Les régulateurs ne lisent plus vos politiques. Ils auditent votre produit.
Le changement le plus frappant concerne la manière dont les régulateurs évaluent désormais les dispositifs de conformité. Il ne s’agit plus de soumettre une politique KYC/KYB de 70 pages en espérant que le discours tienne la route.
Lors de récents processus d’obtention de licences, les régulateurs ont demandé quelque chose d’inédit : des organigrammes détaillés accompagnés de captures d’écran réelles de chaque étape de leurs parcours d’onboarding. Quelles informations sont collectées, dans quel ordre, à quelle étape. Pas un résumé, la réalité telle qu’elle est.
Il s’agit d’un changement fondamental. Les régulateurs n’auditent plus ce que vous dites faire. Ils auditent ce que votre système fait réellement en production. Votre parcours d’onboarding est désormais un artefact de conformité, que vous l’ayez conçu ainsi ou non.
L’implication est claire : la conformité doit être intégrée dès la phase de conception produit et UX. Si vous cherchez à greffer des contrôles de conformité après que le parcours d’onboarding est déjà codé, vous avez déjà du retard.
DORA a changé la donne et la plupart des équipes n’étaient pas prêtes
Si vous travaillez dans un établissement financier réglementé en Europe, DORA a probablement mobilisé une part significative de vos douze derniers mois. Mais ce qui nous a surpris, c’est à quel point ce règlement est en train de remodeler la fonction conformité elle-même.
DORA est l’un des défis de conformité les plus complexes rencontrés. La charge documentaire à elle seule (politiques, procédures, plans de réponse aux incidents, évaluation des risques liés aux tiers, registres de risques dédiés, …) est comparable à ce que les équipes produisent déjà pour la LCB-FT. Sauf qu’il s’agit cette fois de cybersécurité, et que cela requiert des compétences entièrement différentes.
Ce qui rend DORA particulièrement important pour les responsables de la conformité, c’est l’intersection qu’il crée entre la LCB-FT et la cybersécurité. Un incident cyber n’est plus seulement un problème informatique, il peut instantanément devenir un événement LCB-FT, une atteinte à l’intégrité des marchés, ou un manquement à la protection des clients. Les équipes conformité et sécurité qui ne travaillent pas main dans la main portent un risque qu’elles ne voient pas.
Les régulateurs traitent désormais les audits de sécurité presque comme des audits financiers : récurrents, fondés sur des preuves, avec des délais de remédiation clairs. Si votre équipe conformité n’a pas de canal de communication direct avec la cybersécurité, il est temps d’en construire un.
L’AMLA mettra fin à l’arbitrage réglementaire à terme
L’autorité de lutte contre le blanchiment de capiutaux se déploie en deux phases. La première cible environ 40 des entités les plus importantes. Pensez aux grandes plateformes crypto et aux banques de premier rang présentant les profils de risque les plus élevés. La plupart des fintechs et des entités réglementées de taille plus modeste ne feront pas partie de cette première vague.
La deuxième phase est celle qui sera déterminante. L’AMLA vise à harmoniser les exigences LCB-FT dans l’ensemble des États membres de l’UE, et la direction est claire : une convergence par le haut.
Sur environ 90 PSANs enregistrés (entreprises liées aux crypto actifs) en France, seulement 30% environ sollicitent actuellement un agrément MiCA auprès du régulateur français. Les autres cherchent probablement à obtenir des licences dans des juridictions perçues comme plus rapides ou plus accommodantes
L’AMLA est précisément conçue pour mettre fin à cette dynamique. La France et l’Allemagne appliquent actuellement certains des régimes LCB-FT les plus stricts d’Europe. L’attente est que les autres juridictions devront se hisser à ce niveau, et non l’inverse.
Pour les équipes conformité opérant à l’international, la bonne stratégie consiste à construire dès le départ pour le standard le plus exigeant. Concevoir des parcours d’onboarding allégés selon les juridictions est une approche dont la durée de vie se réduit.
Cela dit, nous sommes réalistes : la question est politique au niveau européen, et une harmonisation complète prendra du temps. Mais la trajectoire est sans équivoque.
L’IA va vous aider. Elle ne vous sauvera pas.
L’IA apporte déjà de la valeur dans les processus de conformité. Par exemple, des suggestions alimentées par l’IA aident les analystes à traiter les alertes de screening plus rapidement, en signalant les faux positifs probables sur la base de nationalités incohérentes ou d’autres indicateurs évidents. Cela fait gagner du temps, et les suggestions sont de plus en plus précises.
C’est une évaluation honnête, qui correspond à ce que l’on observe sur l’ensemble du marché. Nous sommes clairement dans une zone de semi-automatisation. L’IA suggère, les humaines décident. Chaque décision passe encore par une revue manuelle.
Il existe içi une analogie utile avec la conduite autonome. Nous sommes au niveau deux, vos mains doivent rester près du volant, et vous devez être prêt à reprendre le contrôle à tout moment. La question que tout le monde se pose est de savoir quand nous passerons au niveau trois ou quatre. La réponse : pas encore, et pas sans avoir d’abord construit un solide historique de performance.
La voie vers une automatisation accrue est séquentielle, et non un saut :
- Commencer par utiliser l’IA comme moteur de suggestions
- Construire un historique et des indicateurs de performance au fil du temps
- Gagner en confiance grâce aux données, non aux suppositions
- Élargir progressivement le périmètre des décisions automatisées
Ce qui est crucial et ce que l’AI Act renforce, c’est l’explicabilité. Si vous ne pouvez pas expliquer pourquoi l’IA a suggéré une décision KYB particulière, vous êtes exposé, même si la décision était correcte. Chaque décision assistée par l’IA doit être traçable et défendable. Les résultats en boîte noire, aussi précis soient-ils, ne satisferont pas un régulateur.
Il est pratiquement certain que dans les prochains mois, les entités qui ont automatisé trop agressivement feront face à des actions réglementaires. La tentation d’aller vite est bien réelle, d’autant que les outils deviennent de plus en plus performants. Mais aller vite sans les contrôles adéquats constitue un tout autre type de risque.
Là où l’IA crée vraiment de la valeur aujourd’hui
Si la décision finale en matière de conformité n’est pas encore prête pour une automatisation complète, où l’IA crée-t-elle le plus de valeur aujourd’hui ? Deux domaines se sont démarqués.
L’OSINT et le renseignement en sources ouvertes. Pour l’onboarding institutionnel, l’OSINT alimenté par l’IA représente un changement de dimension. Au lieu qu’un analyste passe deux heures à rechercher manuellement sur Twitter, dans des registres publics et des bases de données spécialisées, l’IA peut agréger et structurer ces recherches en un rapport formaté avant même que l’analyste n’ouvre le dossier. Le gain de temps est substantiel, et le résultat inclut des liens vers les sources à des fins de piste d’audit.
Pour les équipes d’onboarding à fort volume, le calcul est différent, l’automatisation des alertes de screening fait gagner quelques secondes par dossier, mais l’effet s’accumule sur des milliers de revues. Pour les équipes institutionnelles, l’automatisation de l’OSINT fait gagner des heures par dossier et change fondamentalement la façon dont les analystes allouent leur temps.
La veille réglementaire. Rester à jour sur plusieurs cadres réglementaires est un défi permanent. Les outils d’IA qui scannent les nouvelles directives, les contextualisent par rapport à la situation spécifique de votre entité, et identifient quelles procédures internes doivent être mises à jour, passant du statut d’option appréciable à celui d’outil indispensable. La vision est un pipeline allant de la nouvelle réglementation au flux de travail mis à jour, avec une documentation complète de ce qui a changé et pourquoi.
Le problème d’architecture des données sous-jacent à tout cela
Les données fragmentées restent la cause profonde de la plupart des difficultés opérationnelles en matière de conformité.
Il y a trois ans, disposer de multiples outils dans des silos séparés avec des bases de données incompatibles était simplement la norme. Les faire communiquer était « un cauchemar ». Les progrès en matière de qualité des API et de standardisation des champs ont rendu les architectures de données unifiées réalisables, mais cela reste un effort d’ingénierie conséquent.
Pourquoi est-ce si important ? Parce que les régulateurs attendent désormais une évaluation dynamique des risques : la capacité d’ajuster le profil de risque d’un client en temps réel en fonction des alertes de surveillance des transactions, des résultats de filtrage, de l’activité on-chain ou des changements dans la structure de l’entreprise. Cela est impossible si vos données KYB, vos outils de surveillance des transactions et vos systèmes de filtrage fonctionnent chacun de leur côté.
Le passage des revues périodiques (vérification des dossiers tous les 12 mois) à une surveillance continue pilotée par des événements est bien réel, et il n’est possible qu’avec une couche de données unifiée. Un changement dans la structure des UBO, une nouvelle inscription sur une liste de sanctions, un volume de transactions inhabituel, tout cela devrait déclencher automatiquement une réévaluation, et non attendre la prochaine revue planifiée.
À quoi ressemble aujourd’hui un programme KYB de référence
Si vous construisez ou reconstruisez votre dispositif KYB en 2026, voici les éléments incontournables :
- Un pré-filtrage qui identifie les risques en amont, avant que vos équipes n’engagent des ressources dans un onboarding complet
- Des parcours d’onboarding conçus avec la conformité intégrée dès le départ (documentés, auditables et alignés avec votre approche basée sur le risque)
- Une identification automatisée des UBO, avec une supervision humaine pour les structures complexes
- Une surveillance continue, pilotée par des événements, alimentée par une couche de données unifiée à travers votre stack d’outils
- L’IA comme accélérateur à chaque étape, avec le jugement humain comme garde-fou constant
- Et surtout, des procédures de sortie (offboarding) propres, les régulateurs examinent de plus en plus comment et pourquoi les relations commerciales sont interrompues, et une documentation insuffisante à ce stade devient un point de vigilance majeur
En résumé
Six réalités coexistent aujourd’hui :
- Les régulateurs comprennent mieux votre stack technologique qu’il y a deux ans et auditent en conséquence
- DORA implique que votre équipe conformité soit directement connectée à la cybersécurité, sinon vous portez un risque invisible
- AMLA va réduire l’écart entre les juridictions les plus strictes et les plus permissives en Europe, rendant toute stratégie basée sur le plus petit dénominateur commun obsolète
- L’IA est déjà utile pour les suggestions de filtrage, l’OSINT, les revues de cas à faible risque et la veille réglementaire, mais supprimer l’humain des décisions finales sans historique documenté est un pari risqué
- Votre processus d’onboarding est désormais un objet de conformité à part entière, et si la conformité n’est pas impliquée dès la conception, les coûts de remédiation ultérieurs sont élevés
- Et les données fragmentées dans des outils en silo restent l’obstacle principal rendant quasi impossibles l’évaluation dynamique des risques, la surveillance continue et des pistes d’audit solides
Rien de tout cela n’est théorique. Ce sont des réalités opérationnelles qui déterminent si votre prochaine demande de licence aboutira, si votre prochain audit sera sans réserve, et si votre équipe pourra réellement évoluer sans que les effectifs n’augmentent au même rythme.
Les régulateurs exigent davantage des équipes conformité, mais la technologie permet désormais de répondre à ces attentes. Il y a dix ans, les analystes vérifiaient manuellement la cohérence des polices sur des documents d’identité PDF. Le niveau d’exigence a évolué mais les outils aussi.
Les équipes qui l’ont compris ne se contentent pas de survivre à une surveillance accrue. Ce sont celles qui donnent à l’entreprise la confiance nécessaire pour avancer.
