Le 1er octobre 2026, l'AMLA a transmis trois ensembles de Normes Techniques de Réglementation (RTS) à la Commission européenne. Il ne s'agit pas d'une consultation, d'un projet ou d'une note d'orientation. C'est l'étape formelle de soumission qui engage le processus d'adoption au titre de l'article 27 du Règlement (UE) 2024/1620. Une fois adoptées par la Commission et publiées au Journal officiel, ces normes deviennent un droit contraignant dans les 27 États membres de l'UE.

Les trois normes — sur la vigilance à l'égard de la clientèle, les relations d'affaires et les transactions liées, et les contrôles à l'échelle du groupe — constituent ensemble la colonne vertébrale opérationnelle du RULBC (Règlement UE sur la lutte contre le blanchiment de capitaux), applicable à partir du 10 juillet 2027. Comprendre ce que chacune exige est désormais une tâche prioritaire de planification pour toute entité assujettie opérant dans l'UE.

Ce Qui a Changé le 1er Octobre

La consultation CDD s'est clôturée en mai 2026, les normes devant être soumises à la Commission européenne avant le 10 juillet. La soumission a eu lieu le 1er octobre, accompagnée de deux ensembles de normes supplémentaires qui n'avaient pas suivi la même fenêtre de consultation publique.

Ce que l'AMLA a finalisé ce jour-là :

RTS sur les relations d'affaires et les transactions liées — au titre de l'article 19(9) du RULBC
RTS sur la vigilance à l'égard de la clientèle — au titre de l'article 28(1) du RULBC
RTS sur les politiques et les contrôles à l'échelle du groupe — au titre des articles 16(4) et 17(3) du RULBC

Trois instruments juridiques distincts soumis dans un même paquet. Chacun comble une lacune que le patchwork actuel des transpositions nationales des réglementations AML a géré de manière incohérente entre les États membres.

RTS 1 : Relations d'Affaires et Transactions Occasionnelles

La question semble administrative. En pratique, la classification détermine quel régime de vigilance s'applique à un client donné.

Selon le RULBC, les relations d'affaires déclenchent des obligations de vigilance continue — révision périodique, rescoring du risque, surveillance permanente. Les transactions occasionnelles en dessous du seuil applicable (10 000 euros en espèces) ne le font pas. Qu'un contact client soit classé comme relation d'affaires ou transaction occasionnelle détermine si l'entité assujettie doit maintenir un profil de risque continu pour ce client.

La norme de l'article 19(9) établit :

Les critères permettant de déterminer quand une série de transactions constitue une relation d'affaires
Comment les transactions liées doivent être identifiées — en particulier, comment connecter des transactions structurellement séparées mais fonctionnellement unifiées à des fins d'évitement des seuils

Le deuxième élément est le changement substantiel. Le fractionnement — diviser une transaction de forte valeur en plusieurs de moindre montant — est une technique classique de blanchiment de capitaux. La nouvelle norme exige que les entités assujetties construisent une logique de détection capable d'identifier les transactions liées sur des fenêtres temporelles et entre différentes contreparties. Cela implique une détection de l'évitement des seuils intégrée dans la couche CDD elle-même, et pas seulement dans la surveillance des transactions en aval.

RTS 2 : Vigilance à l'Égard de la Clientèle — Les Détails de la Vérification d'Identité

La consultation CDD de l'AMLA de mai 2026 a établi le cadre général. La finalisation du 1er octobre ancre des exigences spécifiques qui affectent directement le fonctionnement de la vérification d'identité.

Vérification Non Présentielle

La RTS finalisée énumère les méthodes acceptables de vérification d'identité non présentielle. Tous les contrôles d'identité numérique ne sont pas équivalents selon la norme finalisée. Les systèmes d'identification électronique répondant aux niveaux notifiés eIDAS — substantiel ou élevé — et les systèmes équivalents des superviseurs de pays tiers figurant sur la liste de reconnaissance de l'AMLA constituent la voie principale.

La vérification par vidéo sans signature électronique qualifiée tombe dans une catégorie nécessitant des contrôles compensatoires documentés. La détection de vivacité, la vérification de l'authenticité du document et la liaison du dispositif sont cités comme éléments compensant l'absence de statut notifié eIDAS. La charge de documenter ces contrôles compensatoires incombe à l'entité assujettie, et non au prestataire de vérification.

Pour les prestataires de vérification d'identité, cela crée un monde à deux vitesses. Les prestataires qualifiés eIDAS et ceux bénéficiant d'une équivalence reconnue de pays tiers occupent le premier niveau. Les prestataires extérieurs à ce cadre peuvent toujours être utilisés, mais l'entité assujettie doit documenter pourquoi les contrôles compensatoires sont suffisants et maintenir des preuves de leur efficacité continue.

Vigilance Simplifiée

La norme finalisée établit des conditions spécifiques pour l'application de la vigilance simplifiée. La catégorisation à faible risque fondée uniquement sur le type de client — par exemple, « établissement financier réglementé » — n'est pas suffisante en elle-même. Les facteurs de risque spécifiés à l'Annexe I du RULBC doivent être évalués dans chaque cas, et la décision de vigilance simplifiée doit être documentée et révisée périodiquement.

Dispositions Transitoires pour les Clients Existants

La remédiation des clients existants suit un calendrier en deux volets intégré dans le texte finalisé :

Clients à risque plus élevé : dans un délai d'un an à compter de l'entrée en vigueur
Tous les autres clients : dans un délai de cinq ans à compter de l'entrée en vigueur

Le délai de cinq ans peut sembler confortable. Pour les entités disposant de vastes bases de clients existants, achever la remédiation en cinq ans tout en gérant l'intégration continue est une question de capacité des systèmes, pas seulement d'échéance réglementaire.

RTS 3 : Contrôles à l'Échelle du Groupe — La Complexité Transfrontalière

La troisième norme introduit des exigences sans équivalent dans les cadres nationaux AML actuels. C'est le domaine qui génèrera probablement le travail de mise en conformité structurelle le plus significatif pour les groupes financiers.

Au titre des articles 16(4) et 17(3), les groupes doivent mettre en place :

Des cadres de gouvernance unifiés applicables à l'ensemble des entités du groupe dans l'UE, exigeant des définitions cohérentes de l'appétit pour le risque, des procédures d'escalade et des structures de responsabilité de la direction générale. Un groupe ne peut avoir des standards CDD matériellement différents dans sa filiale allemande et dans sa filiale espagnole.

Des dispositifs sécurisés de partage d'informations au sein du groupe. Les informations pertinentes pour la LBC — profils de risque client, indicateurs d'activité suspecte, résultats de recherches sur médias défavorables — doivent pouvoir être partagées entre entités du groupe tout en respectant le RGPD. La norme établit des garanties techniques et organisationnelles pour ce partage intragroupe.

Des règles pour les succursales et filiales dans des pays tiers. Lorsqu'une filiale ou succursal du groupe opère dans une juridiction dont les standards LBC sont plus faibles que le RULBC, le groupe doit appliquer les standards du RULBC indépendamment du droit local. Si le droit local empêche la conformité au RULBC, la filiale peut être tenue de quitter ce marché.

Exigence	Périmètre	Implication opérationnelle
Gouvernance unifiée	Toutes les entités du groupe dans l'UE	Cadre de politique AML unique requis
Partage d'informations	Données AML intragroupe	Infrastructure technique et contrôles RGPD
Parité pays tiers	Succursales dans des juridictions plus faibles	Possible restructuration juridique ou sortie
Remédiation : risque élevé	Dans 1 an	Planification de la capacité à commencer dès maintenant
Remédiation : autres clients	Dans 5 ans	Automatisation des flux de travail à l'échelle

La disposition sur les pays tiers a des implications opérationnelles importantes pour les groupes ayant des succursales en Asie du Sud-Est, dans le Golfe ou en Amérique latine, où le droit local restreint fréquemment le partage transfrontalier de données.

Le Calendrier Qui Compte Vraiment

La soumission du 1er octobre est la première étape d'un processus en quatre temps avant que ces normes n'aient effet juridique :

Soumission par l'AMLA — achevée le 1er octobre 2026
Examen et adoption par la Commission européenne — sans date fixe ; généralement 3 à 6 mois
Publication au Journal officiel — déclenche la période d'entrée en vigueur
Entrée en vigueur — six mois après la publication, selon la proposition de l'AMLA

Après l'entrée en vigueur, la date d'application du RULBC du 10 juillet 2027 s'applique également. Les RTS spécifiques ne supplantent pas la date d'application principale du RULBC. Ce qu'elles font, c'est ajouter des exigences opérationnelles précises sur les obligations existantes du RULBC.

Hypothèse de planification réaliste : si la Commission adopte les normes avant le premier trimestre 2027, l'entrée en vigueur tomberait vers le milieu de 2027. Mais le RULBC entre en vigueur le 10 juillet. Les entités qui attendent que les RTS acquièrent un effet juridique formel avant de commencer la mise en œuvre ne seront pas prêtes.

Le processus de surveillance directe de l'AMLA a déjà désigné la première cohorte d'entreprises sous supervision directe en septembre 2026. Ces entités sont examinées sur la base de ces mêmes normes. La période de grâce proposée ne leur est pas applicable.

Ce que Cela Exige des Systèmes de Vérification d'Identité

Le paquet d'octobre se traduit par des exigences concrètes en matière de systèmes. Les équipes de conformité doivent évaluer si leur infrastructure actuelle de vérification d'identité peut fournir :

La détection des transactions liées. La RTS sur les relations d'affaires exige d'identifier les transactions liées dans le temps et entre contreparties. Si le système KYC et le système de surveillance des transactions sont séparés, c'est un problème d'architecture de données qui a désormais une échéance réglementaire.

La documentation d'alignement sur eIDAS. La RTS CDD place la charge de documentation sur les entités assujetties utilisant des méthodes de vérification non qualifiées eIDAS. L'approche technique du prestataire KYC — méthodologie de détection de vivacité, logique de vérification des documents, résistance aux attaques par injection — nécessite une évaluation documentée au regard de la norme sur les contrôles compensatoires.

L'architecture de données de groupe. Le partage d'informations à l'échelle du groupe sous un cadre de gouvernance unique requiert une solution technique qui satisfasse simultanément les exigences AML et RGPD. Les bases de données d'identité cloisonnées par juridiction ne répondront pas à l'exigence de contrôles à l'échelle du groupe.

Des flux de travail automatisés de remédiation. Remédier aux clients existants à l'échelle dans les délais transitoires n'est pas réalisable manuellement pour toute organisation d'une taille significative. Un système capable d'identifier les clients nécessitant une remédiation, de les trier par niveau de risque et d'exécuter des flux de travail de re-vérification de manière automatique est ce qu'implique l'exigence opérationnelle.

La plateforme d'agents d'IA autonomes de Joinble est conçue pour ce modèle opérationnel : maintenance continue de l'identité, rescoring automatique du risque, génération de pistes d'audit et architecture de données compatible avec les groupes, construite pour l'environnement RULBC.

Se Préparer Avant l'Entrée en Vigueur des RTS

L'extension du RULBC aux entités assujetties non financières et les lignes directrices sur la surveillance continue publiées en juin 2026 étaient des blocs préparatoires. Le paquet d'octobre est la structure portante du cadre de conformité européen post-2027.

Étapes pratiques pour les équipes de conformité maintenant :

Cartographier les méthodes CDD actuelles par rapport à l'énumération de la vérification non présentielle dans la RTS finalisée. Identifier les lacunes où des contrôles compensatoires devront faire l'objet d'une documentation formelle.
Auditer la détection des transactions liées dans les systèmes actuels. La logique de surveillance couvre-t-elle une fenêtre de 30 jours pour la détection du fractionnement ? Croise-t-elle les lignes de produits ?
Inventorier les entités du groupe par juridiction et évaluer le risque lié à la norme sur les pays tiers. Identifier les filiales ou succursales où le droit local peut entrer en conflit avec les exigences du RULBC à l'échelle du groupe.
Dimensionner la tâche de remédiation. Extraire un échantillon de la base de clients existants, segmenter par niveau de risque et estimer le volume nécessitant une remédiation dans un an par rapport à cinq ans.

Le 10 juillet 2027 était déjà visible de loin. Le 1er octobre 2026 en a fait une obligation précise.

Foire Aux Questions

Quelles sont les trois RTS de l'AMLA soumises le 1er octobre 2026 ? L'AMLA a soumis trois projets finaux de normes techniques de réglementation à la Commission européenne : une sur la classification et l'identification des relations d'affaires et des transactions liées ; une sur la vigilance à l'égard de la clientèle incluant la vérification non présentielle et l'identification électronique ; et une sur les politiques AML à l'échelle du groupe et les contrôles internes.

Quand les RTS de l'AMLA d'octobre 2026 deviendront-elles juridiquement contraignantes ? Elles ne sont pas encore en vigueur. Après adoption par la Commission européenne et publication au Journal officiel, elles entrent en vigueur. L'AMLA a proposé que l'application commence six mois après l'entrée en vigueur. Le RULBC sous-jacent s'applique à partir du 10 juillet 2027 indépendamment de ce délai.

La RTS CDD modifie-t-elle concrètement le fonctionnement de la vérification d'identité numérique ? Oui. Le texte finalisé énumère les méthodes de vérification non présentielle acceptables. L'identification électronique notifiée eIDAS et les équivalents reconnus constituent la voie principale. Les autres méthodes exigent que l'entité assujettie documente des contrôles compensatoires spécifiques — détection de vivacité, analyse forensique de documents, liaison de dispositif — et maintienne des preuves de leur efficacité continue.

Qu'est-ce que la RTS sur les contrôles de groupe et qui est concerné ? Elle s'applique aux groupes réglementés avec plusieurs entités dans l'UE. Elle exige une gouvernance AML unifiée, un partage sécurisé d'informations intragroupe et — point critique — l'application des standards du RULBC aux filiales et succursales dans des pays tiers aux règles AML plus faibles. Les groupes à implantation mondiale font face au travail de mise en conformité structurelle le plus important.

De combien de temps les entreprises disposent-elles pour remédier aux clients existants selon les nouvelles RTS CDD ? Les dispositions transitoires sont à deux niveaux : les clients à risque plus élevé dans un délai d'un an à compter de l'entrée en vigueur, et tous les autres clients dans un délai de cinq ans. Le délai de cinq ans nécessite des flux de travail de remédiation automatisés pour toute organisation disposant d'une large base de clients existants.

Comment les agents d'IA peuvent-ils soutenir la conformité aux RTS de l'AMLA ? La détection des transactions liées, la surveillance continue, la remédiation automatisée et les exigences d'architecture de données à l'échelle du groupe dans le paquet d'octobre 2026 sont opérationnellement intensives à toute échelle significative. Les plateformes d'agents d'IA conçues pour la gestion continue de l'identité — remplaçant les cycles de révision périodiques par un état de risque en temps réel et générant automatiquement des enregistrements prêts pour l'audit — représentent l'architecture opérationnelle que requiert l'environnement RULBC.

Emily Carter