Qu'est-ce que PCI DSS ?

Définition

PCI DSS est la norme de sécurité des données de l'industrie des cartes de paiement, un ensemble d'exigences techniques et opérationnelles pour les entités qui stockent, traitent ou transmettent des données de cartes de paiement. Le PCI Security Standards Council la publie, et les réseaux de cartes et les acquéreurs l'appliquent par leurs contrats.

Ce que cela couvre

PCI DSS fournit une base d’exigences techniques et opérationnelles pour protéger les données de compte de paiement. Le PCI Security Standards Council indique qu’elle s’adresse aux entités qui stockent, traitent ou transmettent des données de titulaire de carte ou des données d’authentification sensibles, ou qui pourraient affecter la sécurité de l’environnement qui les contient. Cela comprend les commerçants, les processeurs, les acquéreurs, les émetteurs et les prestataires de services. Le Conseil fixe la norme, et les acquéreurs et les réseaux de paiement l’appliquent par leurs accords : ce n’est donc pas une loi. Cette page reflète la version 4.0.1 de la norme.

Deux termes comptent ici. Les données de titulaire de carte comprennent le numéro de compte principal (PAN). Les données d’authentification sensibles (SAD) comprennent le code de vérification imprimé sur la carte, comme le CVV2, CVC2 ou CID, qui sert à prouver que le payeur a la carte en main.

Ce qui est exigé

L’exigence 3.2.1 demande de limiter au minimum le stockage des données de compte par des politiques, procédures et processus de conservation et d’élimination des données. L’exigence 3.3.1 précise que les SAD ne sont pas stockées après l’autorisation, même chiffrées. Les données de titulaire de carte comme le PAN ne peuvent être conservées après l’autorisation qu’en cas de besoin métier et, pour le PAN, seulement une fois rendues illisibles. Les SAD ne peuvent pas être conservées.

Le Conseil a appliqué cela directement aux appels. Dans la FAQ 1210, il indique que stocker un code de validation de carte dans un enregistrement audio numérique, comme un fichier .wav ou .mp3, après l’autorisation, est une violation de l’exigence 3.3.1. Si de telles données sont recueillies pendant un appel, tout doit être fait pour éviter qu’elles soient enregistrées, et là où une technologie permet de supprimer ou d’occulter l’audio pendant la saisie des données, elle doit être activée. Si l’enregistrement ne peut être évité, les données doivent être supprimées de manière sécurisée immédiatement après l’autorisation. Quand la suppression n’est pas possible, les contrôles compensatoires constituent le recours. La FAQ précise aussi que PCI DSS ne prime pas sur les lois locales ou régionales de conservation de l’audio.

Ce que cela implique pour un agent vocal

Un agent vocal est un nouvel endroit où les données de carte peuvent se répandre. Les chiffres qu’un appelant dicte ou saisit au clavier peuvent apparaître dans l’audio de l’appel, une transcription, un prompt envoyé à un LLM, un appel d’outil, une charge de webhook, un entrepôt d’analyse et les journaux d’un prestataire. Chaque copie pose la question de savoir si elle entre dans votre périmètre PCI.

Les approches courantes consistent à confier l’appelant à un parcours de paiement qui reste hors de l’agent, ou à recueillir les chiffres par tonalités du clavier masquées dans l’audio (DTMF), de sorte que l’agent ne les entend ni ne les stocke jamais. Quelle que soit la conception, vérifiez ce que capte l’enregistrement des appels pendant l’étape de paiement et comment les éléments sont conservés et supprimés (conservation des données). Le rapport SOC 2 d’un prestataire ne prouve pas son statut PCI. Demandez son attestation PCI s’il figure dans le chemin des données de carte. Pour des exemples bancaires, voir le guide sur l’IA conversationnelle dans la banque.

Questions à poser à un juriste

Stockons-nous, traitons-nous ou transmettons-nous des données de carte dans ce parcours, ou pouvons-nous laisser l’agent hors périmètre ?
Quelle évaluation ou attestation nous concerne, et qu’exigent notre acquéreur et les réseaux de cartes ?
Comment empêcher les chiffres de carte d’atteindre les enregistrements, les transcriptions, les prompts et les journaux ?
Que faire si un enregistrement contient déjà un code de vérification ?
Quels prestataires du chemin de l’appel doivent nous fournir la preuve de leur propre statut PCI ?

Guides

IA conversationnelle en banque : appels clients

Cas d'usage

Sources

Cette page donne des informations générales, pas un avis juridique. Les règles varient selon le pays, l'État et le cas d'usage, et elles évoluent. Consultez les sources citées et demandez conseil à un juriste qualifié avant de vous y fier.

Dernière vérification le 19 octobre 2026