Une personne exporte trois mois de transactions pour « laisser ChatGPT trouver mes abonnements » et téléverse le CSV. Elle ne remarque que plus tard que le fichier contient des versements de salaire, un loyer versé à un propriétaire identifié par son nom, des paiements à des professionnels de santé et les quatre derniers chiffres qui, combinés à d’autres champs, permettent encore d’identifier le compte. Supprimer la conversation n’annule pas la divulgation. Celle-ci s’est produite au moment du collage.
Ce principe complète l’IA n’est pas votre conseiller financier. Dans cet autre article, la limite porte sur les qualifications ; ici, elle porte sur les données. Les flux de travail domestiques connexes ont tout de même besoin de chiffres, qu’il s’agisse de la revue des abonnements oubliés, des scénarios de budget du foyer ou de la préparation d’une discussion sur les finances communes. Ces chiffres doivent toutefois provenir de vos extraits expurgés, et non du transfert d’un relevé bancaire PDF vers un modèle grand public.
Ce qu’un relevé contient réellement
Un export type contient plus d’informations qu’on ne l’imagine :
- Identifiants de compte et codes d’acheminement bancaire, ou suffisamment de chiffres partiels pour permettre une réidentification
- Soldes courants et schémas de découvert
- Noms de contreparties : propriétaires, employeurs, cliniques, écoles, dons politiques
- Commerçants associés à des lieux et traces de déplacement
- Notes de virements internes qui révèlent d’autres établissements
Considérez cet ensemble comme des données personnelles et financières sensibles. Les administrations fiscales et les banques publient leurs exigences en matière de confidentialité, car l’usurpation d’identité et le détournement de compte causent des préjudices réels aux consommateurs (IRS privacy policy ; IRS Identity Theft Central ; FDIC consumer resource center ; NCUA consumer resources). Un chatbot grand public n’est pas le canal sécurisé de votre banque.
Ne collez jamais dans une IA grand public : des relevés PDF ou CSV complets, des captures d’écran de banque en ligne, des numéros de compte ou de carte, des pièces d’identité, des codes à usage unique ou des pages de connexion. Si l’envoi du fichier par e-mail à un inconnu vous causerait du tort, il n’a pas sa place dans un prompt.
L’idée fausse : « j’ai désactivé l’entraînement, donc tout va bien »
Les paramètres relatifs à l’entraînement du modèle ne signifient ni que « ce que je colle ne quitte jamais mon appareil », ni que « ce fournisseur a une obligation fiduciaire envers moi ». Les paramètres changent. Des comptes sont partagés. Des captures d’écran sont transférées. Le biais d’automatisation donne à un téléversement pratique une apparence de sécurité trompeuse. Le NIST présente ce type de comportement comme un risque à gérer, et non comme une pratique fiable par défaut (NIST AI Risk Management Framework).
Autre idée fausse : « la banque possède déjà ces données, donc les coller ailleurs ne présente aucun danger ». Votre banque les détient dans le cadre d’une relation et de contrôles particuliers. Un produit d’IA grand public constitue un autre destinataire, soumis à d’autres conditions.
Exemple du quotidien (illustratif)
Scénario illustratif, pas un cas mesuré : La méthode A consiste à téléverser un CSV brut pour demander une liste d’abonnements. Avec la méthode B, la personne examine le relevé en local puis, si l’outil choisi et la finalité s’y prêtent, saisit uniquement les champs strictement nécessaires concernant les prélèvements récurrents, sans aucun détail de compte, de localisation, de salaire, de santé ou de contrepartie. La méthode B peut toujours alimenter la revue des abonnements oubliés ; la méthode A a divulgué inutilement tout un historique de transactions.
Liste des contenus à ne jamais coller (imprimez-la)
Ne collez jamais dans une IA grand public :
- Relevés bancaires, de carte, d’investissement ou de prêt complets (PDF, CSV, OFX, captures d’écran)
- Données de compte, IBAN, codes d’acheminement, carte ou PIN
- Codes à usage unique, exports de gestionnaire de mots de passe, ou URL bancaires avec jetons de session
- Relevés fiscaux, images de carte de sécurité sociale ou de pièce d’identité nationale, ou numérisations de passeport
- Images de chèques, instructions de virement, ou codes QR de paiement
- Messages qui associent une urgence à des instructions de paiement provenant d’un canal non vérifié. Contrôlez-les à l’aide de reconnaître les escroqueries facilitées par l’IA et des voies officielles de signalement des fraudes (ReportFraud.ftc.gov ; IC3)
Ce que vous pouvez saisir à la place
Méthode limitant la divulgation : resaisissez les seuls champs strictement nécessaires, au lieu de transmettre des fichiers bruts. La ressaisie n’est pas automatiquement sûre. N’incluez ni contreparties identifiables, ni transactions rares, ni soldes exacts, ni aucune donnée que l’outil n’est pas autorisé à recevoir.
J’ai saisi ces lignes récurrentes à partir de mon propre relevé (pas de numéros de compte) :
commerçant | montant/mois | première apparition (YYYY-MM) | encore actif ?
StreamingCo | 14.99 | 2025-11 | oui
CloudBackup | 9.99 | 2024-03 | oui
GymX | 45.00 | 2026-01 | oui
Classez-les comme suit : à garder / annulation possible / vérification humaine nécessaire.
N’inventez pas d’autres abonnements. Ne demandez pas d’accès au compte.
Uniquement les chiffres mensuels vérifiés (sources indiquées ; aucun identifiant de compte) :
loyer 1200 (bail), courses moy. 520 (total manuel sur 3 mois),
salaire net 3100 (bulletin de paie).
Construisez un scénario « et si » : le loyer passe à 1350. Arithmétique uniquement. Aucune recommandation de produit.
Ce deuxième format relève des scénarios de budget du foyer. Il s’agit toujours de mieux comprendre vos finances, toujours à partir de vos propres chiffres.
Format de sortie illustratif (exemple composite, pas une transcription de conversation) :
Lignes d’entrée : 3 commerçants récurrents tels que saisis
Sortie : tableau avec indicateurs à garder/annulation possible + notes « vérifier sur le relevé »
Refusé : demande de téléversement du CSV complet ; demande d’instructions de connexion au compte
Une méthode plus sûre pour les extraits volumineux
Lorsque le jeu de données est trop grand pour être resaisi :
- Conservez l’export sur votre appareil.
- Expurgez-le dans un tableur local : supprimez les colonnes de compte, remplacez le nom de l’employeur et celui du propriétaire par des catégories, puis arrondissez les montants si la question le permet.
- Collez uniquement l’extrait expurgé nécessaire pour répondre à une question.
- Utilisez de préférence un outil approuvé par votre employeur ou votre banque, s’il en existe un qui convient à votre situation. Sinon, gardez les travaux portant sur des données très sensibles hors ligne et remettez le fichier à un conseiller agréé ou à un conseiller d’un organisme à but non lucratif, dans le respect de ses règles de confidentialité (CFPB ; USA.gov money and credit).
N’accordez pas à une extension ou à une application non vérifiée de « coaching financier par IA » un accès permanent à vos identifiants bancaires. Si une banque ou un prestataire financier réglementé propose une intégration, vérifiez l’entreprise responsable, les autorisations accordées, la procédure de révocation et les conditions relatives aux données en passant par le canal officiel du prestataire.
Comment cet article s’articule avec les autres
- Limite du conseil : l’IA n’est pas votre conseiller financier
- Prélèvements récurrents sans transmettre de relevé : revue des abonnements oubliés
- Discussions sur l’argent à deux : préparation d’une discussion sur les finances communes
- Recours à un professionnel lorsque les enjeux augmentent : quand s’arrêter et consulter un conseiller agréé
Dans l’UE, les règles relatives aux pratiques commerciales déloyales encadrent aussi la façon dont les services présentent le traitement des données et les résultats qu’ils promettent (directive 2005/29/CE). Une promesse de confidentialité dans une publicité doit donc être vérifiée dans les conditions réelles du produit, et non dans le résumé d’un chatbot.
Captures d’écran et téléversements « juste cette fois »
Les captures d’écran semblent moins lourdes qu’un export CSV. Elles ne le sont pas. Une capture d’écran bancaire affiche souvent, dans une même image, votre nom, une partie du numéro de compte, le crédit disponible et des contreparties récentes. Les modèles dotés de fonctions d’OCR et les personnes qui consulteront ultérieurement la conversation peuvent en extraire le texte. La même interdiction s’applique aux photos de relevés papier et au transfert d’un export vers une application mobile de « gestion financière par IA » dont la durée de conservation des données n’est pas claire.
Scénario illustratif, pas un cas mesuré : Une personne colle une capture d’écran pour demander si un paiement correspond à un abonnement. Une méthode plus sûre consiste à saisir MerchantX 14.99 on 2026-07-12 - is this likely recurring based only on this one line? Do not ask for more statement data. Vous perdez un peu de contexte, mais conservez la confidentialité du reste du mois. C’est précisément l’objectif de cet arbitrage.
Si vous avez déjà téléversé des données financières sensibles
Cessez d’utiliser cette conversation et consignez le fournisseur, le compte, l’heure et les catégories de données concernées, sans reproduire le relevé. Utilisez le canal officiel du fournisseur pour les questions de confidentialité ou de sécurité et suivez ses instructions de suppression. Si des identifiants de connexion, des codes à usage unique, des numéros complets de carte ou de compte ou des instructions de paiement ont été exposés, contactez la banque au moyen d’un numéro ou d’une application dont vous avez vous-même vérifié l’authenticité. Modifiez les identifiants ou bloquez les moyens de paiement selon les consignes de la banque, puis surveillez toute activité non autorisée. Les conseils de la FTC sur l’usurpation d’identité constituent un point de départ aux États-Unis ; ailleurs, utilisez les canaux prévus par votre banque et les autorités de votre pays.
Appareils partagés et comptes du foyer
Le risque augmente lorsque le chatbot est ouvert sur un ordinateur partagé, sauvegardé sur le téléphone d’un conjoint ou utilisé depuis l’ordinateur portable d’un employeur. Les informations financières divulguées depuis un compte grand public peuvent apparaître dans l’historique, sur des appareils synchronisés ou dans les outils de surveillance de l’employeur. Si vous devez utiliser une IA pour traiter un tableau expurgé, choisissez de préférence une session que vous contrôlez et désactivez les fonctions d’historique inutiles lorsque le produit le permet. Partez tout de même du principe que ce que vous collez peut être conservé plus longtemps que l’interface ne le laisse entendre. Pour parler d’argent à deux, préparez un dossier à partir de chiffres expurgés, comme dans la préparation d’une discussion sur les finances communes. Ne tentez pas de résoudre un problème d’intimité en téléversant les relevés bruts du foyer auprès d’un tiers.
Les portails d’information sur les dépôts et les coopératives de crédit rappellent aux consommateurs que la sécurité des comptes fait partie des pratiques bancaires ordinaires (FDIC deposit insurance overview ; mycreditunion.gov ; USA.gov money). Considérez l’IA grand public comme extérieure à ce périmètre, sauf indication écrite contraire concernant un outil expressément approuvé par la banque.
Un exercice pour aujourd’hui
Ouvrez la fiche d’arrêt avant collage d’un relevé bancaire. Avant votre prochain prompt lié à vos finances, imposez-vous cette liste de contrôle. Si le seul moyen de répondre à la question consiste à téléverser un relevé brut, reformulez la question ou apportez le fichier à un professionnel plutôt que de le transmettre à un modèle grand public.
