FINMA Circulaire 2016/7 : Liveness Obligatoire en Suisse

Le régulateur financier suisse a tracé une ligne claire face à la fraude par intelligence artificielle. Depuis le 1er novembre 2026, la Circulaire FINMA 2016/7 révisée relative à l'identification par vidéo et en ligne est en vigueur. L'implication pratique pour les intermédiaires financiers suisses est précise : la détection du vivant n'est plus une recommandation de bonnes pratiques. C'est une exigence légale.

La révision, adoptée le 8 octobre 2026 à l'issue d'une consultation ouverte en décembre 2025, répond directement à l'augmentation de la fraude d'identité générée par IA. Les vidéos deepfake, les visages synthétiques et les attaques par injection contre les pipelines biométriques ont tous été cités par la FINMA comme facteurs déclencheurs de la mise à jour. Le régulateur n'a pas prescrit de technologie spécifique, mais il a clairement indiqué que la présentation passive d'un document ou d'une photo ne suffit plus à satisfaire la norme d'identification en ligne.

Ce que la Circulaire Révisée Change

Trois changements sont opérationnels depuis le 1er novembre 2026.

1. La Détection du Vivant est Désormais Obligatoire

Pour toutes les procédures d'identification en ligne, les intermédiaires financiers doivent inclure la détection du vivant comme couche de sécurité supplémentaire. L'objectif est de confirmer que la personne identifiée est physiquement présente et bien un être humain vivant — non une photographie, une vidéo pré-enregistrée ou une présentation synthétique générée par IA.

La FINMA n'a pas imposé d'approche technique spécifique. Les tests de vivacité actifs (où l'utilisateur effectue un geste ou suit une instruction) et les tests passifs (où des signaux comportementaux et de capteurs sont analysés sans action de l'utilisateur) satisfont tous deux à l'exigence, à condition que le système démontre être conçu pour contrer les vecteurs connus d'usurpation et d'injection. Compte tenu de l'accélération des attaques par injection contre les systèmes de détection du vivant, les approches purement passives feront l'objet d'un examen croissant à mesure que le modèle de menace évolue.

2. L'e-ID Suisse est Admis pour l'Identification en Ligne

La révision ajoute une nouvelle voie d'identification utilisant l'e-ID fédéral suisse, introduit en vertu de la Loi fédérale sur l'identité électronique et autres justificatifs électroniques. L'e-ID devrait être lancé le 1er décembre 2026 — quatre semaines après l'entrée en vigueur de la circulaire — comme justificatif facultatif et gratuit distribué via l'application de portefeuille fédérale suisse.

Selon la circulaire révisée, l'e-ID peut être utilisé pour l'identification en ligne (pas pour l'identification par vidéo). Les intermédiaires financiers utilisant l'e-ID doivent confirmer que le justificatif a été émis à la personne faisant la demande, vérifier qu'il est valide et n'a pas été révoqué, vérifier l'adresse de résidence séparément, et confirmer — via la détection du vivant — que la demande d'identification provient bien du titulaire du compte.

La voie e-ID n'élimine pas la nécessité d'un virement bancaire pour compléter l'identification en ligne. Cette exigence de sauvegarde reste en vigueur.

3. Les Documents avec Code QR sur un Pied d'Égalité avec les Documents MRZ

La révision étend la catégorie des documents d'identification acceptés pour inclure tout document portant un code QR, le plaçant au même niveau que les documents avec zone de lecture optique. Le permis de conduire suisse, qui porte un code QR mais pas de MRZ, peut désormais être utilisé comme document d'identification pour l'identification en ligne sans contournement.

Comparaison : Avant et Après le 1er Novembre 2026

Exigence	Avant novembre 2026	Depuis le 1er novembre 2026
Détection du vivant	Recommandée	Obligatoire
e-ID suisse	Non admis	Admis pour l'identification en ligne
Documents avec code QR	Non équivalents	Équivalents aux documents MRZ
Complément virement bancaire	Requis	Toujours requis
Identification vidéo avec e-ID	Non applicable	Non admise
SEQ avancée pour identification	Non permise	Toujours non permise

Qui Est Concerné

La Circulaire 2016/7 révisée s'applique à tous les intermédiaires financiers suisses au sens de la Loi sur le blanchiment d'argent. Cela inclut les banques, les négociants en valeurs mobilières, les compagnies d'assurance, les gestionnaires d'actifs, les établissements de paiement et toute entreprise exerçant des activités d'intermédiation financière sous la supervision de la FINMA.

Elle s'applique également aux entreprises qui externalisent leur processus d'identification à un prestataire tiers. Selon les règles d'externalisation de la FINMA, l'intermédiaire financier reste responsable de la conformité de la procédure d'identification quel que soit le fournisseur technologique qui effectue la vérification du vivant. Les entreprises utilisant des prestataires KYC tiers doivent confirmer que les systèmes de ces prestataires respectent la norme révisée.

La Période de Transition

Une transition d'un an s'applique spécifiquement aux exigences de détection du vivant et de vérification de résidence pour l'identification en ligne basée sur une SEQ (Signature Électronique Qualifiée). Les établissements disposent jusqu'au 1er novembre 2027 pour effectuer les ajustements techniques requis pour les procédures SEQ.

La transition ne couvre pas la voie e-ID. Les intermédiaires financiers qui choisissent d'adopter l'identification par e-ID à partir de décembre 2026 doivent se conformer aux exigences révisées complètes — y compris la détection du vivant — sans aucun délai de transition.

La transition ne s'applique pas non plus aux nouveaux clients intégrés à partir du 1er novembre 2026 dans le cadre de l'identification en ligne basée sur des documents existants. Pour ces sessions d'intégration, la détection du vivant est immédiatement obligatoire.

Le Contexte de Menace Derrière la Révision

La décision de la FINMA d'imposer la détection du vivant reflète un environnement de menace qui a évolué considérablement depuis la rédaction de la Circulaire 2016/7 originale en 2016. Cette version répondait au risque de soumission frauduleuse de documents et d'usurpation d'identité par une personne présentant les documents d'une autre.

La révision de 2026 répond à une menace différente : la création d'identités qui n'implique jamais un vrai document ou une vraie personne à aucun stade. Les visages synthétiques générés par IA générative, combinés à l'injection de caméras virtuelles pour contourner le pipeline de caméra, produisent des présentations que les premiers systèmes de vivacité passive n'étaient pas conçus pour détecter.

L'approche biométrique multimodale qui s'impose comme standard industriel — combinant l'analyse de géométrie faciale, les signaux de micro-expressions, l'imagerie infrarouge et les schémas comportementaux de l'appareil en un score de risque composite — représente la direction technique que les régulateurs attendent désormais. L'exigence de la FINMA ne prescrit pas cette méthode spécifique, mais crée une obligation légale de démontrer que l'approche utilisée est capable de détecter les présentations synthétiques modernes.

Ce que Doivent Faire les Équipes de Conformité

Pour les équipes de conformité des établissements financiers suisses, l'échéance du 1er novembre introduit un ensemble concret de mesures à prendre.

Auditez votre prestataire d'identification actuel. Demandez explicitement si leur système de détection du vivant traite les attaques par injection en plus des attaques de présentation. Ce sont des vecteurs de menace distincts. Un système qui détecte une photo imprimée comme non-vivante peut toujours échouer face à une caméra virtuelle alimentant une vidéo deepfake directement dans le pipeline d'identification.

Révisez vos accords d'externalisation. Si vous faites appel à un prestataire KYC tiers, votre contrat d'externalisation doit préciser que le prestataire opère au niveau ou au-dessus du standard requis par la circulaire révisée de la FINMA. Documentez cette spécification explicitement.

Préparez-vous à l'e-ID. L'e-ID suisse est lancé le 1er décembre 2026. L'adoption initiale sera faible, mais en croissance. Construisez dès maintenant votre parcours d'identification par e-ID pour ne pas être pris de court quand les clients commenceront à présenter ces justificatifs.

Mettez à jour votre politique d'acceptation des documents. Si vous avez refusé le permis de conduire suisse comme document d'identification en raison de l'absence de MRZ, cette position n'est plus nécessaire. Les documents avec code QR sont désormais explicitement acceptés.

La couche d'agents autonomes d'identité de Joinble est conçue précisément pour cette posture de conformité : vérification continue, chaînes de décision documentées et modèle de risque actualisable pouvant intégrer de nouvelles informations sur les menaces à mesure qu'évoluent les attentes prudentielles de la FINMA.

La Suisse dans le Paysage Européen du KYC

La Suisse n'est pas un État membre de l'UE et n'applique pas directement l'eIDAS 2.0. Mais la direction de la réglementation suisse s'est de plus en plus alignée sur les normes européennes — notamment dans l'accent mis sur l'identité numérique, la détection du vivant et l'admission de justificatifs électroniques émis par l'État pour le processus d'intégration.

La Loi sur la transparence de la Suisse entrée en vigueur le 1er octobre 2026 et la Circulaire 2016/7 révisée qui suit un mois plus tard représentent un cycle de mise à jour de conformité cohérent pour les services financiers suisses. Les équipes disposant de fonctions de conformité sous-dotées ressentiront le poids cumulé de ces deux changements ensemble.

Questions Fréquentes

La détection du vivant est-elle obligatoire pour toute ouverture de compte à distance en Suisse depuis le 1er novembre 2026 ? Oui. La Circulaire 2016/7 révisée rend la détection du vivant obligatoire pour toutes les procédures d'identification en ligne. La transition d'un an s'applique uniquement à l'ajustement technique de l'identification en ligne basée sur SEQ, non à l'intégration en ligne standard basée sur des documents.

Qu'est-ce qui constitue une détection du vivant conforme selon la FINMA ? La FINMA n'a pas imposé de technologie spécifique. La norme est fonctionnelle : le système doit confirmer qu'une personne vivante est présente et doit être conçu pour contrer les vecteurs connus d'usurpation et d'attaques par injection. La FINMA ne prescrit pas entre vivacité active et passive, mais le système doit contrecarrer de manière démontrable les menaces d'identité synthétique modernes.

L'e-ID suisse peut-il être utilisé pour l'identification par vidéo ? Non. La circulaire révisée autorise l'e-ID suisse uniquement pour l'identification en ligne. L'identification par vidéo est exclue car le document e-ID lui-même ne porte ni MRZ ni code QR, tous deux requis pour les vérifications de documents dans l'identification par vidéo.

La période de transition s'applique-t-elle aux nouveaux clients intégrés à partir du 1er novembre ? La transition d'un an s'applique spécifiquement aux procédures d'identification en ligne basées sur SEQ qui nécessitent un ajustement technique. Les nouveaux clients intégrés via une identification en ligne basée sur des documents à partir du 1er novembre 2026 nécessitent une détection du vivant immédiatement.

Que faire si mon prestataire KYC ne respecte pas encore la norme révisée ? Les intermédiaires financiers sont responsables selon les règles d'externalisation de la FINMA de la conformité des procédures externalisées. Si votre prestataire KYC ne respecte pas la norme révisée, vous êtes non conforme quel que soit l'origine de la lacune. Révisez les contrats prestataires et exigez une certification de conformité avec la circulaire révisée.

La circulaire révisée affecte-t-elle les procédures d'identification par vidéo ? La détection du vivant est principalement requise pour l'identification en ligne. L'identification par vidéo incluait déjà une révision humaine qui traitait différemment la vérification de présence. La circulaire précise également quels types de documents sont acceptés pour chaque procédure, mais l'exigence de détection du vivant est le changement central pour l'identification en ligne.