Banques et fintechs au Sénégal : IA générative et secret bancaire

Dans une agence bancaire de Dakar, un conseiller doit répondre à la réclamation d'un client mécontent. Il ouvre ChatGPT, colle l'historique du compte, le nom du client et le détail des opérations contestées, puis demande une réponse polie. Le problème, c'est que des informations couvertes par le secret professionnel viennent de quitter la banque.

Banques, institutions de microfinance, émetteurs de monnaie électronique et fintechs : au Sénégal, tout le secteur financier découvre l'IA générative. Il le fait avec une contrainte que peu d'autres secteurs connaissent, puisqu'il doit respecter à la fois les règles bancaires de l'UMOA et la loi n° 2008-12 sur les données personnelles.

Un secteur où la confidentialité est une obligation légale

Dans la zone UMOA, le secret professionnel bancaire n'est pas une simple bonne pratique. La loi uniforme portant réglementation bancaire, adoptée par le Conseil des ministres de l'Union en juin 2023 et reprise par chaque État membre dans sa propre loi, y consacre un article entier. Il vise les dirigeants, les salariés et toute personne qui a accès aux informations de l'établissement. Le texte précise même que l'obligation subsiste après la fin des fonctions.

Le secret ne peut être levé que dans des cas limités : au profit de la Commission bancaire, de la BCEAO, de la justice pénale ou de certains partenaires prévus par la loi. Un assistant d'IA grand public ne fait évidemment pas partie de cette liste.

La loi 2008-12 ajoute une seconde couche

À ces règles s'ajoute la loi n° 2008-12 sur la protection des données à caractère personnel, contrôlée par la Commission de protection des Données Personnelles (CDP). Une banque ou une fintech qui envoie des données de clients vers un service d'IA réalise un traitement, et le plus souvent un transfert hors du Sénégal. Ces deux opérations doivent respecter les formalités et les garanties prévues par la loi.

La CDP suit de près le secteur. En juillet 2023, elle a publiquement invité plusieurs banques de la place à déclarer leurs traitements liés à l'interconnexion entre comptes bancaires et services de mobile money. Pour le détail des obligations, consultez notre guide de la loi 2008-12 face à l'IA générative.

Mobile money et fintech : des volumes de données considérables

Le Sénégal compte parmi les marchés les plus dynamiques de la sous-région pour le paiement mobile. Les émetteurs de monnaie électronique, encadrés par l'instruction n° 008-05-2015 de la BCEAO, traitent chaque jour un très grand nombre de numéros de téléphone, de soldes et d'historiques de transactions. Les équipes produit, fraude ou service client sont aussi celles qui adoptent le plus vite les outils d'IA.

Ce sont précisément ces données qui finissent dans les prompts : un export de transactions pour comprendre une anomalie, une liste d'agents pour préparer un rapport, un échange avec un client pour rédiger une réponse type.

Les usages à risque les plus fréquents

Dans une banque, une IMF ou une fintech, les situations qui exposent le plus sont souvent banales :

• Service client : coller une réclamation complète avec nom, numéro de compte et montants.

• Crédit : faire résumer un dossier de prêt contenant revenus, garanties et pièces d'identité.

• Conformité et lutte contre le blanchiment : demander à une IA d'analyser une liste d'opérations suspectes.

• Informatique : soumettre un extrait de base de données ou un fichier de configuration pour corriger un bug.

• Direction et finance : faire reformuler un rapport interne avant un comité ou une revue de la Commission bancaire.

Aucun de ces gestes n'est malveillant. Mais chacun peut constituer à la fois une violation du secret professionnel et un transfert de données non maîtrisé. Nous détaillons ce mécanisme dans Anatomie d'une fuite de données par l'IA.

Pourquoi le blocage ne règle rien

Beaucoup d'établissements ont réagi en bloquant les sites d'IA sur le réseau interne. Le résultat est connu : les collaborateurs passent par leur téléphone personnel, avec le même fichier et encore moins de contrôle. La banque perd alors toute visibilité. Ce phénomène de Shadow AI a un coût réel, que nous avons estimé dans Le vrai coût du Shadow AI en 2026.

Les équipes utiliseront l'IA de toute façon. Reste à fixer les conditions.

Une démarche adaptée aux acteurs financiers

1. Recenser les outils réellement utilisés, service par service, y compris sur mobile.

2. Définir les données interdites dans un prompt : numéros de compte, RIB, soldes, pièces d'identité, données de crédit, déclarations de soupçon.

3. Mettre à jour les formalités auprès de la CDP pour les usages de l'IA qui touchent aux données des clients.

4. Associer la conformité et le contrôle interne, car le secret bancaire relève aussi de leur périmètre.

5. Anonymiser à la source : remplacer automatiquement les données sensibles avant l'envoi, sans casser le sens de la demande.

6. Conserver des preuves pour la CDP, la Commission bancaire et les auditeurs.

Ce que ZeusLock apporte aux banques et fintechs

ZeusLock fonctionne directement sur les postes et les navigateurs des collaborateurs. Il repère en temps réel les données sensibles dans les prompts et les fichiers envoyés à ChatGPT, Copilot, Gemini ou Claude. Selon vos règles, il les anonymise en préservant leur format, affiche un avertissement ou bloque l'envoi. Le conseiller obtient sa réponse, mais le vrai numéro de compte ne quitte jamais la banque. Pour comprendre la technique, lisez notre article sur l'anonymisation qui préserve le format.

Chaque incident évité est journalisé. Vous disposez ainsi d'éléments concrets à présenter en cas de contrôle.

En résumé

Au Sénégal, un acteur financier qui utilise l'IA générative doit concilier deux exigences : le secret professionnel prévu par la réglementation bancaire de l'UMOA et la loi 2008-12 contrôlée par la CDP. Interdire l'IA ne fonctionne pas. La bonne réponse consiste à savoir ce qui part, à protéger les données avant l'envoi et à garder une trace de chaque décision.

Vous dirigez une banque, une IMF ou une fintech au Sénégal ? Demandez une démo de ZeusLock et voyez comment vos équipes peuvent utiliser l'IA sans exposer vos clients.