Paiement par carte : le PCI SSC recommande une validation humaine avant toute action d'un agent IA sur des données de carte en clair

Le 8 octobre, le PCI SSC, l’organisme qui édicte la norme de sécurité PCI DSS applicable aux entreprises acceptant les paiements par carte, a publié un guide sur l’usage de l’IA dans les environnements de paiement. Ces recommandations ne sont pas des exigences obligatoires, et les normes PCI existantes prévalent en cas de divergence. D’après la lecture qu’en fait Help Net Security, le guide recommande une validation humaine explicite avant toute action d’un agent IA (un programme d’IA qui exécute des tâches de lui-même) portant sur des données de carte en clair, c’est-à-dire lisibles et non chiffrées, et de tenir mots de passe et clés de chiffrement hors de portée des systèmes d’IA. Il demande aussi de tenir un inventaire des outils d’IA utilisés, de désigner une personne responsable de ce que chacun produit, et d’éviter qu’un même système cumule accès aux données sensibles, communication vers l’extérieur et lecture de contenus non vérifiés. Pour les fournisseurs d’IA qui traitent des données sensibles, il préconise des contrats qui interdisent l’entraînement des modèles sur vos données, donnent de la visibilité sur les sous-traitants et fixent les conditions de notification en cas de fuite. Ce que cela change pour vous : si un assistant ou un agent IA intervient dans votre service client, votre boutique en ligne ou votre comptabilité, vérifiez avec votre prestataire qu’il n’a accès à aucun numéro de carte en clair, et ajoutez ces trois clauses à la liste de contrôle de vos prochains contrats de services d’IA.