Le 23 avril 2026, le Parlement européen, le Conseil et la Commission européenne ont conclu un accord définitif sur la Directive sur les Services de Paiement 3 (PSD3) et son Règlement sur les Services de Paiement (PSR) associé. La première vague d'application — couvrant l'authentification forte des clients, la responsabilité en matière de fraude et la banque ouverte — est attendue pour la fin de l'année 2026.

Cette fenêtre est plus courte qu'il n'y paraît. La vérification d'identité est au cœur de la conformité PSR, et les établissements qui continuent de traiter l'entrée en relation comme un événement ponctuel vont bientôt en assumer les conséquences juridiques et financières.

Ce Qui Change entre PSD2 et PSD3

PSD2 a introduit l'authentification forte des clients (SCA) en 2018. Elle a renforcé la couche d'authentification mais a laissé un vide critique : elle ne disait pratiquement rien sur la qualité des vérifications d'identité qui doivent précéder l'ouverture d'un compte de paiement.

PSD3 et le PSR comblent ce vide.

Le PSR apporte trois changements absents de PSD2 :

Premièrement, la responsabilité en matière de fraude devient symétrique. En vertu du PSR, la responsabilité est partagée entre le PSP du payeur et le PSP du bénéficiaire. Si un établissement récepteur omet de filtrer les transactions entrantes ou n'a pas détecté une contrepartie frauduleuse lors de l'entrée en relation, il peut être tenu responsable des pertes qui en découlent.

Deuxièmement, la suspension automatique de la SCA pour les PSP à fort taux de fraude. Si le taux de fraude d'un PSP sur les transactions électroniques à distance dépasse 0,13 %, l'exemption d'authentification à faible risque est suspendue automatiquement, sans délai de grâce.

Troisièmement, le remboursement des fraudes par virement autorisé (APP) est normalisé. Les banques et les PSP doivent rembourser les consommateurs manipulés pour autoriser des virements frauduleux, lorsque le PSP n'a pas détecté les schémas d'ingénierie sociale ou n'a pas appliqué les avertissements requis. La responsabilité s'attache précisément à la défaillance de la couche de surveillance.

Chacun de ces changements a une implication directe pour la pile de vérification d'identité — et pas seulement pour la couche d'authentification.

Le KYC à l'Entrée en Relation : Première Ligne de Défense Légale

En vertu du PSR, ce que vous savez sur votre client au moment de l'ouverture du compte détermine votre responsabilité pour tout ce qui se passe ensuite.

Un PSP qui effectue une vérification insuffisante à l'entrée en relation — acceptant un scan de document sans détection de vivacité, omettant la consultation des listes de sanctions ou validant une identité synthétique — ne peut pas prétendre avoir agi de bonne foi lorsque ce compte sert à une fraude APP. La défaillance lors de l'entrée en relation devient une preuve rétroactive de contrôles inadéquats.

Cela déplace la question de conformité de « qu'a autorisé le client ? » à « qu'est-ce que le PSP savait avant d'approuver le compte ? ».

Trois défaillances à l'entrée en relation deviennent particulièrement coûteuses en vertu du PSR :

Défaillance à l'Entrée en Relation	Exposition à la Responsabilité PSR
Pas de vérification nom-IBAN à l'ouverture du compte	Responsabilité pour les fraudes sortantes rendues possibles par ce compte
Pas de consultation des sanctions en temps réel	Responsabilité pour les transactions liées à des parties sanctionnées
Pas de détection de vivacité biométrique	Impossibilité de se défendre face aux demandes d'identité synthétique

Les menaces deepfakes visant l'onboarding bancaire ont atteint une échelle qui rend le cadre de responsabilité du PSR incontournable. En vertu du PSR, ces pertes engagent la responsabilité institutionnelle sauf si les contrôles à l'entrée en relation peuvent démontrer leur adéquation.

La Surveillance en Temps Réel Est une Obligation Légale

Le PSR impose trois catégories de contrôles opérationnels : la vérification nom-IBAN, la surveillance comportementale et des appareils en temps réel, et le filtrage des transactions entrantes par les PSP récepteurs. Ce ne sont pas des bonnes pratiques. Ce sont des obligations de base dont l'absence génère une responsabilité directe.

Le seuil SCA de 0,13 % rend la question de la surveillance encore plus déterminante. Un PSP qui met à jour ses scores de risque de nuit plutôt qu'en temps réel dépassera probablement le seuil avant que ses systèmes ne détectent l'accumulation. À ce stade, l'exemption SCA à faible risque disparaît pour toutes les transactions, pas seulement pour les transactions signalées.

Le cas opérationnel du KYC perpétuel n'a jamais été aussi solide : une surveillance continue et pilotée par les événements élimine le décalage entre un déclencheur de risque et la réponse du contrôle. En vertu du PSR, ce décalage a un coût financier direct.

Le Portefeuille EUDI comme Instrument SCA Valide

Le PSR reconnaît explicitement le Portefeuille d'Identité Numérique de l'UE (EUDI Wallet) comme instrument SCA valide. Cela crée une opportunité de conformité significative pour les PSP qui agissent rapidement.

Dans le cadre d'eIDAS 2.0, le Portefeuille EUDI porte des attributs d'identité signés cryptographiquement — nom, date de naissance, nationalité, numéro fiscal — émis par des autorités gouvernementales. Un PSP qui accepte une credential du Portefeuille EUDI lors de l'entrée en relation bénéficie d'un substitut légalement équivalent à la vérification traditionnelle des documents d'identité, avec l'avantage supplémentaire que la credential ne peut être ni répliquée ni falsifiée sans rompre la chaîne de confiance nationale.

Cela satisfait également les exigences SCA simultanément. La même présentation du Portefeuille EUDI qui confirme l'identité peut servir de facteur SCA — réduisant deux obligations de conformité à une seule interaction.

Le délai de déploiement du Portefeuille EUDI en décembre 2026 et la première vague d'application du PSR arrivent presque en même temps. Pour les PSP qui intègrent l'acceptation du Portefeuille EUDI avant le début de l'application, la conformité PSD3/PSR et eIDAS 2.0 deviennent un seul et même projet.

Le Problème de la Fraude par IA que le PSR Entend Résoudre

Le régime de responsabilité pour fraude du PSR est apparu en réponse à un schéma de menace spécifique : fraude autorisée alimentée par l'ingénierie sociale générée par IA, les contreparties synthétiques et la manipulation d'identité en temps réel.

Les attaques par injection numérique — où des flux vidéo synthétiques contournent l'API biométrique plutôt que la caméra — sont devenues le principal vecteur de fraude ciblant la vérification d'identité à distance. La fraude à l'identité synthétique coûte à l'industrie financière un estimé de 3,1 milliards de dollars par an, et les prises de contrôle de comptes pilotées par IA ont augmenté de 250 % en glissement annuel.

Le PSR déplace la question de « cette transaction était-elle autorisée ? » à « le PSP disposait-il des contrôles pour détecter que cette autorisation était frauduleuse ? ». Pour la fraude générée par IA, où l'autorisation semble légitime, la question des contrôles tombe directement sur la qualité de la vérification d'identité.

Ce que les PSP Doivent Avoir Avant Fin 2026

La préparation pratique à la conformité s'articule autour de quatre axes de travail :

1. Qualité de la vérification d'identité à l'entrée en relation

Vérification des documents avec analyse forensique des métadonnées
Détection de vivacité biométrique résistante aux attaques par injection et certifiée PAD
Consultation des sanctions et des PPE en temps réel à l'ouverture du compte
Infrastructure de vérification croisée nom-IBAN

2. Surveillance continue pour la gestion du taux de fraude

Score de risque comportemental et des appareils en temps réel
Revérification pilotée par les événements pour les déclencheurs à haut risque
Tableaux de bord du taux de fraude calibrés sur le seuil SCA de 0,13 % du PSR
Escalade automatique lorsque le taux de fraude approche du seuil de suspension

3. Intégration du Portefeuille EUDI

Enregistrement en tant que partie de confiance auprès de l'autorité eIDAS 2.0 nationale (à commencer au troisième trimestre 2026)
Infrastructure de vérification de credentials conforme à l'ARF
Cartographie des attributs du portefeuille sur les champs de données KYC existants

4. Contrôles contre la fraude APP et l'ingénierie sociale

Avertissements en temps réel sur les discordances nom/identifiant du bénéficiaire avant exécution
Injection de friction pour les schémas de paiement à haut risque
Surveillance des transactions liée au scoring des anomalies comportementales

Le Rôle des Agents IA dans la Conformité PSR

Respecter le seuil de taux de fraude du PSR exige une couche de surveillance opérant à vitesse machine. Les processus de révision manuelle ne peuvent pas maintenir une conscience en temps réel du taux de fraude sur des milliers de transactions quotidiennes.

C'est le problème opérationnel que les Agents IA de Joinble sont conçus pour résoudre. La couche de conformité agentique surveille en permanence les signaux d'identité, déclenche la revérification sur des événements de risque définis, maintient un taux de fraude actualisé par rapport au seuil du PSR et escalade de façon autonome quand la marge se réduit. Sans cycles de traitement par lots. Sans décalage nocturne. Sans surprises en fin de trimestre.

L'architecture de conformité du PSR présuppose une surveillance à vitesse machine. Les systèmes KYC statiques et périodiques ne pourront pas maintenir la posture opérationnelle qu'exige la réglementation.

Calendrier de Conformité PSR

Date	Obligation
23 avril 2026	PSD3 et PSR formellement convenus
Fin 2026 – T1 2027	Première vague : SCA, responsabilité pour fraude, banque ouverte
T4 2026	Déploiement des Portefeuilles EUDI dans tous les États membres de l'UE
Décembre 2027	Acceptation obligatoire du Portefeuille EUDI pour les cas d'usage SCA
2027–2028	Transposition de PSD3 en droit national par les États membres

Questions Fréquentes

PSD3/PSR remplace-t-il les exigences SCA de PSD2 ?

Les exigences SCA de PSD2 sont maintenues et renforcées dans le cadre du PSR. Le PSR ajoute le mécanisme de suspension automatique pour les PSP dont le taux de fraude dépasse 0,13 % et normalise le remboursement des fraudes APP, deux éléments absents de PSD2.

Le PSR s'applique-t-il aux prestataires de services de paiement hors UE ?

Le PSR s'applique aux PSP opérant dans l'UE — y compris les entreprises bénéficiant du passeport européen — lorsqu'ils traitent des transactions impliquant des clients de l'UE ou des comptes de paiement liés à l'UE. Les PSP non-UE desservant des clients européens doivent évaluer leur exposition au PSR service par service.

Qu'est-ce que la fraude APP et pourquoi le PSR la traite-t-il spécifiquement ?

La fraude par virement autorisé (APP) survient lorsqu'un titulaire légitime d'un compte est manipulé pour autoriser un paiement vers une contrepartie frauduleuse. Le PSR impose le remboursement des victimes de fraude APP et répartit la responsabilité entre le PSP du payeur et celui du bénéficiaire selon l'établissement dont les contrôles ont failli.

Comment le Portefeuille EUDI facilite-t-il la conformité SCA ?

Le Portefeuille EUDI est reconnu comme instrument SCA valide par le PSR. Une présentation du portefeuille inclut un attribut d'identité émis par le gouvernement et un facteur de possession lié à l'appareil, satisfaisant l'exigence SCA à deux facteurs en une seule interaction.

La surveillance de la fraude en temps réel est-elle une exigence du PSR ou seulement une bonne pratique ?

C'est une exigence. Le PSR impose une surveillance comportementale et des appareils en temps réel pour la prévention de la fraude. La surveillance par cycles de traitement ne satisfait pas cette obligation, et les PSP qui dépassent le seuil de fraude de 0,13 % perdent automatiquement l'exemption SCA à faible risque.

Que se passe-t-il si un PSP dépasse le seuil de fraude SCA de 0,13 % ?

L'exemption d'authentification pour les transactions à faible risque est suspendue automatiquement, sans délai de grâce. Le PSP doit appliquer la SCA complète à toutes les transactions électroniques à distance jusqu'à ce que le taux de fraude repasse sous le seuil, augmentant ainsi les frictions pour l'ensemble de la clientèle.

Emily Carter