Depuis la mise à jour des lignes directrices ACPR-Tracfin, l'IA n'est plus un simple outil de confort dans la lutte anti-blanchiment : elle devient un objet de contrôle à part entière. Décryptage des attentes réglementaires et des erreurs qui coûtent cher aux établissements.
Le 23 avril 2025, l'ACPR et Tracfin ont publié une version actualisée de leurs lignes directrices relatives aux obligations de vigilance et de déclaration de soupçon, en matière de LCB-FT. Cette mise à jour n'est pas cosmétique : elle intègre, pour la première fois, des développements relatifs à l'usage de l'intelligence artificielle et du machine learning dans la surveillance des flux financiers appliquée à la LCB-FT.
Pour les équipes conformité qui pilotaient jusqu'ici leurs scénarios de détection avec des règles métier figées, le changement de philosophie est net. Les lignes directrices de l'ACPR et Tracfin rappellent un principe fondamental : la vigilance en matière de LCB-FT ne peut être statique ou fixe. Machine learning, IA générative, big data : les lignes directrices reconnaissent explicitement l'intérêt de ces technologies pour affiner la détection des anomalies.
Mais cette reconnaissance s'accompagne d'une contrepartie claire. Les Lignes directrices précisent que le dispositif de LCB-FT ne pourra en aucun cas reposer sur la seule intelligence artificielle. Autrement dit : l'IA peut assister, pas remplacer. C'est ce point d'équilibre, entre encouragement et garde-fou, qui structure désormais les contrôles sur place de l'ACPR.
Le Forum Fintech ACPR-AMF d'octobre 2025 a précisé les cas d'usage jugés acceptables. Les lignes directrices conjointes de l'ACPR et de Tracfin relatives aux obligations de vigilance sur les opérations et aux obligations de déclaration et d'information identifient plusieurs cas d'usages de l'IA en matière de LCB-FT : profilage clients, outils de scoring avancé, meilleure segmentation de la clientèle. S'y ajoutent, selon le même atelier, le renforcement de la pertinence des alertes générées par les outils de surveillance des transactions et la réduction du volume de faux positifs, l'assistance à la pré-rédaction de déclarations de soupçon et l'analyse comportementale pour détecter des réseaux de blanchiment organisés non observables avec les approches traditionnelles.
Mais l'autorisation d'usage est conditionnée à une exigence de maîtrise. Les Lignes directrices observent que le recours à ces technologies suppose un pilotage adapté et que les organismes financiers demeurent responsables du déploiement et de l'explicabilité des algorithmes d'IA, et que leur efficacité devra être régulièrement évaluée. Trois obligations se dégagent donc pour tout établissement qui déploie un modèle de détection : prouver qu'il reste maître du paramétrage, être capable d'expliquer une décision individuelle, et documenter des revues de performance périodiques.
Le même atelier rappelle d'ailleurs aux organismes assujettis l'obligation de signaler à l'organe de direction les faiblesses ou insuffisances significatives du système de filtrage et adopter des mesures correctives sans délai. Un système d'IA qui dérive silencieusement, sans alerte remontée à la gouvernance, constitue en soi un manquement.
La question de la classification réglementaire des outils de surveillance LCB-FT reste en discussion au niveau européen. Le projet de lignes directrices de la Commission sur la classification à haut risque, en consultation depuis le 19 mai 2026 et non encore adopté, apporte une réserve : un système LCB-FT fonctionnellement lié à la notation de crédit, et également utilisé à cette fin, relève de l'annexe III du règlement IA. Les outils de tri d'alertes purement LCB-FT ne seraient donc pas automatiquement classés à haut risque, sauf lorsqu'ils sont couplés à des décisions de scoring crédit — une nuance que les établissements multi-usages doivent anticiper dans leur cartographie des systèmes d'IA.
En parallèle, l'échelon européen se structure. L'AMLA prépare des lignes directrices spécifiques attendues pour 2026 sur l'utilisation de l'IA en conformité LCB-FT, les régulateurs observant ces évolutions avec intérêt mais aussi vigilance croissante.
Les décisions disciplinaires de 2026 donnent la mesure concrète des attentes. Le dossier le plus emblématique reste la sanction de MoneyGram. MoneyGram, deuxième acteur mondial du transfert de fonds, a été condamnée le 15 avril 2026 par la commission des sanctions de l'ACPR à un blâme et une amende de 1,3 million d'euros pour de multiples manquements à la réglementation LCB-FT. La décision détaille précisément les failles du dispositif automatisé : les scénarios du dispositif automatisé de surveillance des transactions comportaient des seuils trop élevés.
Ce type de grief n'est pas isolé. Une décision antérieure contre une grande banque régionale pointait déjà des défaillances similaires dans le paramétrage des outils automatisés, en particulier de son dispositif de surveillance des opérations, de nature à affecter sa capacité à identifier et traiter efficacement les opérations atypiques, par exclusion de certains comptes du champ du dispositif automatisé de surveillance et paramétrage inapproprié de certains scénarios.
D'autres sanctions récentes confirment qu'un dispositif techniquement en place ne suffit pas : il doit être calibré au profil réel de risque. Le dossier Delubac est instructif car il ne sanctionne pas l'absence totale de dispositif, mais l'inadéquation entre le dispositif existant et le risque réel des clients : une banque peut avoir un dispositif LCB-FT formellement conforme et être sanctionnée si ce dispositif ne s'applique pas effectivement à chaque dossier. C'est précisément le piège dans lequel tombent les projets d'IA pilotés uniquement par la technique : un modèle performant sur le papier, mais déconnecté de la classification des risques réelle de la clientèle, n'exonère pas l'établissement.
Plusieurs motifs de sanction reviennent de façon récurrente et concernent directement les dispositifs algorithmiques.
Le paramétrage des scénarios reste le premier point de vulnérabilité identifié par les contrôleurs. Un atelier ACPR-AMF a recensé sur un échantillon d'établissements l'absence de seuils d'opérations de virements dans trois établissements et des seuils de virements ou de paiement par carte très élevés, jusqu'à 1 million d'euros par jour. Un modèle d'IA entraîné sur des seuils hérités d'un ancien système de règles reproduit mécaniquement ces angles morts, sauf à revalider explicitement chaque paramètre lors de la migration.
Les régulateurs n'acceptent pas qu'un algorithme reste une boîte noire. Les travaux de recherche sur le sujet rappellent la diversité des publics à convaincre : la multitude d'audiences pour qui il faudra adapter l'explicabilité — l'agent de contrôle, le contrôleur interne, l'auditeur externe, l'ACPR, Tracfin, tout individu impacté par le modèle, la CNIL. Un établissement qui ne peut pas justifier, dossier par dossier, pourquoi une alerte a été classée sans suite par son système d'IA s'expose à un grief documentaire lourd, même si le modèle est statistiquement performant.
L'IA est souvent déployée pour absorber un volume d'alertes devenu ingérable manuellement. Le constat de terrain est net : la grande majorité des alertes générées, souvent estimée entre 85 et 95 %, ne correspond à aucun risque avéré, et les approches basées sur l'intelligence artificielle permettent de diminuer significativement les faux positifs en requalifiant le signal à partir d'analyses contextuelles, tout en maintenant une capacité de détection conforme aux exigences réglementaires. Mais réduire le bruit ne doit jamais se traduire par un abaissement de facto de la vigilance : les contrôleurs sanctionnent systématiquement les classements sans suite non motivés, qu'ils soient manuels ou automatisés.
Le dernier point d'échec concerne la remontée d'information. Les lignes directrices exigent explicitement que la direction soit informée des limites du système et que des correctifs soient apportés sans délai — une exigence de traçabilité qui suppose un comité de pilotage IA distinct du simple reporting conformité habituel, avec procès-verbaux, versions de modèle datées et historique des recalibrages.
Le service de renseignement financier ne se contente pas de fixer des attentes : il déploie l'IA dans ses propres analyses, ce qui relève d'autant le niveau d'exigence envers les déclarants. Un responsable de Tracfin indique que le service a des gains d'efficacité majeurs à faire grâce à l'intelligence artificielle, un enquêteur pouvant demain disposer d'une pré-analyse financière réalisée par un outil d'IA. Mais le même responsable met en garde contre la précipitation côté établissements assujettis : on voit parfois des établissements ou des déclarants qui se saisissent de l'intelligence artificielle et la déploient très vite sans forcément se poser toujours les bonnes questions en amont.
Cette asymétrie — un régulateur qui monte en compétence plus vite que certains assujettis — explique la fermeté croissante des contrôles. Le volume d'activité de Tracfin ne cesse par ailleurs de croître, ce qui renforce mécaniquement la sélectivité de l'analyse amont : seulement 10 à 20 % des alertes reçues sont revues, parmi lesquelles seulement une petite fraction sera finalement transmise à une autorité judiciaire. Un établissement dont les déclarations de soupçon sont mal qualifiées par un système d'IA mal calibré prend donc le risque de noyer son signal utile dans un flux déjà saturé.
Face à ce durcissement, trois chantiers s'imposent aux établissements qui opèrent ou projettent de déployer un système de détection assisté par IA :
Ces chantiers ne relèvent pas uniquement de la conformité : ils supposent une collaboration étroite entre équipes data, juridique et direction des risques, condition désormais explicitement attendue par les lignes directrices ACPR-Tracfin. Pour les organisations qui structurent ce type de dispositif, un accompagnement combinant expertise réglementaire et maîtrise technique des modèles de détection devient un prérequis plutôt qu'une option — c'est tout l'enjeu d'une offre de conseil construite spécifiquement sur ces cas d'usage sectoriels.
La séquence 2025-2026 marque un tournant : l'IA en LCB-FT n'est plus un sujet d'innovation isolé, elle est devenue un objet de contrôle réglementaire à part entière, avec ses propres griefs possibles. Les sanctions prononcées cette année montrent que les manquements les plus coûteux ne concernent pas l'absence de technologie, mais son mauvais calibrage et l'insuffisance de la documentation qui l'entoure. Les établissements qui investissent dès maintenant dans la traçabilité et l'explicabilité de leurs systèmes de détection prennent une longueur d'avance sur un cycle de contrôles qui ne fera que s'intensifier.
Nous utilisons des cookies de mesure d'audience et de suivi publicitaire pour comprendre la fréquentation du site et l'efficacité de nos annonces. Rien n'est déposé sans votre accord. En savoir plus