Ce qu'APRA attend de la gouvernance IA en 2026
Faits vérifiés en juillet 2026 · Sources : lettre d’APRA du 30 avril 2026 et analyses de cabinets d’avocats
APRA attend des banques, assureurs et fonds de pension régulés qu'ils gouvernent l'IA sous les normes prudentielles existantes, avec des conseils d'administration suffisamment informés pour la remettre en question. Sa lettre du 30 avril 2026 cite quatre faiblesses : sécurité de l'information, maturité de la gouvernance, concentration des fournisseurs et assurance. Aucune nouvelle norme n'a encore été introduite. La supervision active a commencé, les entités doivent donc disposer dès maintenant de visibilité, de politiques appliquées et de preuves.
Le 30 avril 2026, APRA a publié une lettre à l'industrie sur l'intelligence artificielle appelant à un changement radical dans la gestion des risques liés à l'IA par les entités régulées. La lettre s'appuie sur une revue approfondie d'un échantillon des plus grandes banques, assureurs et fonds de pension, et est sans détour : l'adoption de l'IA s'accélère, mais la gouvernance, la gestion des risques, l'assurance et les pratiques opérationnelles ne suivent pas.
La lettre n'introduit aucune nouvelle norme prudentielle. APRA confirme que les normes existantes s'appliquent déjà aux risques liés à l'IA et constate que peu d'entités les ont opérationnalisées. Les analyses juridiques de MinterEllison et Clayton Utz relient ces attentes aux CPS 230 (gestion des risques opérationnels), CPS 234 (sécurité de l'information), CPS 220 (gestion des risques), CPG 235 (risque des données) et CPS 510 (gouvernance). APRA a également annoncé un programme de supervision active, avec des actions renforcées et, le cas échéant, des mesures coercitives en cas de gestion insuffisante des risques IA.
Ce guide s'adresse aux RSSI et responsables sécurité qui doivent désormais transformer cette lettre en programme de travail. Il détaille ce qu'APRA a réellement dit, comment chaque observation se traduit en contrôles applicables, et propose une liste de contrôle pratique à présenter au prochain comité des risques.
Les quatre observations nommées par APRA
APRA a structuré sa lettre autour de quatre domaines où la pratique est insuffisante. Cartographie des normes selon les analyses de MinterEllison et Clayton Utz de la lettre.
L'IA transforme le paysage des cybermenaces
APRA a observé que l'adoption de l'IA modifie significativement le paysage des cybermenaces pour les entités régulées. La lettre cite l'injection d'requêtes, la fuite de données, les intégrations non sécurisées, l'injection d'exploits et la manipulation ou le mauvais usage d'agents IA autonomes comme voies d'attaque. Elle note aussi que la gestion des identités et des accès n'a pas encore pris en compte les acteurs non humains tels que les agents IA, et que les programmes de tests de sécurité présentent des lacunes en portée et couverture.
Lecture du RSSI : Votre programme CPS 234 doit désormais couvrir les menaces spécifiques à l'IA, y compris les données que vos propres employés envoient aux outils IA et les agents agissant en leur nom.
La gouvernance n'a pas mûri au rythme de l'adoption
La plupart des entités reconnaissent que les normes prudentielles existantes s'appliquent au risque IA, mais peu ont opérationnalisé la gouvernance en pratique. APRA a souligné une tendance à traiter le risque IA comme « une technologie de plus », ignorant les caractéristiques distinctes des systèmes prédictifs et adaptatifs, et a constaté des contrôles faibles sur la surveillance post-déploiement, le suivi du comportement des modèles, la gestion des changements et la mise hors service.
Lecture du RSSI : Un simple document de politique ne suffira pas à satisfaire APRA. La gouvernance nécessite des responsables nommés tout au long du cycle de vie de l’IA, de la conception et du déploiement jusqu’à la surveillance et la mise hors service.
Concentration des fournisseurs et chaînes d’approvisionnement IA opaques
APRA a observé que certaines entités dépendent fortement d’un seul fournisseur pour plusieurs cas d’usage IA, que peu d’entités disposent de plans de contingence robustes, et que les accords contractuels sont en retard par rapport à la pratique réelle avec des dispositions spécifiques à l’IA limitées. Les analyses des cabinets d’avocats soulignent l’attente de maintenir une visibilité sur l’ensemble de la chaîne d’approvisionnement IA, y compris les dépendances importantes aux tiers et quatrièmes parties.
Lecture du RSSI : Vous devez savoir quels fournisseurs d’IA soutiennent vos opérations critiques, ce qui se passe en cas de défaillance ou de modification de leurs modèles, et si vos contrats couvrent réellement le comportement de l’IA.
Les méthodes d’assurance ne conviennent pas aux systèmes probabilistes
APRA a constaté que les approches actuelles de changement et d’assurance sont souvent fragmentées, reposant sur des méthodes ponctuelles et par échantillonnage inadaptées aux modèles probabilistes qui apprennent, s’adaptent et se dégradent avec le temps. Peu d’entités disposent d’une validation ou d’une surveillance continue pour détecter rapidement la dérive des modèles, les biais, les modes de défaillance ou les ruptures de contrôle, et de nombreuses fonctions d’audit interne et de gestion des risques manquent des compétences et outils spécialisés pour évaluer l’IA.
Lecture du RSSI : Les revues annuelles et preuves échantillonnées ne tiendront pas. APRA attend une surveillance continue et proportionnée, ce qui signifie une visibilité et une journalisation permanentes plutôt que des instantanés périodiques.
De l'attente d'APRA au contrôle RSSI
Chaque observation arrive sur le bureau du CISO comme l’un des cinq domaines de contrôle. Voici la cartographie.
Visibilité de l’utilisation de l’IA
Ce qu'APRA a nommé
Peu d’entités ont opérationnalisé la gouvernance de l’IA ; l’assurance repose sur des instantanés ponctuels.
Votre contrôle
Maintenez un inventaire en temps réel de chaque outil IA utilisé, autorisé ou non, avec une découverte continue plutôt que des enquêtes annuelles. Vous ne pouvez pas gouverner ce que vous ne voyez pas.
Application des politiques
Ce qu'APRA a nommé
L’IA est traitée comme « une technologie parmi d’autres », sans gouvernance opérationnelle en pratique.
Votre contrôle
Publiez une politique d’utilisation acceptable de l’IA nommant les outils approuvés, les catégories de données interdites et les voies d’escalade, puis appliquez-la techniquement au point d’utilisation, pas seulement sur le papier.
Protection des données pour les outils IA
Ce qu'APRA a nommé
Fuites de données, injection de prompt et intégrations non sécurisées identifiées comme vecteurs d’attaque.
Votre contrôle
Appliquez une DLP consciente de l’IA aux prompts, téléchargements de fichiers et sorties pour empêcher que les données clients, MNPI et dossiers internes n’atteignent des services IA non approuvés. Étendez la gestion des identités et accès aux acteurs non humains.
Rapports au conseil d’administration
Ce qu'APRA a nommé
Les conseils doivent maintenir une compréhension et une culture suffisantes de l’IA pour exercer un contrôle efficace.
Votre contrôle
Fournissez au conseil des rapports utiles à la prise de décision sur l’utilisation de l’IA, les incidents et l’efficacité des contrôles, indépendants des documents fournisseurs, avec des pistes d’audit pour chaque donnée.
Risques liés aux tiers et fournisseurs IA
Ce qu'APRA a nommé
Forte dépendance à un fournisseur unique, plans de contingence faibles, contrats en retard par rapport à la pratique.
Votre contrôle
Cartographiez les dépendances de la chaîne d’approvisionnement IA, y compris les quatrièmes parties, évaluez le risque de concentration, ajoutez des clauses contractuelles spécifiques à l’IA et planifiez la substitution ou la sortie pour les dépendances importantes.
La liste de contrôle de la gouvernance IA APRA
Vingt actions réparties en cinq domaines de contrôle. Traitez-les dans l’ordre : visibilité d’abord, car tout autre contrôle dépend de la connaissance réelle de l’IA utilisée.
1. Visibilité de l’utilisation de l’IA
- Construisez et maintenez un inventaire de chaque outil IA et fonctionnalité IA intégrée utilisée, autorisée ou non
- Déployez une découverte continue de l’IA fantôme sur navigateurs et terminaux, y compris les outils grand public gratuits
- Identifiez quelles équipes envoient quelles catégories de données à quels services IA
- Suivez en continu les nouveaux outils IA adoptés au lieu de recourir à des enquêtes périodiques
2. Politique et gouvernance
- Publiez une politique d’utilisation acceptable de l’IA nommant les outils approuvés, les données interdites et les voies d’escalade
- Attribuez une responsabilité nommée tout au long du cycle de vie de l’IA, de la conception à la mise hors service
- Définissez les exigences de supervision humaine pour les décisions assistées par IA à fort impact
- Formez le personnel à l’utilisation, aux mauvais usages, aux limites et aux pratiques sécurisées de l’IA, et conservez les enregistrements
3. Protection des données pour les outils IA
- Appliquez des contrôles techniques empêchant les données réglementées et sensibles d’entrer dans des outils IA non approuvés
- Appliquez une DLP en temps réel aux prompts, téléchargements de fichiers et sorties générées
- Étendez la gestion des identités et accès aux acteurs non humains tels que les agents IA et comptes de service
- Incluez les menaces spécifiques à l’IA (injection de prompt, fuite de données, intégrations non sécurisées) dans le périmètre des tests de sécurité
4. Rapports au conseil et preuves
- Rendez compte au conseil de l’utilisation, des risques et de l’efficacité des contrôles IA, pas seulement des métriques d’activité
- Fournissez au conseil une formation structurée sur l’IA indépendante des présentations des fournisseurs
- Conservez les pistes d’audit des interactions IA impliquant des données sensibles ou réglementées
- Conservez les preuves des actions d’application de la politique pour les revues de supervision
5. Risques liés aux tiers et fournisseurs IA
- Cartographiez les dépendances de la chaîne d’approvisionnement IA, y compris les tiers et quatrièmes parties importants
- Évaluez le risque de concentration lorsqu’un fournisseur dessert plusieurs cas d’usage IA
- Examinez les contrats pour des clauses spécifiques à l’IA couvrant la gestion des données, les changements de modèle et la notification des incidents
- Maintenez des plans de substitution, portabilité ou sortie pour les dépendances IA importantes
Besoin du volet politique ?
Le premier point sous politique et gouvernance est une politique d’utilisation acceptable de l’IA. Nous publions un modèle gratuit que vous pouvez adapter à l’appétit pour le risque de votre organisation et à la liste des outils approuvés.
Obtenir le modèle de politique d'utilisation acceptable de l'IA →Calendrier : prochaines étapes
APRA n'a fixé aucune date limite de conformité dans la lettre et a indiqué qu'elle n'introduira pas d'exigences supplémentaires pour l'instant. Ce n'est pas un sursis. APRA finalise son plan de supervision des risques liés à l'IA, basé sur des revues prudentielles proportionnées, des activités thématiques et des échanges avec les fournisseurs d'IA, et encourage les entités à engager tôt le dialogue avec son équipe des risques non financiers via leurs superviseurs.
La lettre précise aussi que si les entités ne parviennent pas à identifier, gérer ou contrôler adéquatement les risques IA, APRA prendra des mesures de supervision renforcées et, le cas échéant, des actions coercitives. Pour un RSSI, l'hypothèse pratique est que les questions de gouvernance IA apparaîtront désormais dans les échanges de supervision courants, et que vous devrez pouvoir démontrer visibilité, application des politiques et suivi plutôt que de décrire des intentions.
Comment Aona répond aux attentes d'APRA
La plateforme Discover, Govern and Protect d’Aona couvre la partie orientée employé des attentes d’APRA : qui utilise quels outils d’IA, sous quelle politique, avec quelles données, et avec quelles preuves.
découvrez
Découverte continue de l'IA fantôme dans toute la main-d'œuvre. Un inventaire en temps réel des outils d'IA sanctionnés et non sanctionnés, et des équipes qui les utilisent, remplaçant les instantanés ponctuels critiqués par APRA.
Découverte IA fantôme →Gouverner
Appliquez votre politique d'utilisation acceptable de l'IA au point d'utilisation, accompagnez les employés en temps réel lors d'une requête risquée, et générez des rapports prêts pour le conseil d'administration avec pistes d'audit complètes.
Rapports de conformité →Protéger
DLP natif IA sur les requêtes, téléchargements et résultats, pour empêcher que des données clients ou informations sensibles du marché n'atteignent des outils d'IA non approuvés. La supervision des agents IA est disponible en déploiement limité.
Sécurité IA →Pour clarifier le périmètre : aucun outil ne rend une entité conforme à APRA, et Aona ne le prétend pas. La gestion des risques liés aux modèles, les contrats fournisseurs et la capacité d’audit interne restent la responsabilité de votre programme de gouvernance. Ce qu’Aona fournit, c’est la couche workforce de ce programme : visibilité de l’utilisation de l’IA par les employés, application des politiques, protection des données et preuves d’audit demandées par les superviseurs. Dans une étude de cas client anonymisée, une organisation australienne de santé a réduit les sollicitations d’IA fantôme de 92,8 % en 30 jours après son déploiement.