C-SAC — la Plateforme d'IA du SEBI pour la Conformité des Audits de Cybersécurité de l'Infrastructure de Marché en Inde

En vertu du cadre indien de cybersécurité et de résilience cybernétique, les entités régulées par le SEBI — bourses, dépositaires, chambres de compensation et fonds communs de placement notamment — doivent soumettre périodiquement des rapports d'audit de cybersécurité. L'examen manuel de ces rapports est chronophage et rend difficile une comparaison cohérente de la posture de cybersécurité à l'échelle du secteur.

C-SAC (Cyber-Sec Audit Compliance) est une plateforme dotée d'IA que le SEBI a développée pour automatiser cette analyse : elle intègre les rapports d'audit de cybersécurité déposés par les entités via le portail SI du SEBI, signale les lacunes de conformité et les zones de risque, et génère des scores de risque comparatifs entre entités régulées afin d'appuyer l'approche de supervision fondée sur le risque du SEBI. Selon la presse financière indienne, au cours de l'exercice 2025-26, la plateforme a traité les rapports de huit institutions d'infrastructure de marché et de 23 fonds communs de placement — les premiers chiffres d'utilisation divulgués pour cet outil.

C-SAC s'ajoute à d'autres outils d'IA déployés par le SEBI sur la même période, dont InfoMerge, qui automatise une partie du travail d'enquête (collecte de données, analyse et rédaction de rapports), et se distingue des outils antérieurs du SEBI déjà documentés séparément, Project Sudarsan et R(ai)dar, destinés à signaler les contenus et publicités financières trompeurs. La couverture de C-SAC reste limitée à ce jour : le SEBI régule bien davantage d'institutions d'infrastructure de marché et des milliers de fonds communs de placement et d'intermédiaires enregistrés que ce que couvrent les chiffres de l'exercice 2025-26, et ni le SEBI ni la presse indépendante n'ont encore publié de données sur l'exactitude, les taux de faux positifs, ou une évaluation de l'effet des scores de risque générés par IA sur les décisions de supervision. La méthodologie de notation du risque elle-même n'a pas été rendue publique.