Agents d'achat IA : l'alerte des banques et ce qu'elle change

2026-09-23 · 5 min de lecture · Cybersécurité

Le 22 septembre 2026, six banques dont Bank of America, NatWest et Capital One ont averti que les agents d'achat IA exposent les consommateurs à la fraude et aux fuites de données. Ce que les commerçants et institutions financières québécois doivent en retenir.

Un agent d'achat IA est un système d'intelligence artificielle (IA) capable de rechercher, choisir et payer un produit au nom d'un consommateur, sans que celui-ci valide chaque étape. Le 22 septembre 2026, six banques (Bank of America, NatWest, ING, Capital One, ASB Bank et Commonwealth Bank of Australia) ont publié un rapport avertissant que ce commerce dit agentique progresse plus vite que les protections contre la fraude, les arnaques et les atteintes à la vie privée.

Le signal vient des émetteurs de cartes, qui absorbent les pertes lorsqu'une transaction frauduleuse est contestée. Selon Reuters (Insurance Journal, 23 septembre 2026), les banques soumettront des propositions aux autorités, dont l'obligation de signaler toute transaction réalisée par un agent IA. Les assistants d'OpenAI, d'Anthropic, de Google et de Meta sont visés.

Quels risques les banques ont-elles identifiés ?

Le rapport du 22 septembre 2026 décrit trois mécanismes de risque concrets, rapportés par CNBC et Reuters :

La saisie directe des données de carte : certains agents demandent le numéro de carte au client puis le saisissent eux-mêmes sur la page de paiement, supprimant l'étape où un humain repère une anomalie.
Le détournement vers des moyens de paiement moins protégés : un agent peut orienter l'achat vers une option qui n'offre pas les mêmes recours en cas de fraude, sans que le client en soit informé.
La responsabilité floue en cas d'erreur : si l'agent est trompé par une boutique d'hameçonnage ou interprète mal une consigne, déterminer qui rembourse devient complexe pour le client comme pour l'émetteur.

Les banques demandent en contrepartie cinq garanties : la divulgation de l'intervention d'un agent, la transparence de ses décisions, la protection des données des clients, le libre choix des consommateurs et des commerçants, et l'interopérabilité des systèmes.

Le commerce agentique est-il déjà une réalité mesurable ?

Oui, mais à petite échelle. Le détaillant britannique John Lewis rapporte que la part des recherches effectuées par des agents IA sur son site est passée de 0,3 % à 2,5 % en un an (Reuters, septembre 2026).

L'infrastructure de paiement se prépare depuis plus d'un an. Mastercard a annoncé le 29 avril 2025 son cadre Agent Pay, fondé sur des « jetons agentiques » qui lient une carte tokenisée à un agent précis, à un périmètre de commerçants et à une politique de consentement. Visa a lancé Visa Intelligent Commerce le lendemain, avec des identifiants tokenisés délivrés aux agents. Ces mécanismes évitent en principe que l'agent manipule le numéro de carte brut, précisément la pratique que dénoncent les banques.

Que change cette alerte pour les entreprises québécoises ?

Pour un commerçant en ligne québécois, l'enjeu est d'accueillir les clients qui délèguent leurs achats à des agents sans hériter des litiges qu'ils provoquent. La Loi sur la protection du consommateur (LPC) encadre déjà les contrats conclus à distance. Son article 54.14 permet au consommateur payé par carte de crédit de demander une rétrofacturation à l'émetteur dans les 60 jours suivant le défaut de remboursement du commerçant. Ce régime n'a pas été conçu pour un achat déclenché par un logiciel, ce qui laisse prévoir des contestations plus nombreuses et plus difficiles à trancher.

La Loi 25 ajoute une dimension de vie privée. Un agent qui transmet des renseignements personnels (adresse, historique d'achat, données de carte) à un tiers crée un nouveau flux à documenter. Si ce flux mène à une fuite, l'article 3.5 de la Loi sur la protection des renseignements personnels dans le secteur privé impose d'aviser la Commission d'accès à l'information (CAI) et les personnes concernées lorsque l'incident présente un risque de préjudice sérieux.

Les contrôles requis quand vos propres agents paient relèvent d'un autre chantier, celui des paiements agentiques. L'alerte du 22 septembre 2026 vise les agents de vos clients.

Quelles mesures prendre dès l'automne 2026 ?

Quatre actions concrètes ressortent des risques décrits par les banques :

Identifier le trafic agentique : mesurer la part des visites et des commandes initiées par des agents, comme le fait John Lewis, avant de décider de les accueillir ou de les filtrer.
Privilégier les paiements tokenisés : accepter les flux Agent Pay de Mastercard ou Visa Intelligent Commerce plutôt que la saisie de numéros de carte par un agent.
Revoir la politique de retours et de litiges : prévoir explicitement le cas d'une commande passée par erreur par un agent, afin de réduire les rétrofacturations.
Mettre à jour l'évaluation des facteurs relatifs à la vie privée (EFVP) : documenter les données reçues d'agents tiers et celles qui leur sont transmises.

Questions fréquentes

Qu'est-ce que le commerce agentique ?

Le commerce agentique désigne les achats en ligne effectués par un agent d'intelligence artificielle au nom d'un consommateur. L'agent compare les offres, sélectionne un produit et règle le paiement. Le 22 septembre 2026, six grandes banques, dont Bank of America et Capital One, ont averti que ces pratiques dépassent les protections actuelles contre la fraude.

Qui rembourse un achat erroné effectué par un agent IA ?

Aucune règle spécifique ne tranche encore la question en septembre 2026. Au Québec, l'article 54.14 de la Loi sur la protection du consommateur prévoit une rétrofacturation pour les contrats à distance payés par carte de crédit, mais il n'a pas été rédigé pour des achats déclenchés par un logiciel. Les banques réclament des règles claires aux autorités.

Pourquoi les banques s'inquiètent-elles des agents d'achat IA ?

Les banques émettrices absorbent une grande partie des pertes liées aux transactions contestées. Leur rapport du 22 septembre 2026 cible trois risques : la saisie directe des numéros de carte par les agents, l'orientation vers des moyens de paiement moins protégés et l'incertitude sur la responsabilité lorsqu'un agent est trompé par un faux site.

Un commerçant québécois doit-il bloquer les agents d'achat IA ?

Pas nécessairement. La part du trafic agentique reste faible, 2,5 % des recherches chez le détaillant John Lewis selon Reuters en septembre 2026. L'approche prudente consiste à mesurer ce trafic, à privilégier les paiements tokenisés de Visa et Mastercard et à adapter la politique de litiges avant que les volumes augmentent.

Sources

Insurance Journal (Reuters), « Banks Warn AI Shopping Bots Raise Scam, Fraud and Data-Privacy Risks », 23 septembre 2026 : https://www.insurancejournal.com/news/national/2026/09/23/886472.htm
CNBC, « Banks warn AI shopping bots raise scam, fraud and data-privacy risks », 22 septembre 2026 : https://www.cnbc.com/2026/09/22/banks-warn-ai-shopping-bots-raise-scam-fraud-data-privacy-risks.html
Mastercard, « Mastercard Agent Pay » : https://www.mastercard.com/global/en/business/artificial-intelligence/mastercard-agent-pay.html
LégisQuébec, Loi sur la protection du consommateur (RLRQ, c. P-40.1), article 54.14 : https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-40.1
LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), article 3.5 : https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1

Voir tous les articles