Authentification
Vérification d’identité : KYC & KYB
comme preuve d’ID numérique
Dans un environnement d’entreprise, les interactions numériques quotidiennes peuvent nécessiter d’identifier des tiers ou des transactions de manière fiable et non équivoque : client qui ouvre un compte à distance, entreprise qui signe un contrat par l’intermédiaire d’un représentant, ou encore paiement par virement… KYB, KYC et KYT permettent de prouver qui est réellement une personne, qui peut parler au nom d’une entreprise, mais aussi qui se trouve au bout d’un flux financier.
IDAIA fiabilise depuis plus de 30 ans les données qui rendent ces preuves exploitables sans friction, dans la durée.
Contrôle par KYC et KYB, de quoi parle-t-on ?
Le KYC (Know Your Customer, pour « Connais ton client ») désigne l’ensemble des vérifications qu’un organisme mène pour s’assurer de l’identité réelle de ses clients et comprendre la nature de la relation qu’il noue avec eux. Son objectif initial était de lutter contre le blanchiment de capitaux, puis contre le financement du terrorisme. Le principe s’est structuré à la fin des années 1980 avec le GAFI, créé en 1989, qui a publié ses 40 recommandations en 1990. La France valide ses premières obligations d’identification dans la foulée en 1990, alors que l’Union européenne adopte sa 1re directive anti-blanchiment en 1991.
Le KYB (Know Your Business, pour « Connais ton entreprise ») a commencé à appliquer la même logique aux structures clientes ou partenaires à partir de 2005, quand la 3e directive a imposé d’identifier les bénéficiaires effectifs, c’est-à-dire les personnes physiques qui contrôlent réellement une société. D’abord réservées aux banques, ces obligations se sont étendues aux assureurs, notaires, experts-comptables, agents immobiliers ou prestataires sur actifs numériques, et de nombreuses plateformes les appliquent aujourd’hui sans forcément y être tenues, pour se protéger de la fraude.
Trois procédures de vérification pour identifier des objets de différentes natures
On présente souvent KYC, KYB et KYT (Know Your Transaction) comme trois étapes d’une même checklist de conformité. Vus sous l’angle de l’identité numérique, ce sont surtout trois objets de preuve différents. Une personne physique s’identifie par son état civil officiel qui, associé à d’autres clés informationnelles, offre un niveau de garantie reconnu. Une personne morale n’a ni visage ni pièce d’identité : elle prouve son existence par des registres, et sa capacité à agir par le lien qui l’unit à ses représentants. Enfin, une transaction porte quant à elle l’identité de son destinataire, désormais numériquement vérifiable. Le digital n’a pas changé ce que ces procédures doivent établir, mais la manière de l’établir à travers une démarche sécurisée, sans rencontrer son interlocuteur.
KYC : Prouver l’identité d’une personne physique
Le passage aux parcours connectés a également déplacé la question qui traduit l’objectif du KYC. En plus de savoir quel document demander, il faut comprendre quel niveau de garantie on souhaite atteindre. Le Code monétaire et financier a d’abord répondu par des mesures complémentaires venant conforter la copie d’une pièce d’identité, comme un premier paiement effectué depuis un compte ouvert au nom du client. Le règlement européen eIDAS a ensuite défini 3 niveaux de garantie : faible, substantiel et élevé. En France, le référentiel PVID de l’ANSSI, publié en mars 2021, certifie les prestataires capables d’atteindre une fiabilité équivalente à une vérification physique. L’application France Identité, notifiée au niveau substantiel, s’appuie sur la puce de la carte d’identité, dont les données sont signées par l’État. Une identité prouvée ne dit cependant rien du profil de risque. Elle établit qui est le client, pas ce qu’il fera de la relation.
KYB : Prouver l’identité d’une entreprise et de ceux qui la représentent
Le KYB s’est longtemps résumé à fournir un extrait Kbis, des statuts et la pièce d’identité du dirigeant, avant que le registre français des bénéficiaires effectifs (2017) n’élargisse la vérification à ceux qui contrôlent réellement la société. Une personne morale est identifiée de façon univoque par son SIREN ou son SIRET, par son numéro de TVA intracommunautaire dans les échanges européens, et par le LEI dans un contexte international. Le règlement eIDAS lui reconnaît une identité numérique propre, distincte de celle de ses dirigeants. Il s’agit du cachet électronique, réservé aux personnes morales, quand la signature électronique reste l’apanage des personnes physiques. Le KYB doit donc établir 2 preuves distinctes : l’existence réelle de l’entité, puis l’habilitation de la personne qui agit en son nom. Depuis le 31 juillet 2024, le registre des bénéficiaires effectifs n’est plus librement consultable, sauf pour les autorités, les professionnels assujettis à la LCB-FT et les personnes justifiant d’un intérêt légitime.
KYT : Prouver l’identité portée par une transaction
Le KYT prolonge l’obligation de vigilance constante sur les opérations, inscrite de longue date dans le Code monétaire et financier. Celle-ci vise à surveiller les flux pour repérer les éléments qui ne correspondent pas au profil connu du client. Vu sous l’angle de l’identité, chaque transaction transporte aussi comme déclaration implicite que ce compte appartient bien à la personne ou à l’entreprise que l’on croit payer. Depuis octobre 2025, le règlement européen 2024/886 impose la vérification du bénéficiaire (VoP) avant chaque virement SEPA en euros, standard ou instantané. La banque du payeur compare le nom saisi au titulaire réel de l’IBAN et renvoie une correspondance exacte, partielle, absente ou impossible à établir. Ce contrôle informe sans bloquer, puisque la décision d’exécuter le virement reste à l’émetteur, d’où l’intérêt de vérifier les coordonnées bancaires dès leur saisie, bien avant l’ordre de paiement.
Une nouvelle frontière se dessine avec les agents d’intelligence artificielle capables de déclencher eux-mêmes des achats. Le principe du KYA (Know Your Agent) vise à relier chaque agent à la personne ou à l’entreprise qui répond de ses actes.
Comment prouver une identité à distance ?
Prouver une identité sans face-à-face implique plusieurs méthodes qui coexistent et ne procurent pas le même degré de certitude. Le choix ne relève pas d’une préférence technique : la réglementation anti-blanchiment repose sur une approche par les risques, qui proportionne l’exigence de preuve au niveau de risque de la relation. Une ouverture de compte en ligne, l’entrée en relation avec un fournisseur étranger ou un virement vers un nouveau bénéficiaire n’appellent donc pas les mêmes contrôles. Le tableau ci-dessous situe les principaux moyens de preuve selon ce qu’ils établissent réellement.
| Moyen de preuve | Ce qu’il établit | Pour qui | Cadre de référence |
|---|---|---|---|
| Pièce d’identité présentée en face-à-face | L’identité de la personne présente | Personne physique | Code monétaire et financier |
| Copie de pièce d’identité et mesure complémentaire | Une identité à distance, par recoupement | Personne physique | Code monétaire et financier |
| Vérification par un prestataire PVID | Une identité d’une fiabilité équivalente au face-à-face | Personne physique | Référentiel PVID de l’ANSSI (2021) |
| Moyen d’identification électronique notifié (France Identité) | Une identité établie à partir d’un titre délivré par l’État | Personne physique | Règlement eIDAS, niveau substantiel |
| Portefeuille européen d’identité numérique | L’identité et les seuls attributs que l’utilisateur choisit de partager | Personne physique | Règlement (UE) 2024/1183 dit eIDAS 2 |
| Extrait Kbis, SIREN et registres officiels | L’existence légale de l’entreprise | Personne morale | RCS, registre national des entreprises |
| Registre des bénéficiaires effectifs | Les personnes qui contrôlent réellement la société | Personne morale | Code monétaire et financier, accès restreint depuis 2024 |
| Pouvoirs et signature électronique du représentant | L’habilitation de la personne qui agit au nom de l’entreprise | Représentant | Règlement eIDAS |
| Cachet électronique | L’origine et l’intégrité d’un document émis par l’entreprise | Personne morale | Règlement eIDAS |
| Vérification du bénéficiaire (VoP) | La concordance entre le nom saisi et le titulaire de l’IBAN | Destinataire d’un virement | Règlement (UE) 2024/886 |
Le cadre évoluera sensiblement au cours des prochains mois. À partir de juillet 2027, le règlement européen anti-blanchiment (AMLR) s’appliquera directement dans tous les États membres et fera des moyens d’identification électronique de niveau substantiel ou élevé la voie de référence pour l’entrée en relation à distance. Les autres méthodes resteront mobilisables, dans des conditions que précisent les normes techniques en préparation au sein de l’autorité européenne de lutte contre le blanchiment (AMLA). Le portefeuille européen d’identité numérique viendra s’ajouter à cette gamme et les établissements concernés devront l’accepter lorsque le client choisit de l’utiliser, sans que celui-ci soit tenu d’y recourir. L’enjeu pour les organisations est d’orchestrer plusieurs moyens de preuve selon le profil de chaque interlocuteur.
Pourquoi la preuve par l’image ne suffit plus
Pendant des années, la photo d’une pièce d’identité accompagnée d’un selfie a constitué la colonne vertébrale du KYC à distance. Ce modèle repose sur une hypothèse que l’intelligence artificielle générative a fragilisée : une image serait difficile à fabriquer. Les fraudeurs disposent aujourd’hui d’outils accessibles pour produire de faux documents crédibles et des visages synthétiques animés. Les spécialistes distinguent 2 familles d’attaques. Les attaques par présentation trompent la caméra en lui montrant un masque, un écran ou une photo. Les attaques par injection contournent la caméra elle-même, en introduisant directement un flux vidéo fabriqué dans le parcours de vérification, ce qui explique qu’une détection du vivant classique ne suffise pas à les repérer. Le référentiel PVID de l’ANSSI intègre d’ailleurs explicitement ces menaces, deepfakes et injections de données comprises, parmi les risques qu’un prestataire certifié doit savoir contrer.
La réponse la plus solide consiste à s’appuyer sur des données signées à la source plutôt que sur leur représentation visuelle. La puce des passeports et des cartes d’identité récentes contient des informations signées par l’État émetteur, qu’un smartphone peut lire et dont l’authenticité se vérifie par cryptographie. Certains documents officiels portent un cachet électronique visible, de type 2D-Doc, qui permet de contrôler qu’ils n’ont pas été modifiés. Le recoupement des données déclarées avec des référentiels fiables complète le dispositif : un nom, une adresse, un téléphone ou un IBAN cohérents entre eux sont plus difficiles à contrefaire qu’une image isolée. C’est ce croisement entre preuve cryptographique et cohérence des données qui rend une identité réellement vérifiée, et non simplement déclarée.
Comment l’identité vérifiée se dégrade-t-elle au fil du temps ?
La preuve d’identité se construit à un instant donné, mais les données qui la composent continuent d’évoluer après l’entrée en relation. Une personne physique déménage, change de numéro de téléphone ou d’adresse email, parfois de nom. Une entreprise remplace son dirigeant, transfère son siège, fait l’objet d’une procédure collective ou disparaît du registre. Une cession de parts modifie ses bénéficiaires effectifs, une réorganisation bancaire change ses coordonnées de paiement. Aucun de ces événements n’est suspect en soi, mais chacun crée un écart entre l’identité vérifiée et l’identité réelle, et c’est précisément dans cet écart que la fraude s’installe, lorsqu’un ancien dirigeant continue d’engager la société, qu’un IBAN est substitué au détour d’un changement légitime, ou qu’un compte client est repris par un tiers.
La réglementation en tire les conséquences depuis longtemps à travers l’obligation de vigilance constante, qui impose de tenir à jour les éléments de connaissance client pendant toute la durée de la relation. Le règlement européen AMLR, applicable en juillet 2027, encadre cette mise à jour dans le temps selon le niveau de risque du client. En pratique, maintenir une identité vérifiée revient moins à refaire des contrôles complets qu’à surveiller les signaux de changement et à ne revérifier que ce qui a évolué. Placer les SIRET de ses clients et fournisseurs sous surveillance permet par exemple d’être alerté d’une défaillance ou d’un changement de situation sans attendre la prochaine revue. À plus grande échelle, la remise en qualité d’un référentiel existant peut s’imposer.
Une identité vérifiée à l’entrée en relation ne le reste pas indéfiniment : un dirigeant change, une société est radiée, un IBAN est modifié. Depuis plusieurs décennies, IDAIA contrôle et maintient à jour les données qui prolongent la valeur de ces preuves, dans le respect du RGPD et des règles déontologiques de la profession.
Vous avez des questions relatives à l’identification numérique ? Nos équipes vous répondent sous 48h.