Le CPS 234 de l’APRA régit la sécurité de l’information pour toutes les entités régulées par l’APRA, banques, assureurs et fonds de retraite. Avec l’accélération de l’adoption de l’IA dans les services financiers australiens, la conformité CPS 234 exige désormais une prise en compte explicite des systèmes IA, de l’IA fantôme et des risques liés aux fournisseurs IA.
Ce que le CPS 234 Exige Réellement
Le CPS 234 repose sur quatre piliers principaux : Capacité (capacité de sécurité de l’information proportionnée au risque), Cadre Politique (politiques documentées), Mise en œuvre (contrôles), et Audit (assurance indépendante). Chaque pilier concerne désormais l’IA.
Où l’IA Crée un Risque de Conformité CPS 234
Trois domaines de risque spécifiques nécessitent une attention : (1) outils IA traitant des données clients sans classification appropriée, violation du principe du minimum nécessaire ; (2) IA fantôme, employés utilisant ChatGPT non approuvé, outils de transcription IA et services similaires non enregistrés dans le registre des actifs informationnels ; (3) risque fournisseur IA, les fournisseurs tiers doivent respecter les exigences CPS 234, y compris des accords de traitement des données équivalents à un BAA.
Le Problème de l’IA Fantôme pour les Entités APRA
L’APRA attend des entités régulées qu’elles maintiennent un registre des actifs informationnels couvrant tous les systèmes détenant ou traitant des informations régulées. Les outils IA fantômes utilisés par les employés, outils de rédaction IA, d’analyse de données IA, de communication IA, sont des actifs informationnels qui ne figurent presque certainement pas dans ce registre. L’APRA a annoncé un renforcement de la surveillance de la gouvernance IA via le CPG 234.
Ce que l’Audit CPS 234 Attend sur l’IA
Un audit indépendant sous CPS 234 posera de plus en plus les questions suivantes : (1) Quels systèmes IA sont utilisés ? (2) Quelles données clients et régulées traitent-ils ? (3) Les accords fournisseurs sont-ils en place ? (4) Quels contrôles empêchent l’exfiltration de données via l’IA ? Si vous ne pouvez pas répondre avec des preuves, vous avez une non-conformité.
5 Étapes Pratiques pour la Conformité IA des Entités Régulées par l’APRA
- Réaliser un inventaire des systèmes IA incluant la découverte de l’IA fantôme
- Classer les outils IA selon vos niveaux d’actifs informationnels
- Revoir tous les accords fournisseurs IA selon les exigences tierces CPS 234
- Mettre en place des contrôles en temps réel pour empêcher les données régulées d’entrer dans des outils IA non approuvés
- Documenter votre cadre de gouvernance IA pour fournir des preuves d’audit
Comment Aona Aide les Entités Régulées par l’APRA
Aona fournit aux institutions financières australiennes la couche de découverte, les garde-fous et la traçabilité nécessaires pour démontrer la conformité CPS 234 pour l’IA : découverte automatique des outils IA (y compris l’IA fantôme), contrôles de protection des données en temps réel, journaux d’audit complets et rapports de conformité adaptés aux examens APRA.
