Le paquet européen de lutte contre le blanchiment d'argent s'appliquera le 10 juillet 2027, mais le texte qui précisera techniquement comment vérifier l'identité d'un client n'est pas encore définitivement adopté.
C'est le paradoxe du chantier qui attend les entités assujetties : l'échéance est ferme, la norme technique ne l'est pas. Voici ce que le paquet impose déjà en matière de vérification d'identité numérique, ce qu'il reste à préciser, et ce qu'il faut lancer sans attendre.
Résumé en bref
- Que contient le paquet AML ? Un règlement directement applicable (AMLR), une directive à transposer (AMLD6) et une nouvelle autorité européenne (AMLA).
- Qu'est-ce qui change pour l'identité ? Une vigilance client identique dans tous les États membres, et des moyens de vérification à distance encadrés par renvoi à eIDAS.
- Où en sont les normes techniques ? La consultation publique de l'AMLA s'est clôturée le 8 mai 2026. L'AMLA devait remettre le projet final à la Commission au plus tard le 10 juillet 2026 (art. 28 AMLR) ; le suivi officiel des mandats réglementaires de l'AMLA reste la seule source faisant foi sur l'état d'avancement réel.
- Quelles échéances ? 10 juillet 2027 pour l'AMLR et la transposition d'AMLD6 ; 1er janvier 2028 pour la supervision directe ; 10 juillet 2029 pour certains secteurs.
- Que faire maintenant ? Lancer la mise en conformité sur les données clients existantes — pas seulement sur les nouveaux parcours d'entrée en relation.
Que contient le paquet AML européen ?
AMLR, AMLD6 et AMLA
Publié au Journal officiel le 19 juin 2024, le paquet AML repose sur trois piliers complémentaires.
- Le règlement (UE) 2024/1624, dit AMLR, fixe les exigences de fond que les entités assujetties devront respecter : champ des assujettis, dispositif interne, mesures de vigilance, déclarations.
- La directive (UE) 2024/1640, dite AMLD6, organise les dispositifs nationaux : pouvoirs des superviseurs, coopération entre cellules de renseignement financier (CRF), et registres de bénéficiaires effectifs.
- Le règlement (UE) 2024/1620 crée enfin l'AMLA, autorité européenne installée à Francfort et opérationnelle depuis le 1er juillet 2025.
Texte | Nature | Ce qu'il régit | Échéance |
|---|---|---|---|
AMLR (UE) 2024/1624 | Règlement | Vigilance, KYC, déclarations | Applicable le 10 juillet 2027 |
AMLD6 (UE) 2024/1640 | Directive | Superviseurs, CRF, registres | Transposition au 10 juillet 2027 |
AMLA (UE) 2024/1620 | Règlement | Autorité européenne, supervision | Opérationnelle depuis juillet 2025 |
Le passage de la directive au règlement
Depuis 2005, la LCB-FT européenne reposait sur une succession de directives — les AMLD — transposées différemment dans chaque État membre. Il existait donc des règles voisines mais jamais identiques, et des écarts que les circuits de blanchiment de capitaux exploitaient. L'AMLR met fin à cette mécanique : pour la première fois, des exigences détaillées s'appliqueront directement et de façon uniforme dans les vingt-sept États membres. Une entreprise présente en France, en Allemagne et aux Pays-Bas y trouvera le même texte, et la même lecture des risques. Les politiques, procédures et contrôles internes devront s'aligner sur ce référentiel commun.
Bon à savoir
L'AMLD6 de 2024 n'est pas la « 6AMLD » dont on parlait auparavant. La directive (UE) 2018/1673, souvent désignée ainsi, portait uniquement sur la pénalisation du blanchiment. Deux textes, deux objets, un surnom commun : vérifiez toujours le numéro.
Ce que l'AMLR change pour la vérification d'identité
Les moyens de vérification à distance
L'article 22 de l'AMLR régit l'identification et la vérification de l'identité des clients et des bénéficiaires effectifs, sans renvoyer aux pratiques nationales. Pour la vérification à distance, il retient deux familles de moyens :
- Les moyens d'identification électronique de niveau de garantie substantiel ou élevé au sens du règlement eIDAS — ce qui couvre les identités électroniques notifiées par les États et le futur portefeuille européen d'identité numérique.
- Les services de confiance qualifiés pertinents — au premier rang desquels la signature électronique qualifiée.
L'article détaille également les informations à collecter : numéro d'immatriculation, identifiant fiscal et identifiant d'entité juridique, lorsque le client en dispose.
Bon à savoir
L'article 22(3) de l'AMLR vise expressément les IBAN virtuels. L'établissement qui tient le compte vers lequel un IBAN virtuel redirige les paiements doit pouvoir obtenir de son émetteur l'identité de l'utilisateur sous cinq jours ouvrables. AMLD6 les ajoute par ailleurs au registre des comptes.
Les bénéficiaires effectifs : seuil de 25 % et registres interconnectés
Le seuil est harmonisé. La personne détenant 25 % ou plus des parts, directement ou indirectement, est considérée comme bénéficiaire effectif. Un seuil plus bas reste possible dans les secteurs à risque élevé, mais les États membres ne le fixent pas librement : ils notifient les catégories à la Commission européenne, qui pourra, après une évaluation attendue au plus tard le 10 juillet 2029, l'abaisser par acte délégué, avec un plancher fixé à 15 % par le règlement. Les entités assujetties devront identifier et vérifier ces bénéficiaires, et consulter les registres centraux tenus au titre d'AMLD6 — désormais interconnectés à l'échelle européenne.
Vos clients existants aussi concernés
Au 10 juillet 2027, les mesures de vigilance s'appliqueront immédiatement aux nouvelles entrées en relation. Les données d'identité des clients déjà en portefeuille devront elles aussi être actualisées, dans un délai que le projet de normes techniques encadre. La conformité ne se joue donc pas uniquement sur le parcours d'onboarding de demain, mais sur la reprise de l'existant — un chantier qui prend bien plus de temps.
Quelles normes techniques attendre de l'AMLA ?
Le RTS vigilance : où en est-on ?
L'AMLR fixe les objectifs, les normes techniques précisent comment les atteindre. L'article 28(1) imposait à l'AMLA de remettre à la Commission, au plus tard le 10 juillet 2026, le projet de normes techniques précisant les informations à collecter en vigilance standard, simplifiée et renforcée. C'est ce texte qui définira ce qu'est une vérification d'identité conforme dans toute l'Union, y compris les conditions du recours à des tiers.
Après le transfert des mandats de l'Autorité bancaire européenne vers l'AMLA fin 2025, la consultation publique a été lancée le 9 février 2026 et clôturée le 8 mai 2026. L'AMLA devait soumettre le projet final à la Commission au plus tard le 10 juillet 2026 (art. 28 AMLR). Une fois adoptées par la Commission, ces nouvelles règles s'appliqueront directement, sans transposition ni délai de grâce.
Bon à savoir
L'AMLA publie et met à jour un suivi de l'ensemble de ses mandats réglementaires, instrument par instrument, avec leur statut en temps réel. C'est la seule source qui fasse foi sur l'avancement réel — elle vaut mieux que les calendriers annoncés par les commentateurs.
En attendant, les orientations de l'ABE restent applicables
L'article 54(5) du règlement AMLA maintient en vigueur les orientations de l'Autorité bancaire européenne tant que l'AMLA ne les a pas remplacées par ses propres instruments. Les orientations de l'ABE sur les solutions d'entrée en relation à distance restent donc le texte de référence en matière de vérification d'identité numérique. Elles constituent le droit applicable aujourd'hui, et le resteront jusqu'au basculement vers les RTS définitifs.
Quels secteurs, et selon quel calendrier ?
Un champ élargi : crypto, financement participatif, assurance, luxe, football
L'AMLR étend sensiblement la liste des entités assujetties. On y retrouve notamment :
- Les prestataires de services sur crypto-actifs
- Les plateformes de financement participatif
- Les prêteurs et intermédiaires en crédit non bancaires
- Les entreprises du secteur de l'assurance concernées par les produits à valeur de rachat ou d'investissement
- Les négociants de biens de grande valeur : métaux précieux, pierres et œuvres d'art
- Les clubs de football professionnels et leurs agents
Cette extension du périmètre implique pour ces acteurs de mettre en place — ou de renforcer — des politiques, procédures et contrôles internes conformes aux exigences de l'AMLR.
Le calendrier
Contrairement à d'autres dossiers européens en cours, les textes sont publiés et les dates sont fermes. Elles s'échelonnent sur cinq ans.
Échéance | Ce qui se passe |
|---|---|
8 mai 2026 | Clôture de la consultation publique sur le RTS vigilance de l'AMLA |
10 juillet 2026 | Date limite légale de remise du projet de RTS CDD par l'AMLA à la Commission (art. 28 AMLR) |
1er juillet 2027 | Début de la sélection des entités sous supervision directe (au plus tard) |
10 juillet 2027 | Application de l'AMLR et transposition d'AMLD6 ; abrogation de la directive de 2015 |
1er janvier 2028 | Entrée en supervision directe de l'AMLA, pour un maximum de quarante entités |
10 juillet 2029 | Assujettissement des clubs et agents de football ; évaluation du seuil de bénéficiaire effectif |
Comment se préparer en France ?
Un dispositif mature, mais des écarts à combler
Le dispositif français est déjà l'un des plus larges d'Europe : gouvernance, vigilance client et formation trouvent un écho dans le droit national. Plusieurs points de l'AMLR divergent néanmoins du cadre existant et appellent des ajustements précis.
Là où le règlement affine l'approche des pays tiers à risque, révisez votre classification des juridictions et les seuils qui déclenchent une vigilance renforcée. Là où il étend le périmètre soumis à cette vigilance, réauditez vos opérations pour repérer celles qui y basculent désormais. Là où il encadre plus strictement le traitement des données personnelles à des fins de LCB-FT, sécurisez votre base légale et vos durées de conservation.
Les 3 chantiers à lancer sans attendre
Reprendre les données existantes
Actualisez les données d'identité de vos clients en portefeuille avant le 10 juillet 2027 : c'est le chantier le plus long.
Fiabiliser vos bénéficiaires effectifs
Vérifiez et documentez l'identification de toute personne détenant 25 % ou plus, et consultez les registres interconnectés.
Graduer votre vérification selon le risque
Adaptez le niveau de contrôle à chaque relation (vigilance standard, simplifiée ou renforcée) selon l'approche par les risques de l'AMLR.
Le PVID, réponse française à la vérification à distance
La France dispose déjà d'un référentiel dédié : le prestataire de vérification d'identité à distance (PVID), certifié par l'ANSSI. L'article R. 561-5-2 (5°) du Code monétaire et financier autorise expressément d'y recourir pour satisfaire à l'obligation de vérification. Le PVID vise un niveau de garantie équivalent à un contrôle en face-à-face, en combinant analyse documentaire, détection du vivant, comparaison biométrique et validation humaine. Il s'inscrit dans les niveaux substantiel et élevé du cadre eIDAS — ceux-là mêmes auxquels renvoie l'article 22 de l'AMLR.
Vérification d'identité conforme à l'AMLR
Découvrez comment Verify couvre tous les niveaux de contrôle requis par le paquet AML.
Youtrust : vérifier l'identité, du KYC à la signature
Plusieurs niveaux de vérification d'identité, dont un niveau PVID
Verify couvre plusieurs niveaux de contrôle : du simple examen d'une pièce d'identité par image ou vidéo à la comparaison biométrique, jusqu'à un niveau certifié PVID combinant contrôles automatisés et revue humaine. C'est exactement la gradation qu'appelle l'approche par les risques de l'AMLR : la vérification s'ajuste au risque de la relation, elle ne s'applique pas de façon uniforme.
Bénéficiaires effectifs, sanctions et documents
L'AMLR ne se limite pas à l'identité du client direct. Verify vérifie aussi une entreprise à partir de son numéro d'immatriculation, obtient les informations sur ses représentants légaux et vérifie leur identité, et crible les listes internationales de sanctions et de personnes politiquement exposées (PPE). S'y ajoutent l'analyse documentaire avec détection des faux, et la vérification de la correspondance entre un IBAN et son titulaire.
Un prestataire de services de confiance qualifié
L'AMLR reconnaît les services de confiance qualifiés comme moyen de vérification à distance. Être qualifié n'est donc pas un simple argument commercial : c'est un statut que le règlement prend directement en compte. Youtrust l'est. Prestataire de services de confiance qualifié inscrit sur la liste de confiance de la Commission européenne, il est certifié eIDAS pour la signature électronique, le cachet électronique et l'horodatage, et héberge ses solutions en France. Vérifier l'identité en entrée, signer et sceller en sortie : c'est la même chaîne de preuve.
Conclusion
Le paquet AML ne réinvente pas la vérification d'identité — il la durcit et l'uniformise. La date du 10 juillet 2027 est ferme. L'AMLA devait remettre ses projets de normes techniques à la Commission au plus tard le 10 juillet 2026 ; les orientations de l'ABE restent applicables jusqu'à leur remplacement par les RTS définitifs.
Trois chantiers de mise en conformité ne dépendent d'aucune norme à venir : reprendre ses données clients existantes, fiabiliser ses bénéficiaires effectifs, et graduer sa vérification selon le risque. Sur ce dernier point, une plateforme comme Youtrust couvre toute la chaîne — de l'identification en entrée à la signature électronique qualifiée en sortie.
Préparez votre mise en conformité AMLR dès aujourd'hui.
FAQ
Qui supervisera mon entreprise, l'ACPR ou l'AMLA ?
L'AMLA ne supervisera directement qu'une quarantaine d'entités au maximum, sélectionnées sur leur profil de risque à partir du 1er juillet 2027, pour une entrée en supervision au 1er janvier 2028. Pour les autres, les superviseurs nationaux restent compétents. Être hors du périmètre direct de l'AMLA ne dispense ni de l'AMLR ni de ses normes techniques.
Le portefeuille européen d'identité numérique dispensera-t-il du KYC ?
Non. Il constituera un moyen d'identification électronique de niveau élevé, donc recevable au titre de l'article 22 de l'AMLR. Mais il ne remplace ni l'évaluation du risque, ni la connaissance de l'origine des fonds, ni la vigilance continue. Il fiabilise une étape du dispositif, il ne le remplace pas.
Une vérification par visioconférence restera-t-elle valable après 2027 ?
Le règlement ne l'écarte pas, mais il encadre les moyens de vérification à distance par renvoi aux niveaux substantiel et élevé du cadre eIDAS. Les procédures vidéo devront démontrer qu'elles atteignent ce niveau — c'est précisément l'objet du PVID en France. Les normes techniques de l'AMLA apporteront les précisions attendues une fois adoptées.
Que risque une entité qui ne sera pas prête au 10 juillet 2027 ?
Le paquet AML harmonise les sanctions à la hausse. L'AMLA prépare des normes techniques dédiées aux sanctions pécuniaires, aux mesures administratives et aux astreintes. Le risque ne se limite pas à l'amende : un défaut d'identification des bénéficiaires effectifs se documente et s'oppose lors d'un contrôle.
Faut-il attendre les normes de l'AMLA pour se lancer ?
Non. Les obligations de fond figurent déjà dans l'AMLR, publié depuis 2024 : les normes techniques précisent, elles ne créent pas. La reprise des données existantes et la fiabilisation des registres de bénéficiaires effectifs ne dépendent d'aucune publication à venir — et ce sont les chantiers les plus longs.
