IA et secret bancaire : les banques peuvent-elles l'utiliser ?

Oui, une banque peut utiliser l'IA. Mais pas en lui donnant l'identité et les montants réels de ses clients. Un conseiller colle un relevé pour préparer un dossier. Il colle une situation client pour rédiger une synthèse. Ces données quittent alors l'établissement. Elles partent chez un fournisseur d'IA tiers. Or elles sont couvertes par le secret bancaire. La bonne méthode existe : anonymisez avant le prompt, puis restaurez les valeurs en local.

Le problème : coller un relevé client dans une IA

Le geste paraît anodin. Un conseiller veut gagner du temps. Il copie un relevé de compte dans une IA grand public. Il demande une analyse, un résumé, un courrier. Le prompt part sur un serveur externe. Il contient le nom du client, ses opérations et ses soldes. Ces informations peuvent être conservées ou réutilisées pour entraîner le modèle. Elles ne sont plus sous le contrôle de la banque.

Un dossier bancaire concentre des données très identifiantes. Voici ce qu'un prompt mal préparé peut exposer.

• Le nom et les coordonnées du client titulaire du compte.
• Le numéro de compte, l'IBAN et les références bancaires.
• Les montants réels : soldes, revenus, échéances, découverts.
• Les opérations datées qui dessinent des habitudes de vie.

L'enjeu : le secret bancaire protège ces informations

La base légale est claire. L'article L.511-33 du Code monétaire et financier soumet les dirigeants et les employés des établissements de crédit au secret professionnel. Les informations qu'ils détiennent sur leurs clients sont confidentielles. C'est ce qu'on appelle le secret bancaire. Il lie l'établissement et son personnel.

Ce secret ne connaît que des exceptions limitées et encadrées par la loi. Il n'est pas opposable à l'autorité de contrôle, à la Banque de France ou à l'autorité judiciaire en matière pénale. Certains partages restent permis pour des opérations précises, comme une cession de créances ou une relation avec une contrepartie. Un fournisseur d'IA tiers n'entre dans aucun de ces cas. Lui transmettre des données client, hors des cas prévus par la loi, expose l'établissement à un manquement au secret. La violation du secret professionnel est passible des sanctions pénales prévues par la loi.

Le RGPD s'ajoute au secret. Pour les données de ses clients, la banque agit comme responsable de traitement. La CNIL, l'autorité française de protection des données, est nette sur ce point. L'IA ne bénéficie d'aucune exemption. Dès qu'un système d'IA traite des données personnelles, le règlement s'applique pleinement. Coller un relevé identifiant dans une IA externe cumule donc deux risques. Un manquement au secret bancaire. Une question de conformité au RGPD.

L'IA est-elle bannie dans la banque ?

Non. C'est l'objection la plus fréquente, et la réponse est claire. Ni le secret bancaire ni l'ACPR n'interdisent l'IA. L'ACPR contrôle la banque et l'assurance et veille à la protection de la clientèle. Depuis 2018, elle mène des travaux sur l'IA dans la finance. Ils s'articulent autour de l'évaluation et de la gouvernance des algorithmes. L'esprit est celui d'une supervision, pas d'une interdiction.

Le problème n'est donc pas l'outil. C'est la transmission de données identifiantes à un tiers. Séparez les deux, et l'IA redevient un assistant utile.

La solution : anonymiser avant le prompt

L'IA n'a pas besoin du vrai nom pour être utile. Elle n'a pas besoin des montants réels non plus. Elle raisonne sur la structure d'une situation, pas sur l'identité. Le principe de minimisation va dans le même sens. La CNIL invite à atteindre le résultat voulu avec le moins de données personnelles possible. Parmi les leviers cités, elle place en premier l'anonymisation et la pseudonymisation réalisées en amont du traitement.

La méthode est simple à mettre en place. Elle réduit l'exposition et soutient la minimisation. Elle ne dispense pas des obligations : le secret bancaire et le RGPD restent votre responsabilité. Mais elle enlève l'identité et les montants réels du prompt.

1. 1Repérez les éléments identifiants : nom, IBAN, numéro de compte, montants.
2. 2Remplacez-les par des jetons réversibles, côté navigateur.
3. 3Envoyez seulement le texte anonymisé à l'IA.
4. 4Restaurez les vraies valeurs dans la réponse, en local, sur votre poste.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles — nom, IBAN, numéro de compte, montants — et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. L'IA n'y voit jamais l'identité ni les soldes réels de vos clients. Vous gardez l'aide de l'IA, tout en réduisant l'exposition au regard du secret bancaire et du RGPD.