajoute à la ligne directrice de l'Autorité des marchés financiers (AMF), qui entre en vigueur le 1er mai 2027.

Qu'est-ce que l'IA de pointe selon le BSIF ?

Dans son bulletin sur le risque lié aux technologies paru en avril 2026, le BSIF reprend la définition du Centre canadien pour la cybersécurité : l'IA de pointe désigne les modèles les plus récents, les plus performants et les plus avancés disponibles. Le bulletin s'intéresse en particulier à leur capacité à repérer des vulnérabilités inconnues et à en enchaîner plusieurs, parfois mineures prises isolément, pour produire une compromission grave.

La mise à jour du 8 octobre 2026 en tire un constat : selon le BSIF, le rythme auquel ces capacités évoluent est sans précédent, et le délai entre la découverte d'une faille et son exploitation raccourcit. Les institutions disposent donc de moins de temps pour réagir.

Quels risques l'IA de pointe amplifie-t-elle ?

La mise à jour retient quatre familles de risques, que le BSIF décrit comme étroitement liées :

1. Le cyberrisque. Les attaques deviennent plus rapides, plus sophistiquées et accessibles à des acteurs moins qualifiés. Le BSIF note que les mêmes outils peuvent aussi améliorer la détection et l'application des correctifs.
2. Le risque lié aux technologies. Les cycles de correctifs fixes et les analyses périodiques, encore courants, sont mal adaptés à des exploitations quasi simultanées.
3. Le risque lié aux tiers. Un petit nombre de fournisseurs domine les modèles de pointe et l'infonuagique, ce qui accroît le risque de perturbations corrélées. Le BSIF y joint un enjeu de souveraineté technologique : la dépendance à des services situés hors du Canada et les tensions géopolitiques pourraient compromettre l'accès à des technologies essentielles.
4. Le risque d'atteinte à la réputation. Il joue dans les deux sens : un incident nuit à la confiance, mais une adoption trop lente des nouvelles technologies aussi.

Le surintendant Peter Routledge résume la position de l'organisme dans le communiqué : à mesure que les capacités de l'IA progressent, « la résilience constitue un véritable avantage concurrentiel ».

Qu'attend le BSIF des institutions financières ?

Le message central tient en une phrase du communiqué : les conseils d'administration et la haute direction demeurent responsables de la gestion de ces risques. La gouvernance, les contrôles et les tests doivent évoluer au même rythme que l'usage de l'IA.

Le bulletin d'avril 2026 sur l'IA de pointe précise ces attentes en les rattachant aux lignes directrices existantes, soit B-13 (risque lié aux technologies et cyberrisque), B-10 (risque lié aux tiers) et E-21 (résilience opérationnelle). Cinq actions s'en dégagent :

1. fournir au conseil et à la direction une information à jour sur l'effet de l'accélération des menaces ;
2. intégrer les risques liés à l'IA à la gestion globale des risques, y compris des limites aux actions autonomes des systèmes, à l'interne comme chez les fournisseurs ;
3. accélérer le déploiement des correctifs et tenir un inventaire des technologies qui soutiennent les activités essentielles ;
4. tester les contrôles contre des attaques assistées par IA (simulations adverses, tests d'intrusion) ;
5. surveiller la capacité des fournisseurs à tenir le rythme des mesures correctives.

De son côté, le BSIF annonce qu'il renforcera sa propre capacité à évaluer l'IA de pointe, la concentration technologique et les dépendances envers des tiers essentiels. Le document cite les travaux déjà menés en 2026 : deux bulletins sur le risque lié aux technologies, une séance d'information en juin et une journée d'information en septembre avec le Centre canadien pour la cybersécurité, la deuxième édition du Forum sur l'intelligence artificielle dans le secteur des services financiers (FIASSF), dont est issu le cadre AGILE, et une contribution au document de pratiques saines du Conseil de stabilité financière, soumis à consultation en juin 2026. Aucun calendrier de nouvelles consignes n'est fourni.

Qu'est-ce que cela change pour le Québec ?

Le BSIF surveille les institutions à charte fédérale, ce qui comprend des banques dont le siège est au Québec, comme la Banque Nationale et la Banque Laurentienne. Les caisses, les assureurs à charte québécoise et les sociétés de fiducie autorisées relèvent plutôt de l'AMF.

Les deux encadrements convergent. La ligne directrice de l'AMF sur l'utilisation de l'IA, publiée le 7 avril 2026, exige notamment un inventaire centralisé des systèmes d'IA et une classification du risque. L'AMF a publié en même temps une ligne directrice sur la gestion du risque lié aux tiers. Le thème de la concentration des fournisseurs, central dans le document fédéral, s'y retrouve donc aussi.

Trois gestes concrets en découlent pour une institution québécoise, quelle que soit son autorité de surveillance :

1. Mettre le sujet à l'ordre du jour du conseil. Le BSIF et l'AMF placent tous deux la responsabilité au sommet de l'organisation.
2. Cartographier les dépendances. Recenser les fournisseurs de modèles et d'infonuagique dont dépendent les activités essentielles, y compris par l'entremise de sous-traitants.
3. Revoir les délais de correction. Vérifier si les cycles de correctifs et les plans de réponse aux incidents tiennent face à une exploitation rapide des vulnérabilités.

Questions fréquentes

La mise à jour du BSIF impose-t-elle de nouvelles obligations ?

Non. La mise à jour semestrielle du 8 octobre 2026 est un document d'évaluation des risques, pas une ligne directrice. Elle signale toutefois les priorités de surveillance du BSIF. Les attentes applicables figurent dans les lignes directrices existantes (B-13, B-10, E-21) et dans les bulletins sur le risque lié aux technologies publiés en 2026.

Les caisses Desjardins sont-elles visées par le BSIF ?

Les coopératives de services financiers du Québec sont surveillées par l'AMF, et non par le BSIF, qui encadre les institutions à charte fédérale. Elles devront se conformer à la ligne directrice de l'AMF sur l'utilisation de l'IA à compter du 1er mai 2027. Les deux encadrements abordent des thèmes voisins, dont la gouvernance et les tiers.

Pourquoi le BSIF parle-t-il de souveraineté technologique ?

Parce que les modèles de pointe et l'infonuagique sont concentrés chez un petit nombre de fournisseurs, en grande partie situés hors du Canada. Selon la mise à jour du 8 octobre 2026, cette dépendance, combinée aux tensions géopolitiques, pourrait compromettre l'accès à des technologies essentielles et provoquer des perturbations simultanées dans plusieurs institutions.

Sources

• Le BSIF publie sa mise à jour automnale sur le risque qui met l'accent sur l'IA de pointe (Bureau du surintendant des institutions financières, 8 octobre 2026)
• Mise à jour semestrielle du Regard annuel sur le risque, 2026-2027 (Bureau du surintendant des institutions financières, 8 octobre 2026)
• Intelligence artificielle de pointe : incidences sur la technologie, la cybersécurité et la résilience opérationnelle (Bureau du surintendant des institutions financières, avril 2026)
• FIFAI II: AI Risks and Opportunities, Adopting an AGILE Framework in Canadian Financial Services (Bureau du surintendant des institutions financières, 2026)
• Lignes directrices en matière d'intelligence artificielle et de gestion du risque lié aux tiers (Autorité des marchés financiers, avril 2026)