Hong Kong : la SFC prépare un cadre de cybersécurité face aux menaces liées à l’IA

Un socle commun et des exigences proportionnées aux risques

La Securities and Futures Commission de Hong Kong prévoit d’établir un cadre de cybersécurité pour les entreprises qu’elle agrée. Sa directrice générale, Julia Leung, l’a annoncé le 2 novembre 2026 à la Hong Kong FinTech Week. Le dispositif envisagé associerait des exigences de base pour l’ensemble des entreprises concernées et des obligations renforcées pour celles présentant des profils de risque plus élevés. Le document officiel expose une orientation future : il ne publie pas un nouveau règlement déjà applicable, ni un calendrier détaillé de mise en conformité.

La SFC relie cette préparation à l’intensification des menaces facilitées par l’intelligence artificielle. Selon les remarques publiées, l’IA accélère la transformation de faiblesses logicielles cachées en attaques à grande échelle. Le régulateur dit aussi renforcer la coordination avec les autres autorités hongkongaises pour partager des renseignements et améliorer la résilience financière. Il mentionne également des efforts communs entre régulateurs des marchés de valeurs mobilières d’Asie-Pacifique face aux incidents opérationnels ou aux escroqueries susceptibles de traverser les frontières.

Des alertes logicielles et une enquête sur vingt grands groupes

Julia Leung cite de récentes alertes mondiales concernant PHP et d’autres outils de développement web. Elle rapporte que certaines sociétés agréées ont mis des sites hors ligne par précaution avant correction, tandis que quelques-unes ont subi des perturbations liées à leurs prestataires informatiques. Le document précise que les systèmes de la SFC n’ont pas été compromis, grâce au déploiement précoce de correctifs PHP. Il ne faut donc pas transformer ces observations en annonce d’un piratage du régulateur ou attribuer une nouvelle faille précise sans preuve.

La responsable rappelle une circulaire de juin demandant de donner la priorité aux corrections critiques et à l’hygiène informatique. Elle présente aussi des résultats d’une enquête menée auprès de vingt grands groupes financiers : 90 % utilisent ou évaluent l’IA de pointe pour la cyberdéfense, et près de la moitié l’emploient pour des simulations adversariales et la recherche de menaces. L’échantillon représente environ 75 % du volume de transactions sur titres et 45 % des clients déclarés par les sociétés agréées. Ces proportions ne décrivent pas toutes les entreprises du marché.

L’autonomie des agents devra conserver une responsabilité humaine

Le même document indique que tous les groupes interrogés utilisent déjà l’IA pour la recherche, l’analyse et des fonctions administratives. Plus de la moitié utilisent ou expérimentent l’IA agentique, et 80 % anticipent une adoption supplémentaire au cours des douze prochains mois. Une expérimentation et une intention ne doivent pas être comptées comme des déploiements généralisés. La SFC prépare des orientations pratiques fondées sur des principes pour les applications plus autonomes, en maintenant la responsabilité et la supervision humaines sur l’ensemble du processus.

Julia Leung distingue les tâches réversibles à faible impact des conseils aux clients, décisions de portefeuille et opérations exécutées sur les marchés, qui nécessitent des protections progressivement plus fortes. Le programme Sandbox++ doit notamment permettre d’examiner comment reconstituer une décision, identifier l’action effectuée et établir les responsabilités. Pour les intermédiaires financiers, l’enjeu annoncé associe donc résilience informatique et contrôle des usages autonomes. Les exigences définitives et leurs modalités d’application restent les prochains éléments à vérifier dans les publications de la SFC.