Les grandes banques canadiennes bloquent les agents d'IA personnels : ce que les organisations québécoises doivent retenir

Un agent d'IA personnel est un logiciel qui agit au nom d'un utilisateur, par exemple en se connectant à ses comptes en ligne pour consulter un solde, payer une facture ou faire un achat. Les 27 et 28 octobre 2026, les cinq plus grandes banques canadiennes (RBC, BMO, TD, CIBC et la Banque Scotia) ont annoncé qu'elles bloquent ou limitent l'accès de ces agents tiers à leurs plateformes numériques, dans la foulée de mesures semblables aux États-Unis.

Que s'est-il passé exactement les 27 et 28 octobre 2026 ?

Selon Global News et La Presse canadienne, qui ont publié leurs reportages le 28 octobre 2026, les cinq banques ont répondu en deux jours aux questions des journalistes, après avoir d'abord renvoyé vers l'Association des banquiers canadiens. Leurs positions varient :

1. RBC bloque l'accès direct des agents d'IA personnels tiers à ses propriétés numériques authentifiées, selon une note interne confirmée par un porte-parole.
2. BMO n'autorise pas les agents d'IA à accéder à ses plateformes ni à exécuter des transactions, et rappelle à ses clients de ne jamais transmettre mot de passe, NIP (numéro d'identification personnel) ou code de vérification à un agent.
3. TD bloque tous les agents d'IA personnels tiers jusqu'à la mise en place de mesures de protection et de supervision appropriées.
4. CIBC ne permet pas aux agents d'ouvrir ou de consulter directement des comptes et déconseille de leur confier ses identifiants.
5. La Banque Scotia dit « limiter » l'accès des agents pendant qu'elle surveille l'évolution des risques.

Le bureau d'Evan Solomon, ministre fédéral de l'Intelligence artificielle et de l'Innovation numérique, a indiqué le 22 octobre que le gouvernement suit la question et a invité la population à une extrême prudence avant de partager ses mots de passe bancaires. Les reportages consultés ne font état d'aucune position publique de Desjardins ni de la Banque Nationale.

Pourquoi les banques ferment-elles la porte aux agents d'IA ?

Le déclencheur est américain. Le 22 octobre 2026, Axios a rapporté que des agents d'IA tiers se trouvaient dans des comptes clients de grandes banques américaines et que certains auraient tenté des actions qui ne semblaient pas découler des instructions de l'utilisateur. Morgan Stanley a fermé ses plateformes aux agents externes, tandis que d'autres établissements ont annoncé des restrictions. Cette affirmation d'agents agissant de leur propre chef n'a toutefois pas été confirmée de façon indépendante, et aucune banque n'a publié de chiffre sur des pertes.

Le problème de fond est l'authentification. Un agent qui se connecte avec les identifiants du client est, pour la banque, indiscernable du client lui-même. Elle ne peut donc ni appliquer des contrôles adaptés à un logiciel ni attribuer clairement la responsabilité d'une opération contestée.

Qui paie si un agent d'IA vide un compte ?

C'est la question la plus concrète pour les consommateurs québécois. Le Code de pratique canadien des services de cartes de débit, supervisé par l'Agence de la consommation en matière financière du Canada (ACFC) et révisé pour la dernière fois en 2004, prévoit à sa section 5 que le titulaire contribue à une utilisation non autorisée s'il divulgue volontairement son NIP. Le Code ne vise pas explicitement les agents d'IA, mais remettre ses identifiants à un tiers logiciel ressemble fort à une divulgation volontaire.

Autrement dit, un client qui confie ses accès à un agent s'expose à assumer lui-même une perte, plutôt que de bénéficier des politiques de remboursement des opérations non autorisées. C'est l'argument central invoqué par les banques pour justifier le blocage.

Quel encadrement s'applique au Québec ?

Trois cadres se croisent pour les organisations québécoises :

1. La ligne directrice de l'Autorité des marchés financiers (AMF) sur l'utilisation de l'IA, publiée le 7 avril 2026, entre en vigueur le 1er mai 2027. Elle vise les institutions surveillées par l'AMF, dont les coopératives de services financiers, et exige un répertoire centralisé des systèmes d'IA et une cote de risque pour chacun. Notre analyse de la ligne directrice de l'AMF en détaille les attentes.
2. Le Bureau du surintendant des institutions financières (BSIF) encadre les banques à charte fédérale, y compris la Banque Nationale. Sa mise à jour automnale sur le risque, publiée le 8 octobre 2026, place l'IA de pointe au centre de ses préoccupations, comme le montre notre synthèse du document du BSIF.
3. La Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, oblige toute entreprise à prendre des mesures de sécurité raisonnables pour protéger les renseignements qu'elle détient. Un agent qui manipule des données bancaires soulève donc des questions pour son fournisseur comme pour l'institution qui l'accepte ou le tolère.

Quelles leçons pour les organisations québécoises ?

L'épisode dépasse le secteur bancaire. Toute organisation qui offre un portail client (assureur, ordre professionnel, municipalité, plateforme de commerce) recevra tôt ou tard du trafic généré par des agents. Quatre réflexes s'imposent :

1. Décider explicitement si les agents tiers sont permis, tolérés ou interdits, et l'inscrire dans les conditions d'utilisation.
2. Prévoir un canal d'accès dédié (interface de programmation avec jetons limités et révocables) plutôt que de laisser circuler les mots de passe.
3. Réaliser une évaluation des facteurs relatifs à la vie privée avant d'ouvrir l'accès à des agents.
4. Préparer un plan pour couper rapidement l'accès d'un agent et rétablir celui du client en cas d'incident.

Questions fréquentes

Est-il interdit d'utiliser un agent d'IA avec son compte bancaire au Canada ?

Aucune loi ne l'interdit en octobre 2026. Ce sont les banques qui, par leurs politiques et conditions d'utilisation, bloquent ou limitent ces agents. RBC, BMO et TD les bloquent, CIBC ne permet pas l'accès direct et la Banque Scotia le limite. Utiliser un agent malgré ces règles peut affaiblir la protection du client en cas de fraude.

Desjardins bloque-t-il aussi les agents d'IA ?

Au 29 octobre 2026, les reportages de Global News et de La Presse canadienne ne rapportent aucune position publique de Desjardins ni de la Banque Nationale. Desjardins, surveillé par l'AMF, devra toutefois appliquer la ligne directrice québécoise sur l'IA à compter du 1er mai 2027, qui couvre la gestion des risques liés aux systèmes d'IA.

Le futur système bancaire axé sur le consommateur changera-t-il la donne ?

Le cadre fédéral de services bancaires axés sur le consommateur doit permettre le partage sécurisé de données financières sans transmettre de mot de passe. Sa date de lancement n'était pas confirmée en octobre 2026. Une fois en place, il pourrait offrir aux agents d'IA une voie d'accès encadrée plutôt que l'usage des identifiants des clients.

Sources

• AI agents banned by several of Canada's biggest banks as fears grow (Global News, 28 octobre 2026)
• Some Canadian banks blocking personal AI agents amid security concerns (La Presse canadienne, CTV News, 28 octobre 2026)
• Morgan Stanley, Bank of America, Citi have started blocking AI agents (Cybernews, octobre 2026)
• Code de pratique canadien des services de cartes de débit (Agence de la consommation en matière financière du Canada)
• Lignes directrices en matière d'intelligence artificielle et de gestion du risque lié aux tiers (Autorité des marchés financiers, avril 2026)
• Le BSIF publie sa mise à jour automnale sur le risque qui met l'accent sur l'IA de pointe (Bureau du surintendant des institutions financières, 8 octobre 2026)
• Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1 (LégisQuébec)