Moody's requalifie l'IA en risque de concentration : la grille que tout comex devrait reprendre

Dans la plupart des entreprises, l'IA générative est arrivée par la porte des projets : un pilote ici, un copilote là, une ligne de budget logiciel. Une agence de notation vient de la faire entrer par une autre porte, beaucoup moins confortable — celle du registre des risques. Et le vocabulaire qu'elle emploie n'est pas celui de l'innovation.

Le fait

Le 9 août 2026, Moody's a publié une note sur l'adoption de l'IA dans le secteur financier, relayée par The Guardian : la course à l'IA placerait les grandes banques à la merci d'un petit nombre d'acteurs technologiques. L'argument central tient en une phrase du rapport : la dépendance de la plupart des sociétés financières à un ensemble restreint de fournisseurs de modèles de fondation et de cloud fait courir un risque de « dépendance systémique ». Motif avancé : une panne de modèle chez un fournisseur majeur pourrait se propager rapidement entre clients et entre secteurs.

Moody's nomme un second risque, distinct du premier : le « vendor dependence risk ». Un ensemble de fournisseurs dominants de modèles et d'infrastructure pourrait, avec le temps, prendre la main sur le prix des services d'IA. L'agence relie explicitement ce scénario à la pression de rentabilité qui s'exerce sur des acteurs encore déficitaires de l'IA générative, OpenAI et Anthropic étant cités.

exercer, avec le temps, un contrôle sur le prix des services d'IA

Le tableau n'est pas univoque. Moody's estime que l'intégration de l'IA finira par réduire les coûts et augmenter les revenus du secteur, mais au prix d'investissements substantiels — et une part des gains sera « compétée » par la course simultanée des concurrents. L'agence ajoute deux risques opérationnels : la fuite des dépôts, rendue plus facile par des outils qui simplifient le changement de banque, et la question des effectifs.

20 %probabilité estimée par Moody's qu'en 2030 l'IA soit capable de faire le travail d'un « solid mid-level employee » (Moody's, cité par The Guardian, 9 août 2026)

L'analyse : un risque déjà nommé ailleurs

Ce diagnostic n'est pas isolé. Dans ses propres perspectives sectorielles 2026, Moody's notait déjà que la consolidation des parts de marché entre un petit nombre de fournisseurs cloud pousse les prix à la hausse et creuse l'écart d'adoption entre les entreprises bien capitalisées et les autres. Le mécanisme décrit n'a rien de spécifique à l'IA : c'est la mécanique classique du pouvoir de marché appliquée à une brique devenue critique.

Surtout, le régulateur européen a déjà posé le cadre juridique correspondant — pour le cloud, avant que l'IA ne devienne le sujet. Depuis le 18 novembre 2025, les autorités européennes de surveillance ont désigné une première liste de fournisseurs tiers de services TIC critiques placés sous supervision directe au titre du règlement DORA. L'objectif affiché : vérifier que ces fournisseurs disposent d'une gouvernance et d'une gestion des risques à la hauteur des services qu'ils rendent au secteur financier.

Autrement dit, la finance dispose déjà d'un outillage conceptuel que la plupart des autres secteurs n'ont pas encore transposé à l'IA : on y sait nommer un fournisseur critique, mesurer une concentration, exiger une réversibilité. Moody's ne fait qu'appliquer cette grille à une couche nouvelle — les modèles de fondation.

Ce que ça change pour un décideur

L'enseignement ne concerne pas que les banques. Trois déplacements méritent d'être portés au comité exécutif, quel que soit le secteur.

Le premier est comptable. Un contrat d'IA n'est pas une licence logicielle de plus. Si le fournisseur peut, à terme, fixer le prix d'un service devenu indispensable à des processus de production, la ligne budgétaire n'est pas maîtrisée : elle est subie. La question à poser n'est pas « combien coûte l'API aujourd'hui », mais « que se passe-t-il si son prix double dans dix-huit mois ».

Le deuxième est opérationnel. La propagation d'une panne entre clients et secteurs suppose qu'aucun plan de continuité ne soit prévu. Peu d'entreprises savent aujourd'hui répondre à une question simple : quels processus s'arrêtent si un fournisseur de modèle devient indisponible pendant quarante-huit heures, et lesquels peuvent basculer ailleurs ?

Le troisième est contractuel. Moody's relève que les grandes institutions financières ont une longue habitude de renégociation des contrats technologiques, et que certaines recourent à des modèles open source ou à des partenariats pour limiter la dépendance. C'est une stratégie transposable — à condition d'avoir été conçue avant que l'usage ne s'installe, pas après.

La décision à porter en comité

La bonne question à mettre à l'ordre du jour n'est pas « où en sommes-nous sur l'IA ». Elle est plus sèche : nos fournisseurs d'IA figurent-ils dans notre cartographie des risques fournisseurs, au même titre que nos prestataires cloud ou nos éditeurs critiques — et si la réponse est non, qui en est propriétaire d'ici la fin du trimestre ?