L'IA est-elle sûre pour un conseiller financier ?

La réponse tient en une phrase. L'IA peut rédiger un rapport ou résumer une réunion, mais jamais avec les données brutes d'un client. Un conseiller financier détient une chose rare : toute la vie financière d'une personne au même endroit. Patrimoine net. Comptes et portefeuille. Revenus et objectifs. Numéro de sécurité sociale ou pièce d'identité. Collée dans un chatbot grand public, cette concentration peut être retenue, relue ou réutilisée pour l'entraînement. Vous êtes régulé ; le chatbot ne l'est pas. La parade est simple : anonymisez les identifiants et les montants avant chaque prompt.

Un client, toute sa vie financière au même endroit

C'est ce qui rend le rôle de conseiller unique. Un comptable voit des écritures. Un courtier voit un prêt. Vous, vous voyez le tableau complet. Le patrimoine net d'un client. Le détail de ses comptes et de son portefeuille. Ses revenus. Ses objectifs de vie. Et souvent un identifiant fort : un SSN aux États-Unis, un numéro national ailleurs.

Réunis, ces éléments forment le jackpot du fraudeur. C'est exactement la concentration de données qui alimente le vol d'identité et la fraude financière. Un nom seul se remplace. Un patrimoine complet avec identifiant ne se remplace pas. Voilà pourquoi protéger ce dossier n'est pas une politesse. C'est un devoir fiduciaire au cœur de votre métier.

Vous êtes régulé ; le chatbot ne l'est pas

C'est l'asymétrie centrale. Aux États-Unis, les conseillers relèvent de la SEC (Securities and Exchange Commission) et de la FINRA (Financial Industry Regulatory Authority). La protection des données client y est encadrée par la Regulation S-P et la FTC Safeguards Rule, toutes deux issues du Gramm-Leach-Bliley Act (GLBA).

En mai 2024, la SEC a adopté des amendements à la Regulation S-P. Ils imposent des politiques écrites pour protéger les dossiers client. Ils exigent aussi un programme de réponse aux incidents, avec notification des personnes en cas d'accès non autorisé. Les échéances de conformité sont échelonnées après juin 2024. Cette règle lie votre traitement des données à une obligation fédérale.

Le GLBA impose depuis 1999 de protéger la confidentialité des informations personnelles non publiques d'un client. La FTC définit largement ces « customer information » : tout document contenant des informations personnelles non publiques, sous quelque forme que ce soit. Sa Safeguards Rule amendée oblige même à signaler un incident touchant 500 consommateurs ou plus. Mal gérer ces données a des conséquences réglementaires, pas seulement réputationnelles.

Au Royaume-Uni, c'est la FCA (Financial Conduct Authority). Sa position est nette : l'IA est une technologie, pas une activité régulée à part. Les obligations qui s'appliquent quand un cabinet utilise l'IA sont celles qui s'appliquent déjà à tout le reste. Protection des données. Équité. Consumer Duty. Le cabinet reste pleinement responsable du résultat, même si un outil d'IA a produit le brouillon.

La FCA attend des cabinets qu'ils sachent expliquer leur usage de l'IA au régulateur. Comment les risques ont été repérés, évalués, maîtrisés. Elle travaille avec l'ICO pour clarifier la place de la protection des données, avec d'autres orientations attendues courant 2026. En Europe, MiFID II encadre la conduite. Le point commun est simple : le chatbot grand public où vous collez le dossier n'est couvert par aucun de ces régimes.

Deux risques que l'on sous-estime

Le premier risque est l'erreur assurée. Une IA généraliste peut se tromper avec aplomb sur une règle d'adéquation, un produit ou une obligation. La réponse paraît fluide et confiante. Elle n'en est pas plus juste. Reprise telle quelle, elle devient un risque de conformité et un préjudice possible pour le client.

Le second risque est la rétention. Un assistant grand public peut garder le contenu soumis sur les serveurs du fournisseur. Ce contenu peut être relu par des humains. Il peut servir à entraîner de futurs modèles, sauf conditions entreprise contraires. Le dossier de votre client vit alors chez un tiers, hors de tout canal conforme.

La loi ne laisse pas d'échappatoire sur la nature des données. Sous le UK GDPR, comme l'explique l'ICO, une donnée personnelle est toute information relative à une personne identifiée ou identifiable. Même pseudonymisée, elle reste personnelle si on peut la relier à quelqu'un. Le dossier financier d'un client, avec ses identifiants, reste une donnée personnelle régulée, où qu'il soit envoyé.

La parade : anonymiser avant l'envoi

Bonne nouvelle : l'IA reste un outil puissant pour un conseiller. Elle rédige des rapports. Elle résume des réunions. Elle éclaire l'analyse d'un portefeuille. Pour tout cela, elle n'a pas besoin de savoir qui est le client. Elle a besoin de la structure, pas de l'identité.

La règle tient en quelques gestes. Anonymisez les identifiants et les montants avant chaque prompt. L'IA rédige alors le rapport ou le résumé sur des données dé-identifiées. Ne collez jamais un SSN, un numéro de compte ou un relevé complet. Gardez les données client dans des canaux conformes. Et n'utilisez que des outils validés, avec accord de traitement (DPA) et engagement de non-entraînement.

• Ne collez jamais un SSN, une pièce d'identité ou un numéro de compte.
• Ne collez jamais un relevé complet ni le patrimoine net réel.
• Gardez les données client dans des canaux conformes.
• Exigez un DPA et une clause de non-entraînement pour tout outil validé.

Concrètement, procédez dans l'ordre. Vous gardez la valeur de l'IA sans exposer votre client.

1. 1Repérez les identifiants et montants : SSN, comptes, patrimoine, revenus.
2. 2Remplacez-les par des jetons réversibles, côté navigateur.
3. 3Envoyez seulement le texte dé-identifié à l'IA.
4. 4Restaurez les vraies valeurs dans la réponse, en local.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles — patrimoine, comptes, SSN, montants, objectifs — et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte dé-identifié atteint le modèle. L'IA n'y trouve que des jetons, jamais la vie financière réelle de votre client. Vous obtenez l'aide, sans trahir le devoir fiduciaire que la SEC, la FCA et l'ICO vous demandent d'honorer.