L’authentification vocale en banque suscite beaucoup de promesses, alors que son usage réel est plus limité que ne le laissent entendre les articles de tendance. Cette page explique comment elle fonctionne, ce que disent le droit et les régulateurs, et pourquoi la vigilance reste la meilleure protection face aux arnaques par téléphone.
Comment fonctionne l’authentification vocale ?
Le principe consiste à comparer la voix d’une personne à une empreinte vocale enregistrée au préalable. Lors de l’inscription, la banque ou son prestataire analyse la voix du client (fréquences, rythme, particularités physiologiques) et en tire un modèle numérique. À chaque contrôle, la voix captée est confrontée à ce modèle, et le système renvoie un résultat de concordance.
Cette technique peut s’utiliser de deux façons : sur un appel au service client, pour identifier l’appelant, ou dans un parcours de paiement, pour valider une opération. Elle peut aussi se combiner à un autre élément (appareil connu, code) plutôt que de reposer sur la voix seule.
La voix est-elle reconnue comme facteur d’authentification forte ?
La directive DSP2 impose, pour accéder à son compte en ligne ou initier un paiement, une authentification forte combinant au moins deux éléments de catégories différentes : connaissance (mot de passe), possession (téléphone) ou inhérence (caractéristique propre à la personne, comme l’empreinte digitale). L’Autorité bancaire européenne range la reconnaissance vocale parmi les éléments d’inhérence admis.
| Catégorie | Exemples | Place de la voix |
|---|---|---|
| Connaissance | Mot de passe, code confidentiel | Non concernée |
| Possession | Téléphone enregistré, carte | Non concernée |
| Inhérence | Empreinte digitale, visage, voix | Peut compter comme un facteur sur ce critère |
Cette reconnaissance n’impose pas pour autant aux banques de proposer la voix. Selon la Banque de France, le schéma le plus répandu consiste à ouvrir l’application mobile de la banque et à saisir un mot de passe ou à utiliser l’empreinte digitale sur un téléphone préalablement enregistré. Notre article sur l’authentification forte détaille ces mécanismes, et celui sur la biométrie bancaire compare les autres techniques (visage, empreinte).
Qu’est-ce qui existe réellement en France ?
Deux repères documentés permettent de situer l’usage. En 2017, la CNIL a autorisé neuf établissements bancaires à mener des expérimentations d’authentification par reconnaissance vocale, pour une durée d’un an et sur une population désignée. Elle a précisé que ces conditions ne préjugeaient pas de celles d’un déploiement durable, et exigé des analyses d’impact avant toute généralisation.
Dans le même temps, La Banque Postale a lancé en juin 2017 « Talk to Pay », un dispositif qui remplaçait le cryptogramme visuel à trois chiffres par une validation vocale : lors d’un achat en ligne, le client recevait un appel et s’authentifiait avec sa voix. Les offres évoluent et nous n’avons pas pu confirmer que ce service soit toujours proposé ; l’état actuel est à vérifier auprès de la banque. Plus généralement, la disponibilité d’une authentification vocale dépend de chaque établissement.
Que dit le droit sur la voix et les données personnelles ?
La voix est une donnée personnelle au sens du RGPD. Lorsqu’un système sert à reconnaître un locuteur à partir de ses caractéristiques vocales, il s’agit d’un traitement de données biométriques, soumis à une doctrine spécifique de la CNIL. Un établissement qui déploie ce type de service doit justifier du traitement, encadrer la conservation des empreintes et informer le client sur ses droits. Si vous avez un doute, vous pouvez demander à votre banque quelles données vocales elle conserve et pendant combien de temps.
La voix peut-elle être imitée par un fraudeur ?
Oui, et c’est la principale limite du dispositif. Le clonage de voix produit des enregistrements qui imitent la voix d’une personne réelle ; la CNIL cite l’usurpation de proches, de collègues ou de conseillers financiers pour obtenir de l’argent ou des informations. Les autorités financières décrivent des indices (intonation peu naturelle, absence de pauses, voix trop lisse), mais ces défauts s’estompent à mesure que les outils progressent.
Il faut aussi distinguer deux situations. La première est la voix utilisée par la banque pour vous identifier. La seconde est la voix d’un fraudeur qui se fait passer pour la banque, ce qui reste le cas le plus fréquent : c’est la fraude au « faux conseiller bancaire ».
Comment se protéger d’un faux appel de la banque ?
- Une banque ne demande jamais de transmettre un mot de passe, un code reçu par SMS ou une validation dans l’application, et n’envoie pas de coursier récupérer une carte.
- Raccrocher en cas de doute, puis rappeler la banque au numéro officiel : le numéro affiché peut être usurpé (spoofing).
- Ne pas valider dans l’application une opération que l’on n’a pas initiée soi-même.
- En cas de fraude : faire opposition ou bloquer l’opération sans attendre, changer ses accès, déposer plainte et signaler la fraude sur Perceval (cartes) ou Thésée (autres escroqueries). Le remboursement d’une opération non autorisée se demande dans un délai de 13 mois.
Info Escroqueries (0 805 805 817, du lundi au vendredi) oriente les victimes. Notre article sur la protection contre la fraude bancaire développe ces réflexes, et le guide banque en ligne fiable explique comment vérifier un établissement.
À lire aussi
Questions fréquentes
L’authentification vocale est-elle autorisée en France ?
Oui, sous réserve du respect du RGPD et de la doctrine de la CNIL sur les données biométriques. La CNIL a autorisé dès 2017 des expérimentations bancaires encadrées, avec des analyses d’impact avant tout déploiement durable.
La voix compte-t-elle comme authentification forte ?
La reconnaissance vocale figure parmi les éléments d’inhérence reconnus par l’Autorité bancaire européenne. Elle doit être associée à un autre facteur (possession ou connaissance) pour constituer une authentification forte.
Une voix peut-elle être clonée par une IA ?
Oui, la CNIL et les autorités financières alertent sur le clonage de voix utilisé pour des escroqueries. C’est pourquoi une voix connue au téléphone ne suffit pas pour valider une demande d’argent ou de code.
Que faire si un conseiller bancaire m’appelle pour « sécuriser » mon compte ?
Raccrocher et rappeler la banque au numéro officiel, sans jamais communiquer de code ni valider d’opération. Si un paiement a déjà été validé, contacter immédiatement la banque, déposer plainte et signaler les faits.
Ma banque conserve-t-elle mon empreinte vocale ?
Seulement si vous avez adhéré à un service de ce type. La voix est une donnée biométrique : vous pouvez interroger la banque sur la durée de conservation et exercer vos droits RGPD.
Sources
- Banque de France — authentification forte prévue par la DSP2, facteurs, réflexes face à la fraude, délai de 13 mois
- Autorité bancaire européenne (via Norton Rose Fulbright) — avis sur les éléments d’authentification forte, dont la reconnaissance vocale
- CNIL — voix comme donnée biométrique ; hypertrucage ; autorisation d’expérimentations vocales bancaires en 2017
- Ministère de l’Économie — arnaque au faux conseiller bancaire, conduite à tenir
- ACPR — guide sur le clonage de voix et les fraudes à l’ère de l’IA
- Cybermalveillance.gouv.fr : que faire en cas de phishing ou d’hameçonnage ? — fiche réflexe sur l’hameçonnage
- CNIL : mots de passe, recommandations pour maîtriser sa sécurité — recommandations sur les mots de passe et l’authentification
Article informatif ne constituant pas un conseil financier, juridique ou fiscal personnalisé. Les offres, frais et conditions évoluent : vérifiez les informations officielles et à jour de chaque établissement avant toute décision.