Le 1er octobre 2026, l'Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme (AMLA) a finalisé trois séries de normes techniques de réglementation et les a transmises à la Commission européenne. L'une d'elles, la RTS relative à la vigilance à l'égard de la clientèle prise en application de l'article 28, paragraphe 1, du règlement anti-blanchiment (règlement (UE) 2024/1624, AMLR), précise les informations que les banques et les autres entités assujetties doivent recueillir et vérifier pour chaque client. C'est ce qui se rapproche le plus d'un référentiel européen commun de données KYC, et il arrive neuf mois avant l'entrée en application de l'AMLR, le 10 juillet 2027.
La plupart des équipes KYC automatisent déjà la capture des pièces, l'extraction des données et le filtrage sanctions et PPE, et beaucoup testent des agents d'IA qui constituent un dossier d'entrée en relation complet. Cet article présente ce que les normes finales arrêtent, la limite que trace l'AMLR pour les décisions automatisées et les décisions issues de l'IA, et la manière de concevoir un parcours KYC assisté par IA qu'un superviseur peut examiner. Il se termine par la consultation sur la base de données centrale LBC/FT ouverte par l'AMLA le 7 octobre 2026.
Ce que l'AMLA a finalisé
Selon l'AMLA, les trois RTS définissent les mesures clés que les entreprises et les professionnels doivent appliquer pour réduire les risques de blanchiment de capitaux et de financement du terrorisme. Chacune répond à un mandat confié par l'AMLR.
| Norme | Base juridique | Objet |
|---|---|---|
| Vigilance à l'égard de la clientèle | AMLR, article 28, paragraphe 1 | Informations à recueillir et à vérifier, mesures proportionnées dans les situations de risque plus faible, vérification à distance, identification électronique, filtrage des personnes politiquement exposées (PPE), des membres de leur famille et des personnes qui leur sont étroitement associées |
| Relations d'affaires, transactions occasionnelles et liées, seuils inférieurs | AMLR, article 19, paragraphe 9 | Distinguer une relation d'affaires d'une transaction occasionnelle et repérer les transactions liées, afin d'appliquer les seuils de vigilance de manière cohérente |
| Exigences minimales à l'échelle du groupe et mesures pour les succursales et filiales dans les pays tiers | AMLR, articles 16, paragraphe 4, et 17, paragraphe 3 | Gouvernance du groupe, gestion des risques, contrôle interne et partage sécurisé des informations |
Où en sont les normes
Les textes sont des projets finaux. L'AMLA indique qu'une fois adoptées et publiées au Journal officiel de l'UE, les normes s'appliqueraient six mois après leur entrée en vigueur. Pour les agents sportifs et les clubs de football professionnels, elles s'appliqueront à partir du 10 juillet 2029, date à laquelle l'AMLR s'applique à ces entités. La fiche de l'AMLA sur la RTS vigilance rappelle une réserve utile à tout comité de projet : les RTS restent susceptibles d'être revues et modifiées par la Commission européenne.
L'AMLR, lui, est fixé. Son article 90 dispose qu'il « est applicable à partir du 10 juillet 2027 ». Il est raisonnable de construire dès maintenant le modèle de données KYC sur la base des projets finaux de RTS et de prévoir un rapprochement avec le règlement délégué de la Commission lors de sa publication.
Ce que la norme de vigilance fixe pour les données KYC
La RTS vigilance est précise là où les systèmes KYC divergent le plus souvent. Les points ci-dessous reprennent la fiche de l'AMLA sur le projet final.
- Noms et lieu de naissance. Pour les personnes physiques, tous les prénoms et noms figurant sur la pièce d'identité ou obtenus au moyen d'un moyen d'identification électronique et des services de confiance qualifiés pertinents. Le lieu de naissance comprend au minimum le pays et la ville, la commune ou le village.
- Adresse. Le pays et la ville, la commune ou le village sont obligatoires, avec les autres éléments (code postal, rue, numéro) lorsqu'ils existent.
- Nationalité. Des mesures raisonnables pour établir si une personne possède plusieurs nationalités ; lorsque plusieurs sont déclarées, la vérification d'une seule suffit.
- Clients à risque plus faible. Un jeu réduit de données d'identification : noms, date et lieu de naissance, nationalité (ou statut d'apatride, de réfugié ou de bénéficiaire de la protection subsidiaire). L'adresse n'est pas exigée.
- Informations manquantes. Lorsque la pièce d'identité ne contient pas toutes les données requises, celles-ci doivent provenir de sources fiables et indépendantes, et l'entité assujettie doit être en mesure de comprendre l'information quelle que soit la langue utilisée.
- Identification électronique. L'annexe I fixe les attributs minimaux que les moyens d'identification électronique et les services de confiance qualifiés doivent pouvoir fournir aux fins de la vigilance.
- Vérification alternative à distance. Lorsqu'une personne ne peut ni présenter sa pièce en face à face ni utiliser l'identification électronique, des solutions alternatives sont admises si elles reposent sur des sources fiables et indépendantes et comportent les garanties de l'article 7 de la RTS.
- Bénéficiaires effectifs. Les sources de vérification raisonnable comprennent les registres publics, les fournisseurs de données réputés et les documents certifiés. Le registre central des bénéficiaires effectifs ne suffit pas, à lui seul, à la vérification.
- Objet et nature envisagée de la relation. Des exemples non exhaustifs, appliqués selon une approche par les risques. Dans les situations de faible risque, l'objet peut être déduit des informations déjà détenues.
- Filtrage sanctions et PPE. Il doit être réalisé au moyen d'outils ou de solutions de filtrage automatisés, de vérifications manuelles ou d'une combinaison des deux ; les alias, noms commerciaux et adresses de portefeuilles numériques sont pertinents pour les sanctions financières ciblées lorsqu'ils sont disponibles.
- Clients existants. La mise en conformité des dossiers se fait selon une approche par les risques, au plus tard dans un délai d'un an pour les clients à risque élevé et de cinq ans pour les autres.
La limite que trace l'AMLR pour l'IA
L'AMLR traite directement des décisions automatisées et des décisions issues de l'IA. Selon son article 76, paragraphe 5, les entités assujetties « peuvent adopter des décisions résultant de processus automatisés, y compris le profilage […], ou de processus recourant à des systèmes d'IA », à trois conditions :
a) les données traitées par ces systèmes sont limitées aux données obtenues en vertu du chapitre de l'AMLR consacré à la vigilance ; b) « toute décision de nouer ou de refuser de nouer ou de maintenir une relation d'affaires avec un client ou d'exécuter ou de refuser d'exécuter une transaction à titre occasionnel pour un client, ou d'augmenter ou de diminuer l'étendue des mesures de vigilance à l'égard de la clientèle appliquées conformément à l'article 20 du présent règlement, fasse l'objet d'une intervention humaine significative afin d'assurer l'exactitude et le caractère approprié d'une telle décision » ; c) le client peut obtenir des explications sur la décision et la contester, sauf en ce qui concerne la déclaration de soupçon prévue à l'article 69.
L'article 18 ajoute la limite de la sous-traitance. Une entité assujettie peut sous-traiter des tâches de vigilance, en « demeure pleinement responsable » et doit pouvoir démontrer à son superviseur qu'elle comprend le raisonnement qui sous-tend les activités du prestataire. Certaines tâches ne peuvent en aucun cas être sous-traitées, notamment « la décision concernant le profil de risque à attribuer au client », la décision de nouer une relation d'affaires, la déclaration d'activités suspectes à la CRF (Tracfin en France) et l'approbation des critères de détection des transactions suspectes ou inhabituelles.
L'article 77 fixe l'horizon de preuve : les documents et informations de vigilance, y compris ceux obtenus par identification électronique, sont conservés cinq ans à compter de la fin de la relation d'affaires ou de la date de la transaction occasionnelle, et l'analyse qui précède chaque examen de soupçon est conservée, qu'elle aboutisse ou non à une déclaration.
Le règlement européen sur l'IA ajoute un test distinct pour une brique du KYC. L'annexe III classe à haut risque l'identification biométrique à distance, mais en exclut les systèmes d'IA destinés à la vérification biométrique dont la seule finalité est de confirmer qu'une personne physique est bien celle qu'elle prétend être. La vérification d'identité à l'entrée en relation relève en général de cette exclusion. Un système utilisé pour évaluer la solvabilité reste à haut risque au titre du point 5 b) : une décision combinant entrée en relation et octroi de crédit doit donc faire l'objet de sa propre qualification.
Concevoir un KYC assisté par IA dans ce cadre
Lus ensemble, les RTS et les articles 18, 76 et 77 répartissent le travail KYC en trois catégories. Un agent peut préparer : capture, extraction, filtrage, collecte des sources, rédaction. Une personne doit décider : entrée en relation, refus, sortie, profil de risque et toute modification de l'intensité de la vigilance. Tout doit laisser une trace qu'un superviseur peut suivre pendant cinq ans.
| Étape KYC | Ce que peut faire un agent d'IA | Décision humaine requise | Preuves à conserver |
|---|---|---|---|
| Capture des données d'identité | Extraire noms, lieu de naissance, adresse et nationalité dans les champs de la RTS ; signaler les champs manquants | Non, sauf données manquantes ou incohérentes | Pièce source ou attributs d'identification électronique, valeurs extraites, niveau de confiance, lacunes signalées |
| Vérification d'identité | Lancer la vérification par identification électronique ou par pièce ; orienter les cas de vérification alternative à distance vers les garanties de l'article 7 | Oui, pour les exceptions de vérification alternative | Méthode de vérification, résultat, garantie appliquée, valideur le cas échéant |
| Bénéficiaires effectifs | Collecter les données des registres et des fournisseurs, comparer les sources, lister les écarts | Oui, en cas de sources contradictoires | Sources consultées, écarts, résolution |
| Filtrage sanctions et PPE | Filtrer noms, alias et adresses de portefeuilles ; proposer un traitement pour chaque alerte | Oui, pour chaque correspondance potentielle | Listes et versions filtrées, alertes, traitement proposé et retenu, valideur |
| Profil de risque | Proposer une cotation avec les facteurs qui la justifient | Oui : l'article 18 interdit de sous-traiter cette décision, et l'article 76, paragraphe 5, point b), impose une intervention humaine significative lorsqu'elle modifie l'intensité de la vigilance | Cotation proposée, facteurs, cotation retenue, valideur, horodatage |
| Décision d'entrée en relation | Constituer le dossier et une recommandation | Oui, toujours | Version du dossier examinée, décision, motif, valideur, explication disponible pour le client |
| Remédiation du stock de clients | Repérer les dossiers incomplets au regard de la RTS, prioriser par le risque, préparer les relances | Oui, pour les sorties de relation et les changements de vigilance | Liste des écarts, échéance (un ou cinq ans), issue par client |
Ce que nous avons appris en construisant des agents KYC et LCB-FT
En septembre 2026, nous avons préparé une preuve de concept pour l'entrée en relation des commerçants d'une entreprise de paiement. La charge réelle du responsable KYC était la ressaisie : extraits du registre du commerce et données sur les bénéficiaires effectifs collectés à la main, puis retapés dans le portail d'entrée en relation du prestataire de paiement, où un dossier rejeté ne pouvait être soumis à nouveau que deux fois avant de partir chez un analyste. Nous avons conçu l'agent pour constituer et préremplir le dossier, puis s'arrêter avant la soumission pour validation humaine, et nous ne l'avons fait tourner que sur des pièces fictives.
Les deux cas de test retenus montrent où la validation humaine se justifie. Dans le premier, l'extrait du registre du commerce était périmé : la bonne action consistait à relancer pour obtenir un extrait récent avant toute soumission. Dans le second, la pièce d'identité avait expiré et la politique bloquait le dossier d'office. Aucun de ces cas ne relève d'une appréciation de l'agent : l'un exige une demande adressée à une personne extérieure, l'autre est un arrêt net. Un agent KYC est utile lorsqu'il rend ces deux issues rapides et explicites.
Une seconde leçon vient d'une démonstration LCB-FT préparée pour l'équipe conformité d'une banque. Une règle exigeait un identifiant client ou alerte à chaque appel d'un outil, alors que le schéma d'entrée de cet outil n'acceptait que des filtres de file et de statut. La règle et le contrat de l'outil se contredisaient : l'agent ne pouvait jamais appeler l'outil. Nous avons aligné la règle sur le contrat. Avant publication, les conditions posées sur un outil KYC doivent être confrontées à ce que l'outil peut effectivement recevoir.
Placer un point de contrôle devant l'agent KYC
L'article 76, paragraphe 5, point b), est plus facile à respecter lorsque la décision humaine est intégrée au chemin d'exécution. Un point de contrôle à l'exécution évalue chaque action proposée par l'agent KYC avant qu'elle ne s'exécute. La capture des données et le filtrage peuvent se dérouler avec une trace (allow, ou warn lorsqu'un signal mérite un examen ultérieur). Une proposition d'entrée en relation, de refus, de sortie ou de changement d'intensité de la vigilance est mise en attente pour un valideur nommé (require_approval). Une action hors du mandat de l'agent, comme soumettre un dossier avec une pièce d'identité expirée, est arrêtée (block). KLA Control Plane met en œuvre ces quatre issues, et chaque enregistrement de décision contient l'action proposée, la version de la politique, l'issue, la décision du valideur et le résultat.
Une intervention humaine significative demande plus qu'un clic. Le valideur doit disposer de la version du dossier, des sources, de la proposition de l'agent et de la règle qui a orienté le cas, et sa décision doit être motivée de façon à pouvoir alimenter les explications que l'article 76, paragraphe 5, point c), ouvre au client. Un valideur qui ne voit qu'un bouton d'approbation ne peut pas assurer « l'exactitude et le caractère approprié » de la décision.
Ajout du 7 octobre 2026 : la consultation sur la base de données centrale LBC/FT
Le 7 octobre 2026, l'AMLA a ouvert une consultation sur le projet de RTS établissant la base de données centrale LBC/FT, en application de l'article 11, paragraphe 6, du règlement (UE) 2024/1620 (règlement AMLA). L'AMLA présente cette base comme un point d'entrée unique pour des déclarations normalisées et un référentiel d'informations prudentielles, accessible aux autorités de supervision sur une base confidentielle et selon le besoin d'en connaître.
La consultation prend la forme d'une audition publique le 3 novembre 2026 et se clôt ce jour-là à 16 h (CET). L'AMLA précise que ces règles n'imposent pas d'obligations directes aux entreprises privées et invite les praticiens à répondre. Pour une banque, l'intérêt est en aval : ce que les superviseurs collectent de façon centralisée détermine les données qu'ils demanderont ensuite aux entités assujetties. Les équipes KYC et LCB-FT ont intérêt à vérifier que leurs propres dossiers peuvent renseigner les catégories du projet.
Que faire avant le 10 juillet 2027
Quatre chantiers tiennent dans les neuf mois. Rapprocher le modèle de données KYC des champs de la RTS, y compris la granularité du lieu de naissance, les nationalités multiples et le jeu réduit pour le risque faible. Recenser chaque étape automatisée ou fondée sur l'IA de l'entrée en relation et de la vigilance, et repérer celles qui produisent une décision visée à l'article 76, paragraphe 5, point b). Placer devant chacune d'elles une décision humaine motivée et tracée, et vérifier qu'aucune des décisions non sous-traitables de l'article 18 ne repose sur un prestataire. Dimensionner la remédiation du stock de clients au regard des échéances d'un an et de cinq ans.
Pour les obligations au-delà du KYC, la check-list de préparation à l'AMLR 2027 couvre l'ensemble du règlement, et gouverner les agents IA de LCB-FT et de paiement traite de la surveillance des transactions et de la rédaction des déclarations de soupçon.
Foire aux questions
Qu'a finalisé l'AMLA le 1er octobre 2026 ?
Trois séries de normes techniques de réglementation, transmises à la Commission européenne : la vigilance à l'égard de la clientèle (AMLR, article 28, paragraphe 1) ; les critères relatifs aux relations d'affaires, aux transactions occasionnelles et liées et aux seuils inférieurs (article 19, paragraphe 9) ; les exigences minimales à l'échelle du groupe et les mesures supplémentaires pour les succursales et filiales dans les pays tiers (articles 16, paragraphe 4, et 17, paragraphe 3).
Quand les normes de vigilance de l'AMLA s'appliqueront-elles ?
Elles doivent d'abord être adoptées par la Commission et publiées au Journal officiel. L'AMLA propose qu'elles s'appliquent six mois après leur entrée en vigueur ; pour les agents sportifs et les clubs de football professionnels, elles s'appliqueront à partir du 10 juillet 2029. L'AMLR lui-même s'applique à partir du 10 juillet 2027.
Une banque peut-elle confier des décisions KYC à l'IA au titre de l'AMLR ?
L'article 76, paragraphe 5, autorise les décisions issues de processus automatisés et de systèmes d'IA si les données se limitent aux données de vigilance, si toute décision de nouer, refuser ou maintenir une relation ou de modifier l'intensité de la vigilance fait l'objet d'une intervention humaine significative, et si le client peut obtenir des explications et contester la décision (sauf pour les déclarations de soupçon). L'article 18 interdit en outre de sous-traiter la décision sur le profil de risque et la décision d'entrée en relation.
La norme de vigilance autorise-t-elle le filtrage automatisé des sanctions et des PPE ?
Oui. Selon la fiche de l'AMLA, le filtrage des sanctions financières ciblées et des PPE doit être réalisé au moyen d'outils ou de solutions automatisés, de vérifications manuelles ou d'une combinaison des deux. Les alias, noms commerciaux et adresses de portefeuilles numériques sont pertinents pour le filtrage des sanctions lorsqu'ils sont disponibles.
La vérification d'identité par IA est-elle à haut risque au titre du règlement IA ?
L'annexe III exclut les systèmes d'IA utilisés pour la vérification biométrique dont la seule finalité est de confirmer qu'une personne est bien celle qu'elle prétend être. La vérification d'identité à l'entrée en relation relève en général de cette exclusion. L'IA utilisée pour évaluer la solvabilité reste à haut risque au titre de l'annexe III, point 5 b).
Quelle est la consultation sur la base de données centrale LBC/FT ?
L'AMLA consulte jusqu'au 3 novembre 2026 (16 h CET, avec une audition publique le même jour) sur un projet de RTS pris en application de l'article 11, paragraphe 6, du règlement (UE) 2024/1620, qui établit une base de données centrale LBC/FT : un point d'entrée unique pour des déclarations normalisées et un référentiel d'informations à l'usage des autorités de supervision.
Points clés à retenir
La norme de vigilance de l'AMLA donne aux systèmes KYC une cible de données commune, et l'article 76, paragraphe 5, de l'AMLR fixe la condition pour automatiser au regard de cette cible : l'agent prépare, une personne décide de l'entrée en relation, du refus et de l'intensité de la vigilance, et le client peut obtenir des explications. Les banques qui intègrent cette décision humaine et sa trace au chemin d'exécution dans les neuf prochains mois disposeront, le 10 juillet 2027, des preuves que l'AMLR exige.
Sources : communiqué de l'AMLA « AMLA finalises key standards for the private sector », 1er octobre 2026 ; fiche de l'AMLA sur la RTS vigilance à l'égard de la clientèle (article 28, paragraphe 1, AMLR) ; consultation de l'AMLA sur le projet de RTS établissant une base de données centrale LBC/FT, ouverte le 7 octobre 2026 ; règlement (UE) 2024/1624, articles 18, 76, 77 et 90 ; règlement (UE) 2024/1689, annexe III. La preuve de concept décrite n'a utilisé que des pièces fictives. Cet article constitue une information générale et non un avis juridique.