Afrique du Sud : Joint Standard 2 of 2024, cybersécurité et IA en finance

Dans une banque de Johannesburg, une analyste risque prépare une note pour le comité de crédit. Elle colle dans un assistant IA un extrait du portefeuille de prêts, avec les noms des clients, leurs revenus et leurs arriérés, pour obtenir un résumé clair. Au même étage, un développeur demande à un outil de code de corriger un script qui contient une clé d'accès à la base clients.

Il y a quelques années, ces gestes relevaient surtout de la POPIA et de la conformité interne. Depuis le 1er juin 2025, ils touchent aussi une norme prudentielle : le Joint Standard 2 of 2024 sur la cybersécurité et la cyber-résilience, publié conjointement par la FSCA et la Prudential Authority. Pour les banques, assureurs et autres institutions financières sud-africaines, l'usage de l'IA est désormais une question de supervision.

Une norme commune à la FSCA et à la Prudential Authority

Le Joint Standard 2 of 2024 a été publié le 17 mai 2024 par la Financial Sector Conduct Authority et la Prudential Authority, rattachée à la South African Reserve Bank. Il est entré en vigueur le 1er juin 2025. Il complète le Joint Standard 1 of 2023 sur la gouvernance et la gestion des risques informatiques, en vigueur depuis le 15 novembre 2024.

Son champ est large. Il couvre notamment :

• les banques et les banques mutualistes ;

• les assureurs ;

• les infrastructures de marché : bourses, dépositaires centraux, chambres de compensation ;

• les fonds de pension enregistrés et certains administrateurs de fonds ;

• les prestataires de dérivés de gré à gré et les agences de notation enregistrées.

Ce que la norme exige sur les données sensibles

Le texte ne parle pas d'IA générative en tant que telle. Mais plusieurs de ses exigences s'appliquent directement à ce qui part dans un prompt. Les institutions doivent tenir un inventaire de leurs actifs informationnels, limiter l'accès à l'information aux utilisateurs et appareils autorisés, et empêcher l'usage non autorisé des données sensibles. Elles doivent aussi déployer une protection des postes de travail et tester régulièrement l'efficacité de leurs contrôles.

Un assistant IA grand public utilisé sans encadrement contredit presque chacun de ces points. Les données sortent du périmètre, vers un service qui ne figure dans aucun inventaire, sans trace exploitable. Et les outils de filtrage réseau classiques voient mal ce qui se passe, comme nous l'expliquons dans pourquoi la DLP réseau échoue face à ChatGPT.

Signaler un incident en 24 heures

Les institutions doivent notifier à l'autorité compétente tout incident cyber ou informatique jugé matériel. Depuis le 1er septembre 2026, un modèle de déclaration commun s'applique, fixé par le Joint Notice 2 of 2026. La première notification doit être envoyée dans les 24 heures qui suivent la qualification de l'incident comme matériel, week-ends et jours fériés compris. Une mise à jour est attendue sous 14 jours calendaires.

Les banques et les assureurs déclarent à la Prudential Authority. Les autres institutions concernées passent par la FSCA. En parallèle, la POPIA impose de notifier l'Information Regulator et les personnes concernées en cas de compromission de données personnelles. Une fuite de données clients via un outil d'IA peut donc déclencher deux circuits de déclaration à la fois.

L'IA progresse vite dans la finance sud-africaine

La FSCA et la Prudential Authority ont publié fin 2025 une étude sur l'IA dans le secteur financier, fondée sur une enquête menée entre octobre et décembre 2024. Environ 2 100 institutions ont répondu. 52 % des banques et 50 % des prestataires de paiement déclaraient déjà utiliser l'IA, contre 8 % des assureurs.

Le risque le plus cité par les répondants est la protection des données personnelles, au regard de la POPIA. Viennent ensuite la cybersécurité, le risque de modèle et les risques propres à l'IA générative, comme les réponses inexactes. Les régulateurs ont donc une vision claire de l'enjeu, et il serait imprudent de penser qu'ils l'ignoreront lors des prochaines revues.

Les usages qui posent problème

Dans les institutions financières, quelques situations reviennent souvent :

1. Analyse de crédit : extraits de dossiers avec numéros d'identité sud-africains, revenus et historiques de paiement.

2. Sinistres : rapports d'expertise et dossiers médicaux résumés pour accélérer un règlement.

3. Service client : réclamations copiées avec numéros de compte et coordonnées.

4. Développement : scripts et fichiers de configuration contenant des secrets, un risque détaillé dans notre article sur les agents IA en ligne de commande et la fuite de secrets.

Pour le cas particulier du numéro d'identité à 13 chiffres, nous avons publié un guide dédié : détecter et anonymiser le numéro d'identité sud-africain avant l'IA.

Comment ZeusLock aide les institutions financières

ZeusLock s'installe sur les postes et navigateurs des collaborateurs. Avant qu'un prompt ou un fichier n'atteigne ChatGPT, Copilot, Gemini ou Claude, il détecte les numéros d'identité, numéros de compte, cartes, clés d'API et autres données sensibles. Selon la politique définie, il les anonymise en gardant leur format, avertit l'utilisateur ou bloque l'envoi. Chaque événement est journalisé et horodaté. Ces journaux aident à démontrer le contrôle de l'usage des données sensibles et à qualifier rapidement un incident, ce qui compte quand l'horloge de 24 heures démarre. Le parcours complet d'une fuite est décrit dans notre anatomie d'une fuite de données par l'IA.

En résumé

Avec le Joint Standard 2 of 2024, la cybersécurité des institutions financières sud-africaines est devenue une obligation prudentielle précise, avec des délais de déclaration courts. L'IA générative, déjà adoptée par la moitié des banques, crée de nouveaux chemins de fuite que la norme impose de maîtriser. Contrôler ce qui entre dans les prompts est l'une des mesures les plus concrètes pour y parvenir.

Vous travaillez dans une banque, une assurance ou une société de gestion en Afrique du Sud ? Demandez une démo de ZeusLock et voyez comment encadrer l'usage de l'IA.