Mardi 13 octobre, Jamie Dimon a annoncé que JPMorgan bloque les agents IA extérieurs qui se connectent aux comptes de ses clients avec leurs identifiants. Dans votre PME, quelqu'un a peut-être déjà donné les codes de la banque pro à un assistant pour « gagner du temps sur le rapprochement ». On vous explique par quelle porte un agent peut entrer dans votre banque, ce qu'il peut y faire, et comment vérifier en une demi-heure que personne n'a laissé la clé sous le paillasson.
Ce que JPMorgan a décidé, sans le bruit
La première banque américaine ne ferme pas la porte à l'IA. Elle ferme une porte précise : celle des agents qui récupèrent le login et le mot de passe d'un client pour se connecter à sa place. Quand la banque détecte ce genre de connexion, elle la refuse.
Ce qui reste ouvert, d'après Fortune et Quartz, c'est le partage de données autorisé par le client via des intermédiaires d'open banking. Un agent peut donc encore consulter un solde par ce canal. Il ne peut ni virer de l'argent ni payer une facture.
Le contexte compte. Meta a lancé en septembre Muse, un agent personnel qui envoie des mails, réserve des voyages et, avec sa fonction Finances, lit vos comptes. Les agents qui pilotent un navigateur comme un humain se multiplient. Dimon a résumé sa position en une phrase que tout dirigeant devrait garder en tête : les clients « doivent comprendre qu'il y a un transfert de responsabilité ».
À notre connaissance, aucune banque française n'a encore pris une position aussi nette. Mais la question se pose déjà chez vous, que votre banque l'ait formulée ou non.
Deux portes pour entrer dans votre compte
Imaginez votre compte bancaire comme un coffre dans une agence. Il y a deux façons d'y faire entrer quelqu'un.
La première porte, c'est de lui prêter votre clé. Vous donnez à l'agent votre identifiant, votre mot de passe, parfois le code reçu par SMS. Il se connecte comme s'il était vous. Pour la banque, c'est vous qui êtes là. Elle ne voit pas de différence entre vous, votre agent et quelqu'un qui aurait volé l'agent.
La seconde porte, c'est le guichet prévu pour ça. Depuis la directive européenne DSP2, des sociétés agréées peuvent lire vos comptes de paiement par une interface que la banque ouvre exprès. Vous donnez votre accord dans l'espace de votre banque, avec une authentification forte. Le prestataire s'identifie, n'accède qu'aux comptes que vous avez désignés, et vous pouvez couper l'accès sans changer vos codes. En France, ces prestataires sont agréés ou enregistrés auprès de l'ACPR et figurent dans un registre public, le REGAFI.
Beaucoup de logiciels de comptabilité et de gestion de trésorerie passent déjà par cette seconde porte, souvent sans que vous le sachiez. C'est une bonne nouvelle : un agent qui travaille sur les données de votre logiciel comptable n'a aucune raison de connaître vos codes bancaires.
Le problème vient des agents généralistes. Un assistant qui clique dans un navigateur à votre place passe naturellement par la première porte, parce que c'est la seule qu'il sait ouvrir.
Pourquoi « transfert de responsabilité » n'est pas une formule
En France, le Code monétaire et financier impose à l'utilisateur de prendre « toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées » (article L133-16). Vos identifiants bancaires en font partie.
En cas d'opération frauduleuse, la règle de départ vous protège : la banque rembourse, et c'est à elle de prouver une négligence grave si elle veut refuser. Mais remettre volontairement vos codes à un outil non agréé lui donne un argument tout trouvé. La jurisprudence s'apprécie au cas par cas, et on n'est pas avocats. Retenez seulement ceci : vous ne voulez pas être le cas d'école. Relisez aussi les conditions générales de votre contrat banque pro, elles interdisent souvent noir sur blanc de communiquer vos codes à un tiers.
Il y a un second risque, plus concret encore. Selon le rapport 2025 de l'Observatoire de la sécurité des moyens de paiement, publié par la Banque de France en septembre 2026, la fraude par manipulation (faux conseiller, fraude au président, substitution d'IBAN) a atteint 516 millions d'euros en 2025, un peu plus de 40 % du montant total de la fraude. Ces arnaques fonctionnent en trompant la personne qui valide le paiement. Un agent qui lit une fausse facture avec un nouvel IBAN se fait tromper aussi bien qu'un comptable pressé, et parfois mieux : il ne trouve rien de bizarre au ton du mail.
La grille : ce qu'un agent peut faire avec votre banque
Chez nous, on raisonne en quatre niveaux. Chaque niveau dit ce que l'agent fait, par quelle porte, et qui garde la main. Copiez-la telle quelle dans votre charte IA ou votre procédure finance.
| Niveau | Ce que fait l'agent | Par quelle porte | Qui valide |
|---|---|---|---|
| 1. Lire | Consulter soldes et opérations, résumer la trésorerie de la semaine | Connexion agréée (logiciel comptable, agrégateur) | Personne, c'est de la lecture |
| 2. Rapprocher | Associer chaque encaissement à sa facture, signaler les écarts | Données du logiciel comptable, jamais l'espace bancaire | Le comptable relit les écarts |
| 3. Préparer | Proposer une liste de virements fournisseurs, pré-remplir les montants | Brouillon dans le logiciel ou fichier de virement | Un humain signe dans l'appli de la banque, avec authentification forte |
| 4. Exécuter seul | Envoyer un virement ou payer une facture sans personne | Aucune | Interdit |
Et trois règles qui ne bougent pas, quel que soit le niveau :
- Jamais d'identifiants bancaires dans un agent, ni dans un prompt, ni dans un fichier qu'il peut lire.
- Jamais d'accès au téléphone qui reçoit les codes de validation. C'est la dernière serrure, elle reste dans la poche d'un humain.
- Tout changement d'IBAN fournisseur se vérifie par téléphone, au numéro que vous aviez déjà, jamais à celui qui figure sur la facture. Un agent peut signaler le changement, il ne l'enregistre pas.
À quoi ça ressemble quand c'est bien fait
Disons une PME de négoce de 40 personnes, 300 factures clients par mois, une comptable à mi-temps sur le rapprochement. C'est exactement le genre de tâche où un agent rend service, et elle tient entièrement dans les niveaux 1 et 2.
Le logiciel comptable reçoit déjà les opérations bancaires par une connexion agréée. L'agent lit ces opérations chaque matin, les associe aux factures ouvertes (montant, référence, nom du payeur), et produit un récapitulatif comme celui-ci :
Rapprochement du 16/10 : 23 encaissements
✅ 19 rapprochés automatiquement (référence + montant exacts)
⚠️ 3 à vérifier :
- Virement 4 812,00 € "SARL DUPONT" : deux factures ouvertes de ce montant
- Virement 1 200,00 € sans référence : payeur inconnu
- Virement 2 950,00 € pour une facture de 3 000,00 € : écart de 50 €
❓ 1 non identifié : 640,00 € "REMB TRESOR PUBLIC"
Factures échues non payées : 7 (liste jointe)
La comptable traite les quatre lignes douteuses au lieu des vingt-trois. Les factures échues partent dans une relance personnalisée, préparée par l'agent et relue avant envoi. À aucun moment l'agent n'a vu un code bancaire, et à aucun moment il n'a pu bouger un euro.
Le même flux alimente sans effort un point de trésorerie hebdomadaire. Si vous suivez déjà vos encaissements dans un reporting automatisé, c'est la même source de données.
L'audit de trente minutes à faire cette semaine
Voici la checklist qu'on déroule en premier. Copiez-la dans un mail à la personne qui gère la banque chez vous.
AUDIT ACCÈS BANCAIRES : à faire avant vendredi
1. Dans l'espace banque pro, ouvrir la rubrique des accès tiers
(souvent « partage de données », « applications connectées »
ou « agrégation »). Lister chaque service connecté.
2. Pour chacun, noter : nom du prestataire, comptes concernés,
lecture seule ou initiation de paiement, date de connexion.
Retirer tout ce que personne ne reconnaît.
3. Vérifier que chaque prestataire figure au REGAFI (ACPR)
ou au registre de l'Autorité bancaire européenne.
4. Demander à l'équipe, sans chercher de coupable :
« Quelqu'un a-t-il déjà donné les codes de la banque
à un assistant IA, une extension ou un outil en ligne ? »
Si oui : changer les codes le jour même.
5. Vérifier les plafonds de virement et la double validation
au-dessus d'un montant que vous fixez.
6. Écrire noir sur blanc la règle IBAN :
tout nouvel IBAN fournisseur est confirmé par téléphone,
au numéro connu, avant le premier paiement.
Et si un éditeur ou un prestataire vous propose un agent « connecté à votre banque », trois questions suffisent à trier :
- « Est-ce que votre outil me demande mes identifiants bancaires ? » Si oui, la discussion s'arrête là.
- « Par quel prestataire agréé passez-vous pour lire mes comptes ? » Vous devez obtenir un nom, que vous vérifiez au registre.
- « Votre agent peut-il initier un paiement, et qui le valide ? » La seule bonne réponse : il prépare, un humain valide dans la banque.
Où ça coince en pratique
La seconde porte a ses défauts, autant les connaître. Les connexions agréées expirent et demandent régulièrement une nouvelle authentification forte : si personne ne le fait, le flux s'arrête sans bruit et l'agent rapproche des données vieilles de trois semaines. Prévoyez une alerte quand la dernière opération reçue date de plus de deux jours.
La qualité des interfaces varie aussi d'une banque à l'autre. Libellés tronqués, références clients qui disparaissent, délais de mise à jour : un rapprochement qui marche parfaitement sur un compte peut laisser filer des encaissements sur un autre. Testez sur un mois réel avant d'y croire.
Enfin, la tentation reviendra. Le jour où un agent généraliste vous proposera de « payer vos fournisseurs tout seul », ce sera plus rapide que la grille ci-dessus. Ce sera aussi la première porte, avec votre responsabilité derrière.
Par où commencer
Faites l'audit de trente minutes cette semaine, surtout l'étape 4. Ensuite, si le rapprochement bancaire vous coûte des heures chaque mois, commencez par les niveaux 1 et 2 : lire et rapprocher, depuis votre logiciel comptable. C'est là que se trouve l'essentiel du temps gagné, et aucun code bancaire n'a besoin de quitter votre poche.
Sources :
- Fortune, "'You don't want rogue agents': Jamie Dimon bars outside AI agents like Meta's Muse from JPMorgan accounts", octobre 2026. https://fortune.com/2026/10/15/jamie-dimon-ai-agents-meta-muse-jpmorgan/, consulté le 16 octobre 2026.
- Quartz, "JPMorgan bloque les agents d'IA externes des comptes clients", octobre 2026. https://fr.qz.com/jpmorgan-bloque-les-agents-ai-externes-des-comptes-clients-101326, consulté le 16 octobre 2026.
- Banque de France, "Rapport de l'Observatoire de la sécurité des moyens de paiement 2025", septembre 2026. https://www.banque-france.fr/fr/publications-et-statistiques/publications/rapport-de-lobservatoire-de-la-securite-des-moyens-de-paiement-2025, consulté le 16 octobre 2026.
- Légifrance, Code monétaire et financier, article L133-16. https://www.legifrance.gouv.fr/codes/id/LEGIARTI000035430495/2018-01-13, consulté le 16 octobre 2026.