KYC obligatoire en 2026 : qui doit s'y conformer et sous quels seuils ?

L'obligation KYC trouve sa source dans les recommandations du GAFI (Groupe d'action financière, l'organisme intergouvernemental qui édicte les règles anti-blanchiment), transposées progressivement par les six directives anti-blanchiment européennes (1996 → AMLD6, c'est-à-dire la sixième directive de lutte contre le blanchiment) et désormais consolidées par le Règlement (UE) 2024/1624 (AMLR6), directement applicable dans les États membres.

En France, l'architecture juridique repose sur :

• le Code monétaire et financier, articles L561-1 et suivants,
• les lignes directrices ACPR-Tracfin LCB-FT — l'ACPR (Autorité de contrôle prudentiel et de résolution) et Tracfin pilotent ensemble le dispositif de lutte contre le blanchiment et le financement du terrorisme (LCB-FT) — mises à jour en 2025,
• le Code pénal, article 324-1 (blanchiment),
• les règlements sectoriels (MiCA, TFR, eIDAS 2.0 sur l'identité électronique, DSP2 sur les services de paiement).

Selon l'ACPR et Tracfin, les lignes directrices LCB-FT 2025 renforcent la vigilance attendue des assujettis sans introduire de nouveaux seuils, tout en précisant les attentes en matière de procedure kyc. (Efficiale — Lignes directrices LCB-FT 2025)

La logique est constante : prévenir le blanchiment, le financement du terrorisme et la corruption, en imposant aux acteurs assujettis une vigilance proportionnée au risque. La connaissance client kyc devient ainsi une condition d'accès au marché, pas un avantage concurrentiel.

À retenir : franchir un seuil ne dispense pas de vigilance en deçà — cela impose une vigilance renforcée au-dessus.

Le Règlement (UE) 2024/1624 (AMLR6) harmonise ces seuils à l'échelle de l'Union européenne et supprime certaines disparités nationales. Les acteurs paneuropéens doivent désormais piloter une matrice unique qui intègre les particularités de chaque marché.

Selon l'ACPR, en 2023, 71 274 comptes ont été clôturés pour motif fraude pour un total de 982 millions d'euros transités non restitués ou saisis ; en 2025, 90 % des comptes suspects sont clôturés en moins d'un an, dont 70 % en moins de trois mois. (ACPR — Forum FinTech 2025)

Ces volumes traduisent la mécanisation du contrôle : l'ACPR, l'AMF (Autorité des marchés financiers) et Tracfin disposent désormais d'outils d'analyse qui détectent en quasi-temps réel les défaillances de dispositif.

Crypto-actifs et NFT — avec l'entrée en application complète de MiCA + TFR, toutes les transactions en crypto-actifs réalisées via un PSCA sont soumises à KYC, dès le premier euro. La piece identite et la preuve de domicile sont systématiques. Les portefeuilles non hébergés (self-hosted) restent en zone grise mais font l'objet d'une vigilance accrue.

Assurance vie et bénéficiaires effectifs — la vigilance porte non seulement sur le souscripteur mais sur chaque bénéficiaire effectif désigné. Le registre beneficiaires effectifs (RBE) doit être consulté à l'entrée en relation et actualisé à chaque modification.

BNPL et crédit court terme — les acteurs du Buy Now Pay Later sont assujettis dès qu'ils accordent un crédit ou un paiement différé au-delà de 200 € dans la plupart des juridictions européennes. Le KYC est obligatoire au-delà de ce seuil, parfois en deçà selon le risque.

Marketplaces e-commerce avec encaissement pour compte de tiers — si la plateforme encaisse les fonds pour le compte de vendeurs tiers, elle peut être qualifiée d'établissement de paiement et tomber sous régime DSP2 + LCB-FT. La frontière est mince et l'ACPR a clarifié sa doctrine en 2025.

Au-delà des sanctions, un dispositif know your customer robuste agit comme un filtre de risques à l'entrée et tout au long de la relation d'affaires. Il sécurise trois plans simultanément.

Plan réglementaire — la conformité aux obligations LCB-FT (AMLR6, AMLD6, MiCA, TFR, eIDAS 2.0) s'inscrit dans un cadre contrôlé par l'ACPR, l'AMF, l'ANJ et Tracfin. Une procédure documentée permet de répondre rapidement à toute demande des autorités regulation et de produire les déclarations de soupçon dans les délais prescrits.

Plan opérationnel — un processus automatisé fluidifie l'onboarding et réduit les frictions. Les profils à risque faible passent en frictionless, les profils à risque élevé déclenchent une customer diligence renforcée (EDD, Enhanced Due Diligence). Le secteur bancaire gagne en conversion sans dégrader la qualité de la connaissance client.

Plan financier — la fraude détectée à l'entrée évite les pertes opérationnelles. Sur un e-commerce avec services financiers, sur une banque en ligne, sur un PSCA crypto, l'évaluer risques en amont divise par cinq les coûts de remédiation aval.

À retenir : un dispositif conforme, c'est une solution défensive (régulateur), offensive (conversion) et économique (fraude évitée), simultanément.

La cartographie des risques — pierre angulaire des obligations LCB-FT — repose sur trois axes croisés.

Axe géographique — listes FATF/GAFI (juridictions à haut risque et juridictions sous surveillance), liste UE, liste française. Un client résidant ou opérant dans un pays listé déclenche une vigilance egard clientele renforcée.

Axe profil client :

• Personne politiquement exposee (PPE) : EDD systématique
• Bénéficiaires effectifs offshore : EDD avec validation hiérarchique
• Entreprises à structure complexe (holdings empilées, fiducies)
• Secteurs à risque (jeux, crypto, métaux précieux)

Axe produit/canal :

• Crédit, paiement, e-money, crypto, assurance vie : risques différenciés
• Volume et fréquence des transactions
• Canal de distribution (à distance vs présentiel)
• Services numériques transfrontaliers

L'ACPR demande une revue annuelle de cette cartographie, au minimum. Toute évolution — nouveau produit, nouveau marché, nouveau canal — déclenche une mise à jour. La connaissance client kyc dépend directement de la qualité de cette cartographie.

Qui est concerné par le KYC ? Toute entreprise assujettie à la LCB-FT : banques, institutions financières, fintechs, PSCA, services de paiement, notaires, avocats, experts-comptables pour transactions à risque, marchands d'art au-delà de 10 000 €, secteur immobilier, casinos. Les secteurs non financiers sont également concernés sur certaines activités.

Existe-t-il un formulaire KYC obligatoire ? Oui pour toutes les institutions financières et les secteurs assujettis. Le formulaire formalise l'identification du client et la collecte des documents probants. Sa forme est libre mais son contenu est encadré par le code monetaire financier.

Quelles sont les 4 étapes d'un processus KYC ? 1. Identification : information d'état civil, piece identite, informations postale email telephone. 2. Vérification d'identité : sources opposables (data, biométrie, OCR). 3. Évaluer risques : matrice pays × profil × produit. 4. Surveillance continue : transactions, screening PEP et sanctions, refresh périodique.

Quelles obligations LCB-FT pour une entreprise assujettie ?

• Identifier le client et le bénéficiaire effectif avant l'entrée en relation
• Évaluer risques et calibrer la vigilance egard clientele
• Surveillance transactions et déclaration de soupçon Tracfin
• Conservation des documents 5 ans après la fin de la relation affaires
• Formation continue des équipes et reporting LCB-FT

Quelle différence entre KYC et KYB ? KYC = know your customer (clients particuliers). KYB = know your business (clients entreprises). Le KYB exige un Kbis, les statuts, le registre des bénéficiaires effectifs (RBE) et l'identification des dirigeants. Les risques et les contrôles sont structurellement différents.

Que change AMLR6 par rapport à AMLD6 ? Le Règlement (UE) 2024/1624 (AMLR6) est directement applicable sans transposition nationale. Il harmonise les seuils, unifie la définition du bénéficiaire effectif, renforce la coopération entre cellules de renseignement et étend le périmètre aux PSCA crypto et au commerce de luxe. Les entreprises paneuropéennes pilotent désormais une matrice unique.

• AML : Anti-Money Laundering, équivalent anglais de LCB-FT.
• AMLR6 : Règlement (UE) 2024/1624, directement applicable.
• CASP /fr/ PSCA : Crypto-Asset Service Provider /fr/ Prestataire de Services sur Crypto-Actifs.
• EBA : European Banking Authority, autorité bancaire européenne.
• eIDAS 2.0 : règlement européen sur l'identité électronique et les services de confiance.
• GAFI /fr/ FATF : Groupe d'action financière, organisme intergouvernemental qui édicte les recommandations anti-blanchiment.
• MiCA : Markets in Crypto-Assets, règlement européen sur les services crypto.
• PEP : personne politiquement exposee.
• RBE : registre des bénéficiaires effectifs.
• TFR : Travel Rule Regulation, traçabilité des transferts crypto.
• Tracfin : cellule française de renseignement financier.

Le dispositif n'est pas un coût défensif : c'est un levier de confiance qui sécurise vos publics, vos partenaires bancaires et vos investisseurs.

Côté usagers finaux — une connaissance client rigoureuse protège vos publics contre l'usurpation d'identité, la fraude et le blanchiment. Une entreprise qui investit dans ce volet démontre son sérieux et son alignement avec les obligations AMLR6. Les comptes B2B exigent désormais cette transparence avant tout partenariat.

Côté partenaires bancaires — les banques de paiement et correspondantes exigent un dispositif auditable de leurs clients corporate. Elles refusent désormais d'ouvrir un compte à une entreprise dont les obligations LCB-FT ne sont pas démontrablement maîtrisées. La conformité devient une condition d'accès aux services bancaires.

Côté investisseurs et M&A — les fonds d'investissement et les acquéreurs intègrent l'audit du dispositif dans leur due diligence. Une entreprise exposée à des sanctions ACPR voit sa valorisation chuter. Les profils à risque mal filtrés sont une dette cachée qui resurgit lors d'une cession.

À retenir : un dispositif robuste vous protège sur trois fronts — usagers finaux, partenaires bancaires, investisseurs. La conformité devient un actif stratégique, pas un coût d'opportunité.

Face aux obligations renforcées par AMLR6, MiCA et TFR, le marché des solutions a évolué. Trois familles coexistent.

Suites tout-en-un — solutions qui combinent data, biométrie et OCR documentaire (eIDV, vérification d'identité électronique) dans un seul contrat. Avantage : facilité d'intégration. Inconvénient : performances moyennes sur chaque couche, pas de meilleure solution sur chaque maillon.

Briques spécialisées — eIDV par data (notre approche), biométrie pure, OCR pur. Avantage : meilleure performance par couche, plus faible taux de faux positifs. Inconvénient : intégration plus complexe.

Orchestration multi-fournisseurs — approche que nous recommandons : un orchestrateur indépendant qui mobilise les meilleures solutions sur chaque couche, sans biais éditeur. Notre connaissance du marché — 4 000 sources mondiales, 197 pays — nous permet d'identifier la solution optimale pour chaque cas d'usage, chaque secteur, chaque profil.

Pour un acteur du secteur bancaire ou une fintech soumise à AMLR6, le bon contrat combine plusieurs briques dans un dispositif unique, avec routage automatique selon le profil et le niveau de risques.