Le Bangladesh prépare ses banques aux cyberattaques par IA

La Banque du Bangladesh prépare une politique de cybersécurité consacrée aux risques liés à l’intelligence artificielle. L’information, rendue publique le 1er novembre par l’agence nationale BSS, concerne les banques, les sociétés financières et les services de paiement. Elle annonce un chantier réglementaire, pas une protection déjà opérationnelle.

Une règle supplémentaire après le cadre de mars

La banque centrale a publié le 29 mars un cadre général de cybersécurité. Il impose aux établissements réglementés d’identifier leurs systèmes critiques, de protéger les données, de détecter les attaques, de répondre aux incidents puis de rétablir les services. La date fixée pour sa mise en œuvre est le 31 décembre 2026.

La nouvelle politique doit traiter plus directement les usages de l’IA. Ces outils peuvent aider à repérer une transaction inhabituelle parmi des millions d’opérations. Ils peuvent aussi servir à fabriquer des messages d’hameçonnage très convaincants, imiter une voix ou automatiser la recherche de failles. « Fondé sur l’IA » ne veut donc pas dire automatiquement plus sûr : la même technologie peut renforcer la défense et l’attaque.

Ce qui est confirmé, et ce qui ne l’est pas

Muhammad Zakir Hasan, responsable des technologies de l’information à la banque centrale, a déclaré à BSS que des instructions seraient adressées prochainement aux établissements. La composition générale du comité est connue, mais ni le projet de texte, ni son calendrier détaillé, ni les sanctions éventuelles n’ont été publiés.

L’affirmation selon laquelle les banques bangladaises n’auraient pas encore subi de problème lié à ces nouvelles menaces vient du responsable de la banque centrale. Elle ne constitue pas un audit indépendant de tous les incidents. Dans ce domaine, l’absence de signalement public ne prouve pas l’absence d’attaque.

Un exemple concret pour les clients

Imaginons qu’un système bloque un paiement parce qu’il le juge atypique. La banque doit pouvoir expliquer la procédure, joindre rapidement le client et corriger une fausse alerte. À l’inverse, si un fraudeur imite la voix d’un conseiller, l’établissement doit prévoir une authentification qui ne repose pas sur la seule ressemblance vocale.

Les règles utiles porteront donc autant sur les personnes que sur les logiciels : séparation des accès, sauvegardes, exercices de crise, contrôle des sous-traitants, formation du personnel et information des clients. Un modèle performant ne remplace pas une procédure de secours lorsque le réseau ou le service est indisponible.

Ce que cela change

Pour le public, le principal enjeu est la continuité des paiements et la possibilité de contester une opération. Pour les banques, le défi sera de respecter le cadre de mars tout en intégrant de nouvelles obligations sans empiler des documents contradictoires.

La rédaction suivra trois preuves : publication du texte final, calendrier de contrôle et données sur les incidents traités. Tant qu’elles manquent, il faut présenter l’initiative comme une politique en préparation.

Sources

- Bangladesh Sangbad Sangstha — annonce, comité et objectifs, 1er novembre 2026
- Banque du Bangladesh — Cybersecurity Framework, version 1.0 du 29 mars 2026
- Portail national de la politique d’IA — état de la consultation publique

Sources consultées le 2 novembre 2026. Le futur texte est distingué du cadre déjà publié et aucun résultat de sécurité n’est présenté comme acquis.