Congo-Brazzaville : banques, données clients et IA en zone CEMAC

À Brazzaville, un chargé de clientèle prépare un comité de crédit pour une PME. Il a sous la main les bilans, trois mois de relevés, la pièce d'identité du gérant et une note interne sur ses incidents de paiement. Pour gagner du temps, il demande à un assistant IA de rédiger la synthèse. Le dossier est propre et clair. Il a aussi quitté la banque.

Dans les agences comme au siège, ce geste devient courant. Or une banque congolaise répond à deux cadres à la fois : la loi nationale sur les données personnelles et la réglementation bancaire commune à la zone CEMAC. Les deux ont quelque chose à dire sur ce prompt.

Un secteur bancaire régional

Le Congo fait partie de la Communauté économique et monétaire de l'Afrique centrale (CEMAC), avec le Cameroun, le Gabon, le Tchad, la Centrafrique et la Guinée équatoriale. La monnaie et la politique monétaire relèvent de la Banque des États de l'Afrique centrale (BEAC). La supervision des banques est assurée par la Commission bancaire de l'Afrique centrale (COBAC).

Beaucoup de banques présentes à Brazzaville et Pointe-Noire appartiennent à des groupes régionaux ou internationaux. Leurs équipes partagent des outils, des procédures et parfois des serveurs avec d'autres pays. Une politique d'IA mal définie au niveau du groupe se retrouve donc vite dans les agences congolaises.

Ce que la COBAC attend en matière de contrôle interne

Le règlement COBAC R-2016/04 du 16 septembre 2016 relatif au contrôle interne des établissements de crédit impose un dispositif de contrôle couvrant l'ensemble des risques, y compris ceux liés aux activités externalisées. Il ne mentionne pas l'IA générative, mais sa logique s'applique.

Un assistant IA grand public qui traite des dossiers clients ressemble beaucoup à un prestataire externe non déclaré : il reçoit des données, les traite hors de la banque, sans contrat négocié ni contrôle. Pour l'inspection comme pour l'audit interne, la question sera simple : la banque savait-elle que ses données sortaient, et qu'a-t-elle fait pour l'empêcher ?

La loi 29-2019 et les données clients

La loi n° 29-2019 du 10 octobre 2019 sur la protection des données à caractère personnel s'applique pleinement aux banques. Nous en présentons les grands principes dans notre article sur la loi 29-2019 et la gouvernance de l'IA. Pour un établissement de crédit, trois points comptent particulièrement :

• les données doivent être traitées pour une finalité définie et protégées par des mesures de sécurité adaptées ;

• un transfert hors du Congo n'est possible que vers un pays offrant une protection comparable, après information de la future commission ;

• une violation de données doit être notifiée dans les 72 heures.

Un dossier de crédit envoyé à une IA hébergée à l'étranger peut toucher ces trois points en une seule fois.

Les usages à risque dans une banque

Les risques ne viennent pas seulement du crédit. On les retrouve dans presque tous les métiers :

1. Crédit : synthèses de dossiers, analyses de bilans, notes de comité.

2. Conformité : revues de clients, alertes de lutte contre le blanchiment, déclarations de soupçon.

3. Relation client : réponses aux réclamations avec historique de compte.

4. Ressources humaines : évaluations, salaires, dossiers disciplinaires.

Les déclarations de soupçon méritent une attention particulière : leur confidentialité est essentielle, et leur contenu ne doit jamais se retrouver dans un outil externe.

Des contrôles concrets

Les outils de sécurité classiques de la banque voient mal ce qui se passe dans un navigateur chiffré. Nous l'expliquons dans notre article sur les limites du DLP réseau face à ChatGPT. Il faut donc agir au plus près de l'utilisateur.

1. Inventorier les outils d'IA utilisés, y compris sur téléphone et comptes personnels.

2. Fixer une règle courte : aucune pièce d'identité, aucun numéro de compte, aucune déclaration de soupçon dans un outil public.

3. Traiter l'IA comme une externalisation dans le dispositif de contrôle interne, avec un responsable désigné.

4. Contrôler sur le poste : détecter les données sensibles au moment du prompt, puis avertir, bloquer ou anonymiser.

5. Garder des preuves pour l'audit interne, la COBAC et la future commission de protection des données.

La formation reste utile, mais elle ne suffit pas, comme le montre notre analyse sur les limites de la formation à la sécurité IA. L'anonymisation permet en revanche de garder l'IA utile : un nom, un numéro de compte ou un montant remplacé par une valeur fictive au même format, et la synthèse reste exploitable. Notre guide sur l'anonymisation qui préserve le format détaille la méthode.

Par où commencer cette semaine

Inutile d'attendre un grand projet. Une première réunion entre le RSSI, le responsable de la conformité et un représentant des métiers suffit pour lister les usages connus. Dans la foulée, la direction peut diffuser la règle courte décrite plus haut. Le contrôle sur le poste se déploie ensuite d'abord dans les équipes crédit et conformité, les plus exposées, avant d'être étendu aux agences et au service client.

L'essentiel

• Les banques congolaises répondent à la fois à la loi 29-2019 et à la réglementation COBAC.

• Un assistant IA non maîtrisé ressemble à une externalisation non contrôlée.

• Crédit, conformité et relation client sont les métiers les plus exposés.

• Des contrôles sur le poste et des preuves d'incidents évités renforcent le contrôle interne.

ZeusLock détecte et anonymise les données clients directement sur le poste, avant leur envoi à ChatGPT, Copilot ou Gemini, et journalise chaque incident pour vos audits. Demandez une démo pour sécuriser l'usage de l'IA dans votre banque.