L'Angle Mort du KYC Crypto: L'IA du Côté du Demandeur

Le KYC a toujours supposé que la personne de l'autre côté d'un flux de vérification est une personne. Cette hypothèse ne tient plus.

Le 8 octobre 2026, Regula a publié son Crypto KYC Snapshot — une analyse tirée d'une enquête Sapio Research auprès de 850 décideurs en matière de fraude et de criminalité financière, dont 102 dans le secteur crypto. Le chiffre principal : 44% des entreprises crypto ont confirmé une activité assistée par IA ou automatisée du côté utilisateur de leurs vérifications d'identité. Dans les autres secteurs, le chiffre équivalent est de 31%. Le crypto devance de 13 points de pourcentage.

Ce n'est pas principalement une histoire sur des fraudeurs qui soumettent de faux documents. C'est une histoire sur l'architecture de vérification que la plupart des plateformes crypto utilisent et les hypothèses sur lesquelles elle a été conçue. Cette hypothèse est désormais brisée pour près de la moitié du secteur.

Ce Que Signifie Réellement "L'IA Côté Utilisateur"

Regula définit l'IA côté utilisateur de manière large : des assistants IA aidant les utilisateurs à naviguer dans les formulaires de vérification, des scripts interagissant avec les flux de capture biométrique, et une automatisation découverte lors d'investigations ou d'examens post-incident. La définition couvre un large spectre d'intentions.

À l'extrémité bénigne, un utilisateur avec une application de portefeuille numérique utilise un assistant IA pour comprendre quels documents sont requis et les formate correctement. À l'extrémité adverse, un réseau de fraude organisé déploie des agents IA qui génèrent des personas synthétiques, complètent la génération de documents, alimentent des flux vidéo deepfake dans les contrôles de vivacité, et soumettent la demande — à grande échelle, en parallèle, sans intervention humaine.

Regula précise que confirmer l'implication de l'IA n'indique pas en soi qu'une fraude s'est produite. Ce que cela indique, c'est que le modèle avec un humain dans la boucle qui sous-tend la plupart des conceptions de vérification d'identité ne décrit plus ce qui se passe réellement dans 44% des flux crypto.

Pourquoi le Crypto Devance le Reste

L'écart de 13 points par rapport aux autres secteurs n'est pas aléatoire. Trois caractéristiques structurelles du crypto concentrent le risque.

L'incitation financière est immédiate. Passer le KYC d'un exchange crypto déverrouille l'accès à des actifs réels avec une vraie liquidité. Le retour sur un onboarding automatisé réussi est calculable, ce qui rend l'investissement dans l'automatisation de l'attaque rentable.

La base d'utilisateurs est techniquement sophistiquée. La proportion d'utilisateurs crypto capables de passer un appel API, d'exécuter un script Python ou d'inviter un agent IA est structurellement plus élevée que la moyenne de tout autre secteur de détail réglementé.

L'environnement réglementaire a comprimé le terrain intermédiaire. Depuis que la Travel Rule de MiCA est devenue obligatoire le 1er juillet 2026, les CASPs font face à des exigences d'identité plus strictes et plus standardisées. Les implications de la pleine application de MiCA pour le KYC crypto ont créé une pression pour incorporer plus vite et moins cher, et cette pression s'est exprimée dans les utilisateurs qui automatisent la friction de leur côté.

Trois Niveaux de Risque

L'IA côté utilisateur dans les vérifications d'identité crée une structure de risque composé.

Niveau 1 : Intégrité de la vérification

Un système KYC est conçu pour confirmer qu'un être humain spécifique existe, détient les documents d'identité qu'il prétend détenir, et est physiquement présent au moment de la vérification. L'automatisation par IA brise d'abord le lien de "présence physique". Un agent IA peut soumettre une vérification de vivacité sans qu'un humain soit présent, en alimentant une vidéo pré-enregistrée, un flux deepfake ou un visage généré dans la couche de capture. Les attaques par injection contre la détection de vivacité ont été documentées sur les principales bourses, précisément parce que la détection de vivacité a été conçue pour détecter un humain tenant une photo imprimée, pas un appel API délivrant un deepfake parfait.

Niveau 2 : Surface de fraude documentaire

Le Crypto KYC Snapshot a révélé que la préoccupation concernant la fraude documentaire est plus élevée chez les répondants crypto que dans d'autres secteurs : 44% contre 34%. Lorsque les demandeurs peuvent générer des documents de support programmatiquement — preuves d'adresse, relevés bancaires, factures de services publics — la surface d'attaque se déplace vers les contrôles d'authenticité documentaire.

Niveau 3 : Échelle et traçabilité

La fraude manuelle à grande échelle nécessite des personnes. La fraude automatisée à grande échelle nécessite une infrastructure et une IA. Une fois qu'un agent IA peut compléter un flux KYC de bout en bout, il peut être exécuté en parallèle sur des milliers de bourses. Les propres données de l'enquête Regula pointent vers un écart de traçabilité : seulement 62% des entreprises crypto ont déclaré pouvoir reconstruire entièrement une décision d'identité.

Pourquoi l'Architecture KYC Traditionnelle n'a Pas Été Conçue Pour Cela

La couche de vérification que la plupart des exchanges crypto ont déployée entre 2018 et 2023 a été conçue autour d'un modèle de menace : un être humain essayant d'utiliser l'identité de quelqu'un d'autre. Détection de vivacité passive, OCR de documents, recherches dans des bases de données contre des listes de sanctions et des PPE. Cette architecture est compétente contre une personne avec un document volé.

Elle n'a pas été conçue pour un agent IA qui n'a pas de corps et ne peut donc pas échouer à un contrôle de vivacité passif, qui a traité des millions de documents et peut en produire de convaincants synthétiques, et qui peut compléter le flux de vérification à vitesse machine sans hésitation.

La dynamique de la Fraude 4.0 — IA déployée contre des systèmes IA est le point d'arrivée naturel de cette trajectoire. L'infrastructure de vérification statique et basée sur des règles rencontre l'automatisation adverse dynamique et apprenante.

Ce Que Disent les Régulateurs

La Financial Conduct Authority britannique a explicitement nommé la fraude d'identité activée par GenAI dans ses priorités de supervision 2026 — l'un des signaux réglementaires les plus clairs à ce jour indiquant que ce n'est pas un problème futur anticipé mais un problème actuel détecté.

Les lignes directrices de surveillance continue de l'AMLA, publiées en juin 2026, créent un devoir de surveillance continue des transactions et des comportements qui étend la logique de vérification d'identité au-delà de l'onboarding. Un modèle de KYC perpétuel applique une surveillance continue basée sur le risque à la relation client, pas seulement à la vérification initiale.

Comment le KYC Agentique Change la Donne

La réponse logique à l'IA du côté du demandeur est une IA du côté de la vérification qui a été conçue avec ce modèle de menace en tête dès le début.

Les systèmes de KYC agentique sont construits pour exécuter le cycle de vie complet de la vérification de manière autonome. Plusieurs capacités spécifiques importent dans le modèle de menace IA côté utilisateur :

Analyse comportementale du flux de vérification. Un agent IA soumettant un formulaire ne se comporte pas comme un humain. Il remplit les champs plus vite, navigue de manière cohérente et ne montre aucun modèle d'hésitation.

Surveillance post-onboarding. Un persona synthétique qui passe l'onboarding produira des modèles de transactions et de comportements de compte qui diffèrent d'un utilisateur réel.

Traçabilité complète des décisions. Chaque décision dans le flux de vérification doit être reconstructible.

Les Agents IA de Joinble sont construits autour de ce modèle opérationnel : surveiller la relation d'identité en continu, produire des pistes de décision auditables, et traiter les signaux comportementaux sur l'ensemble du cycle de vie client comme des preuves d'identité.

Une Réponse Pratique pour les Équipes de Conformité

Auditer la détection de vivacité contre les attaques par injection. Votre solution de vivacité actuelle vérifie-t-elle que le flux vidéo provient d'une caméra d'appareil plutôt que d'une injection API ?

Ajouter des signaux comportementaux à la vérification de documents. La vérification du contenu des documents détecte les falsifications. Le comportement de soumission des documents détecte l'automatisation.

Vérifier votre posture de traçabilité. Si vous ne pouvez pas reconstruire une décision d'identité de bout en bout aujourd'hui, la détection de l'IA côté utilisateur n'est pas possible en pratique.

Réviser votre évaluation de l'état de l'art. L'état du KYC dans le crypto en 2026 a évolué de manière significative depuis la base sur laquelle la plupart des plateformes ont construit leurs programmes de conformité.

---

FAQ

Que signifie "IA côté utilisateur dans les vérifications d'identité" ?

Regula la définit comme une activité assistée par IA ou automatisée confirmée du côté du demandeur dans un flux de vérification. Cela inclut des assistants IA aidant les utilisateurs à remplir des formulaires, des scripts interagissant avec des interfaces de capture biométrique, et une automatisation découverte lors d'investigations.

Pourquoi les entreprises crypto sont-elles plus exposées à l'IA côté utilisateur que d'autres secteurs ?

Trois facteurs structurels : une incitation financière immédiate à passer le KYC, une base d'utilisateurs techniquement sophistiquée avec des barrières plus faibles au déploiement de l'automatisation, et une pression de conformité réglementaire qui a poussé les utilisateurs à minimiser la friction de vérification depuis leur côté.

L'IA côté utilisateur confirmée signifie-t-elle une fraude confirmée ?

Pas automatiquement. Un utilisateur utilisant un assistant IA pour comprendre quels documents sont requis ne commet pas de fraude. La pertinence pour la conformité est qu'une architecture de vérification conçue autour d'un modèle avec humain dans la boucle est exposée lorsque 44% de ses flux impliquent autre chose qu'un humain agissant seul.

Quels contrôles de vérification sont les plus efficaces contre les soumissions d'identité automatisées ?

Analyse comportementale du flux de vérification lui-même, détection de vivacité résistante aux injections, traçabilité complète de chaque décision d'identité, et surveillance comportementale post-onboarding.

Comment le KYC perpétuel aborde-t-il la fraude IA côté utilisateur ?

Le KYC perpétuel applique une surveillance comportementale continue à la relation client après l'onboarding. Un persona synthétique qui passe la vérification initiale produira des modèles de transactions et de comportements qui divergent des utilisateurs réels avec le temps.

Que s'attendent les régulateurs des entreprises crypto sur la fraude d'identité par IA ?

La FCA a nommé la fraude d'identité activée par GenAI comme une priorité de supervision spécifique pour 2026. Les lignes directrices de surveillance continue de l'AMLA de juin 2026 exigent une surveillance comportementale continue des relations clients.