L’IA dans l’environnement de paiement : ce que les nouvelles orientations du PCI SSC sur l’IA signifient pour votre périmètre

Le 15/09/2026, le PCI Security Standards Council a publié un supplément d’information intitulé Security Considerations for AI Systems (PCI SSC). Il arrive au moment où les organisations déploient des chatbots auprès de leurs clients, utilisent des agents d’IA pour gérer les litiges et les remboursements, et permettent au personnel de copier des données dans des outils d’IA. Si l’une de ces actions touche aux données de cartes, le PCI DSS s’applique déjà.

Le message clé : l’IA n’est pas un cas particulier pour la définition du périmètre

Le Conseil est explicite : « lorsque l’IA est utilisée, elle ne doit pas être considérée différemment de toute autre forme de technologie lors de la définition du périmètre des exigences PCI » (PCI SSC). Un système d’IA qui stocke, traite ou transmet des données de titulaires de cartes, ou qui peut affecter la sécurité de l’environnement des données de titulaires de cartes, entre dans le périmètre au même titre que tout autre composant du système.

Ce supplément est une orientation, pas une nouvelle exigence : il « ne doit pas être considéré comme des exigences obligatoires », et les normes PCI prévalent en cas de divergence (PCI SSC). Il couvre le déploiement et l’évaluation de l’IA dans les environnements de paiement, la défense contre l’utilisation malveillante de l’IA et la manière dont les normes PCI s’appliquent lorsque l’IA est utilisée. Il a été élaboré avec le Global Executive Assessor Roundtable et le Board of Advisors du Conseil. Téléchargez-le dans la PCI SSC Document Library.

Où l’IA fait discrètement entrer des systèmes dans le périmètre

• Chatbots de service client et agents vocaux. Les clients y saisissent ou y lisent des numéros de carte. Les transcriptions, les journaux et les données d’entraînement peuvent alors contenir des numéros de carte (PAN), et les données d’authentification sensibles telles que le code de sécurité ne doivent jamais être conservées après autorisation (exigence 3.3.1).
• Agents d’IA avec accès au système. Un agent capable d’émettre des remboursements, de consulter des transactions ou de modifier des configurations nécessite les mêmes contrôles d’accès au moindre privilège, la même authentification et la même journalisation qu’un administrateur humain (exigences 7, 8 et 10).
• Services d’IA tiers. Un modèle hébergé qui reçoit des données de carte est un prestataire de services tiers. Il doit figurer sur votre liste, faire l’objet d’un accord écrit et être surveillé (exigence 12.8).
• IA de l’ombre (Shadow AI). Verizon a constaté que 45 % des employés utilisent désormais régulièrement des outils d’IA au travail, et 67 % des utilisateurs accédant à des services d’IA sur des appareils d’entreprise le faisaient avec des comptes non professionnels (résumé de Help Net Security). Les données copiées dans ces outils échappent à votre contrôle.

L’IA du côté de l’attaquant

L’IA modifie également la menace. Verizon rapporte que les attaquants utilisent l’IA pour accélérer l’exploitation des vulnérabilités connues, « réduisant la fenêtre de défense de plusieurs mois à quelques heures seulement » (Verizon). Les délais de correction et les analyses authentifiées sont plus importants que jamais. Consultez l’analyse et la correction sous PCI DSS 4.0.1 ainsi que les contrôles contre le phishing et les ransomwares.

Ce qu’il faut faire avant votre prochaine évaluation

1. Inventorier les points de contact de l’IA. Listez chaque système, agent ou service d’IA susceptible de voir des données de carte ou d’accéder à l’environnement des données de titulaires de cartes.
2. Maintenir les données de carte à l’écart. Redirigez la collecte des paiements vers une page de paiement validée ou une solution IVR au lieu de laisser un chatbot prendre les numéros de carte. Masquez ou filtrez le PAN avant qu’il n’atteigne les modèles et les journaux.
3. Traiter les agents comme des utilisateurs privilégiés. Identifiants uniques, moindre privilège, MFA le cas échéant et journalisation complète.
4. Mettre à jour les dossiers des tiers. Ajoutez les fournisseurs d’IA à votre liste de prestataires de services et à vos accords.
5. Rédiger une règle d’utilisation acceptable qui indique au personnel quels outils d’IA sont approuvés et quelles données ne doivent jamais être saisies.
6. Informer votre évaluateur tôt. Il est préférable de discuter de l’IA dans ou à proximité du périmètre lors de sa définition plutôt que de la découvrir pendant le travail sur le terrain.

Le Conseil propose également une série « AI Exchange » sur son blog PCI Perspectives avec des points de vue d’évaluateurs et de fournisseurs. Ubitrak peut vous aider à définir le périmètre d’utilisation de l’IA avant votre évaluation PCI DSS. Pour une gouvernance plus large de l’IA, voir ISO/IEC 42001. Contactez-nous.

Sources

• PCI SSC : Vient de paraître, Security Considerations for AI Systems (15/09/2026)
• PCI SSC Document Library
• Verizon : Communiqué de presse sur le rapport 2026 sur les enquêtes sur les violations de données
• Help Net Security : Leçons tirées du DBIR 2026 de Verizon
• PCI SSC : Blog PCI Perspectives (série AI Exchange)