Concentration des fournisseurs IA : l'alerte de Moody's
· 5 min de lecture · Gouvernance IA
Le 9 août 2026, Moody's a averti que la dépendance des institutions financières à quelques fournisseurs de modèles IA et d'infonuagique crée une dépendance systémique. Le diagnostic vaut pour toute entreprise qui a bâti ses processus sur un seul fournisseur.
Le risque de concentration fournisseur en intelligence artificielle (IA) désigne la situation où une organisation dépend d'un nombre très restreint de fournisseurs de modèles de fondation et de calcul infonuagique, au point qu'une panne, une hausse tarifaire ou un changement de politique chez l'un d'eux perturbe directement ses opérations. Le 9 août 2026, l'agence de notation Moody's a formalisé cette alerte pour le secteur financier mondial.
Selon cette analyse, la dépendance de la plupart des sociétés financières à un ensemble restreint de fournisseurs de modèles de fondation et d'infonuagique risque de créer une dépendance systémique, parce qu'une panne de modèle chez un fournisseur majeur peut se propager rapidement entre clients et secteurs. Moody's nomme explicitement OpenAI et Anthropic et note que la pression des investisseurs vers la rentabilité pourrait, avec le temps, donner à ces fournisseurs un pouvoir de fixation des prix sur les institutions qui bâtissent sur leurs modèles.
Que reproche Moody's à l'architecture IA des institutions financières ?
L'agence distingue trois mécanismes de risque, qui n'ont pas les mêmes horizons. Le premier est opérationnel : une interruption de service chez un fournisseur de modèle touche simultanément toutes les organisations qui l'utilisent, ce qui transforme un incident technique en événement de marché. Le deuxième est commercial : un fournisseur qui doit atteindre la rentabilité dispose d'un levier tarifaire sur des clients devenus captifs. Le troisième est prudentiel : Moody's s'attend à ce que les autorités de surveillance renforcent leur attention sur la résilience opérationnelle et sur la concentration des tiers dans la chaîne technologique de l'IA.
Ce dernier point est le plus actionnable pour un dirigeant. L'agence ne prédit pas une panne : elle annonce que la question deviendra un sujet d'examen réglementaire et contractuel.
Pourquoi ce diagnostic dépasse-t-il le secteur bancaire ?
La structure de dépendance décrite par Moody's n'a rien de propre à la finance. Une entreprise manufacturière qui fait transiter sa documentation technique par une seule interface de programmation (API) de modèle, un cabinet professionnel dont les gabarits de rédaction sont accordés à un modèle précis, un détaillant dont le service à la clientèle repose sur un agent conversationnel unique : tous portent le même profil de risque, sans le bénéfice d'un cadre de supervision qui les oblige à le mesurer.
La différence tient à la visibilité. Les institutions financières fédérales sont déjà tenues de tenir un inventaire de leurs ententes avec des tiers. La majorité des entreprises québécoises n'ont aucun registre équivalent pour leurs dépendances IA, ce qui rend l'exposition invisible jusqu'à l'incident. Le blocage soudain de modèles américains pour certains utilisateurs étrangers en juin 2026 avait déjà illustré ce point (la leçon Fable 5).
Quelles règles canadiennes encadrent déjà cette dépendance ?
Le Canada dispose de deux instruments prudentiels directement pertinents, contraignants pour les institutions financières fédérales (IFF) et utilisables comme référentiel par les autres organisations.
La ligne directrice B-10 du Bureau du surintendant des institutions financières (BSIF), en vigueur depuis le 1er mai 2024, encadre la gestion du risque lié aux tiers. Elle couvre l'impartition classique mais aussi les partenariats d'affaires et les sous-traitants importants, et elle intègre explicitement le risque de concentration parmi les risques à gérer.
La ligne directrice E-23 sur la gestion du risque de modélisation, publiée le 11 septembre 2025, prendra effet le 1er mai 2027 pour toutes les IFF, succursales de banques et de sociétés d'assurances étrangères incluses. Sa révision ajoute des précisions destinées aux modèles d'IA et d'apprentissage automatique.
Du côté européen, le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique (DORA), applicable depuis le 17 janvier 2025, va plus loin : il crée un régime de surveillance directe des prestataires tiers de services technologiques jugés critiques. Une entreprise québécoise qui sert des clients financiers européens hérite de ces exigences par contrat.
Les 5 mesures à prendre avant la prochaine panne
- Inventorier les dépendances. Recenser chaque processus d'affaires qui appelle un modèle externe, en notant le fournisseur, la région d'hébergement et le responsable interne. Sans registre, aucune évaluation de concentration n'est possible.
- Classer par criticité. Séparer les usages où une interruption de 48 heures est tolérable de ceux qui bloquent la facturation, la production ou le service client.
- Documenter un plan de repli par usage critique. Modèle alternatif identifié, format de requêtes portable, jeu de tests de non-régression, procédure manuelle dégradée.
- Sécuriser les clauses contractuelles. Préavis de changement de modèle, engagement de disponibilité, plafond de variation tarifaire, portabilité des données et des historiques de requêtes.
- Vérifier la couverture d'assurance. Les exclusions relatives à l'IA se généralisent dans les polices de responsabilité (ce que les exclusions IA laissent à votre charge).
Questions fréquentes
Qu'est-ce que le risque de concentration fournisseur en IA ?
C'est l'exposition créée lorsqu'une organisation fait dépendre plusieurs processus critiques d'un même fournisseur de modèle ou d'infonuagique. Une panne, une hausse de prix ou une restriction d'accès chez ce fournisseur se répercute alors simultanément sur toutes ces activités, sans solution de rechange immédiate.
La ligne directrice B-10 du BSIF s'applique-t-elle à mon entreprise ?
Elle vise les institutions financières sous réglementation fédérale, à l'exclusion des succursales de banques et d'assureurs étrangers. Une entreprise non financière n'y est pas assujettie, mais peut en reprendre la structure, notamment l'inventaire des ententes et l'évaluation du risque de concentration, comme référentiel de gestion.
Faut-il utiliser deux fournisseurs de modèles pour réduire ce risque ?
La redondance a un coût réel en intégration et en évaluation. La règle utile consiste à la réserver aux usages dont l'interruption bloque une activité génératrice de revenus, et à maintenir ailleurs un simple plan de repli documenté avec un jeu de tests permettant de valider un modèle de remplacement.
Quand la ligne directrice E-23 entre-t-elle en vigueur ?
Le BSIF a publié la version définitive le 11 septembre 2025 et fixé son entrée en vigueur au 1er mai 2027 pour toutes les institutions financières fédérales. Ce délai vise à laisser aux institutions le temps d'évaluer leurs pratiques de gestion du risque de modélisation et de les ajuster.
Sources
- Bureau du surintendant des institutions financières, Ligne directrice B-10, Gestion du risque lié aux tiers : https://www.osfi-bsif.gc.ca/en/guidance/guidance-library/third-party-risk-management-guideline
- Bureau du surintendant des institutions financières, Ligne directrice E-23, Gestion du risque de modélisation (2027) : https://www.osfi-bsif.gc.ca/en/guidance/guidance-library/guideline-e-23-model-risk-management-2027
- EUR-Lex, Règlement (UE) 2022/2554 (DORA), résilience opérationnelle numérique du secteur financier : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32022R2554
- Moody's Ratings, perspectives 2026 sur l'intelligence artificielle et le risque de crédit : https://www.moodys.com/web/en/us/insights/credit-risk/outlooks/artificial-intelligence-2026.html
- Reuters, « AI push is putting banks at mercy of tech firms, warns Moody's », 9 août 2026 : https://www.aol.co.uk/articles/ai-push-putting-banks-mercy-090010000.html
Voir tous les articles