IA et cybercriminalité : ce que le rapport INTERPOL 2026 signifie pour les établissements financiers ouest-africains

Un rapport qui chiffre ce que le terrain observait déjà

Le 4 août 2026, INTERPOL a rendu public son *African Cyberthreat Assessment Report 2026*, un document de 40 pages construit à partir des remontées de 36 pays membres africains et publié en juin 2026. Sa conclusion centrale a été largement reprise dans la presse économique et spécialisée : 55 % des cybercrimes signalés sur le continent impliquent désormais l'intelligence artificielle. Les pertes associées ont plus que doublé depuis 2024, pour atteindre 484 millions de dollars américains.

Pour un établissement financier de la zone UEMOA, ce rapport n'apporte pas une alerte inédite — la fraude assistée par IA figure déjà parmi les priorités de contrôle interne de la plupart des directions risques — mais il fournit, pour la première fois à cette échelle continentale, une base chiffrée et sourcée pour justifier un renforcement des dispositifs, là où beaucoup de comités de risques raisonnaient encore sur des cas isolés et anecdotiques.

Ce que mesure précisément le rapport

INTERPOL décrit une bascule structurelle : la cybercriminalité africaine serait passée d'une somme d'incidents isolés à un écosystème industrialisé et transfrontalier. Trois éléments chiffrés structurent le constat :

• 55 % des cybercrimes recensés impliquent l'IA, utilisée pour automatiser la reconnaissance, le phishing, l'extorsion et le contournement des contrôles ;
• des « centres d'arnaque » (scam centres) opèrent, selon le rapport, dans 72 % des pays enquêtés ;
• INTERPOL évalue à au moins 5 milliards de dollars le dommage économique direct causé par la cybercriminalité au continent en 2025, sur un marché où les transactions financières en ligne y dépassaient déjà 1 100 milliards de dollars et où le mobile comptait 1,1 milliard d'abonnements actifs.

Le rapport identifie également une régionalisation nette des typologies de fraude. L'Afrique de l'Est concentre la fraude mobile money et les rançongiciels visant les infrastructures critiques, tandis que l'Afrique centrale et de l'Ouest — donc l'essentiel de la zone UEMOA — est désignée comme le foyer principal des compromissions de messagerie professionnelle (BEC) et des arnaques sentimentales, deux typologies qui touchent directement la clientèle et les circuits de paiement des établissements financiers, plutôt qu'une seule couche technique.

Une zone UEMOA qui dispose déjà du cadre réglementaire — reste l'exécution

Contrairement à d'autres marchés émergents parfois cités en comparaison, la zone UEMOA n'aborde pas ce constat à cadre réglementaire vide. La BCEAO a modernisé son dispositif LCB-FT il y a un peu plus d'un an : l'Instruction n°003-03-2025 du 18 mars 2025 fixe les modalités d'identification, de vérification de l'identité et de connaissance de la clientèle (KYC) applicables aux institutions financières de l'Union, et l'Instruction n°001-03-2025 de la même date précise les modalités de mise en œuvre, par ces mêmes institutions, de leurs obligations en matière de contrôle interne et de conformité — y compris les obligations de formation et de sensibilisation à la LBC/FT. Ces deux textes sont entrés en application le 1er avril 2025.

Le rapport INTERPOL ne modifie donc en rien le cadre juridique applicable aux établissements financiers de l'UEMOA. Il change en revanche la pression qui pèse sur son exécution : un dispositif KYC conforme sur le papier peut rester vulnérable si les contrôles de vérification d'identité n'intègrent pas de détection de contenus générés par IA — un point que la BCEAO n'impose pas de manière explicite et nommée dans ses instructions, mais que la matérialité du risque, telle que désormais documentée par INTERPOL, rend difficile à ignorer pour toute direction des risques appelée à justifier sa cartographie devant la Commission Bancaire de l'UMOA.

Ce que les établissements financiers de la zone devraient vérifier

Trois priorités opérationnelles découlent directement du rapport, sans qu'il soit nécessaire d'attendre une évolution du texte réglementaire :

• Cartographie des risques — intégrer explicitement la fraude assistée par IA (deepfakes, contenus synthétiques, automatisation du phishing et du BEC) dans la cartographie des risques de fraude et de LCB-FT, avec une pondération spécifique pour les canaux d'onboarding et de relation client à distance.
• Formation ciblée — les obligations de formation LBC/FT déjà prévues par l'Instruction n°001-03-2025 sont l'occasion naturelle d'intégrer un volet dédié aux typologies IA identifiées par INTERPOL pour la sous-région (BEC assisté par IA, arnaques sentimentales), plutôt que de traiter le sujet comme une problématique purement technique et périphérique.
• Contrôles opérationnels — réévaluer la robustesse des contrôles de vérification d'identité, en particulier biométriques, face à des identités synthétiques, et documenter cette réévaluation pour l'auditabilité du dispositif KYC en cas de contrôle.

Aucune de ces trois actions ne nécessite un texte nouveau : elles relèvent de l'application renforcée d'obligations déjà en vigueur, à la lumière d'un risque dont l'ampleur est désormais mesurée plutôt que supposée. À ce stade, ni la BCEAO ni la Commission Bancaire de l'UMOA n'ont annoncé de texte spécifique sur la fraude assistée par IA — le rapport INTERPOL relève d'une organisation de coopération policière, pas d'une autorité de supervision financière, et ne crée par lui-même aucune obligation nouvelle pour les établissements de la zone. C'est précisément ce qui en fait un signal à traiter en amont d'une éventuelle réponse réglementaire : les directions conformité qui documentent dès maintenant leur analyse du risque IA, sur la base d'une source aussi référencée que ce rapport, seront mieux placées pour démontrer une gestion proactive si la BCEAO venait à formaliser des attentes explicites sur ce point dans une future instruction.