Banques et microfinance au Mali : utiliser l'IA sans exposer les clients

Dans une caisse de microfinance de Bamako, un chargé de crédit doit préparer le dossier d'une commerçante qui demande un prêt pour agrandir son étal. Il a ses relevés d'épargne, la copie de sa carte d'identité et l'avis de son groupement. Pour aller plus vite, il colle le tout dans un assistant d'IA et lui demande une note de synthèse pour le comité de crédit. Il gagne vingt minutes. Mais les données de la cliente viennent de quitter le Mali.

Banques et systèmes financiers décentralisés (SFD) commencent à utiliser l'IA générative, souvent sans cadre. Cet article propose une démarche pratique, adaptée à leur réalité et aux règles qui s'appliquent à eux.

Un secteur au cœur de l'inclusion financière

La microfinance joue un rôle central au Mali. Selon l'association professionnelle des SFD du Mali (Apsfd-Mali), le pays comptait 116 SFD au 31 décembre 2024, avec environ 1,58 million de clients, 158 milliards de francs CFA de dépôts et 191 milliards de crédits. En septembre 2025, le ministère de l'Économie et des Finances a annoncé la préparation d'une nouvelle loi pour mieux protéger les déposants.

Les banques, de leur côté, servent les entreprises, les fonctionnaires et une part croissante de particuliers. Dans les deux cas, les établissements détiennent des informations très sensibles sur leurs clients : revenus, épargne, dettes, garanties, famille.

Trois couches de règles

Un établissement financier malien qui utilise l'IA doit tenir compte de trois cadres :

• La réglementation de l'UMOA, sous la supervision de la BCEAO et de la Commission bancaire, qui impose notamment le secret professionnel aux banques et à leurs salariés.

• La réglementation des SFD, qui fixe les règles de gouvernance et de contrôle propres à la microfinance.

• La loi n° 2013-015 du 21 mai 2013, modifiée en 2017, qui protège les données personnelles et confie leur contrôle à l'Autorité de Protection des Données à caractère Personnel (APDP).

Cette loi n'autorise les transferts de données vers un autre pays que si celui-ci offre un niveau de protection suffisant. Or la plupart des assistants d'IA grand public traitent les données hors d'Afrique. Pour le détail du cadre et des enjeux de souveraineté, lisez notre article sur la loi 2013-015, l'APDP et la souveraineté des données.

Une autorité qui contrôle

L'APDP n'est pas une autorité de façade. En 2025, elle a sanctionné d'une amende de 5 millions de francs CFA une clinique de Bamako qui avait fait obstacle à un contrôle. En octobre 2025, elle a ouvert une session extraordinaire pour examiner environ 2 000 dossiers de déclaration, en vérifiant notamment la sécurité des systèmes d'information. Pour une banque ou un SFD, l'usage de l'IA sur des données clients fait donc partie des sujets qu'un contrôle peut aborder.

Les gestes à risque au guichet et au siège

Dans une banque ou une institution de microfinance, les usages les plus exposés sont rarement exotiques :

• résumer un dossier de crédit avec identité, revenus et garanties ;

• rédiger un courrier de relance à un client en retard de paiement ;

• analyser un portefeuille de prêts exporté d'Excel pour préparer un rapport ;

• faire traduire une procédure interne contenant des noms de clients en exemple ;

• soumettre une liste d'opérations suspectes pour en tirer une note de conformité.

Chacun de ces gestes peut à la fois toucher au secret professionnel et constituer un transfert de données hors du Mali. Le mécanisme est détaillé dans Anatomie d'une fuite de données par l'IA.

La démarche en cinq étapes

1. Observer pendant deux à trois semaines les outils d'IA réellement utilisés, agence par agence, y compris sur les téléphones.

2. Classer les données en trois niveaux : libres (textes publics, modèles vierges), à anonymiser (noms, montants, numéros de compte), interdites (pièces d'identité, déclarations de soupçon, données de santé).

3. Écrire une règle d'une page, validée par la direction et la conformité, puis l'expliquer en réunion d'agence plutôt que par un simple courriel.

4. Mettre à jour les déclarations auprès de l'APDP pour les traitements qui touchent à l'IA, et informer le conseil d'administration.

5. Protéger automatiquement les données avant l'envoi et conserver une trace des incidents évités.

Pour planifier ces étapes dans le temps, notre playbook de déploiement en 90 jours propose un calendrier semaine par semaine.

Les petites structures aussi

Une caisse rurale avec trois agents n'a pas de responsable sécurité. C'est justement là que le risque est le plus fort, car les outils gratuits sont la solution la plus simple. Pour ces structures, la sensibilisation seule ne suffit pas, comme nous l'expliquons dans Pourquoi la formation à la sécurité IA ne fonctionne pas. Il faut un garde-fou qui agit au moment où la donnée part, sans demander d'expertise technique à l'agent.

Ce que ZeusLock apporte

ZeusLock s'installe sur les postes et les navigateurs des collaborateurs, au siège comme en agence. Il repère en temps réel les noms, numéros de compte, montants et pièces d'identité dans les prompts et les fichiers envoyés à ChatGPT, Copilot, Gemini ou Claude. Selon vos règles, il les anonymise en préservant leur format, avertit l'utilisateur ou bloque l'envoi. Le chargé de crédit obtient sa note de synthèse, mais l'identité réelle de la cliente reste dans l'établissement. Chaque événement est journalisé pour l'APDP, la Commission bancaire et les auditeurs.

En résumé

Au Mali, banques et SFD détiennent des données qui relèvent à la fois du secret professionnel de l'UMOA et de la loi 2013-015. L'IA générative peut faire gagner un temps précieux, à condition de savoir ce qui part et de protéger les données avant l'envoi. Une démarche simple, en cinq étapes, suffit pour commencer.

Vous dirigez une banque ou une institution de microfinance au Mali ? Demandez une démo de ZeusLock.