IA et LCB-FT
De la promesse technologique à la responsabilité réglementaire
L'IA transforme les dispositifs de lutte contre le blanchiment — mais sous quelles contraintes réglementaires et avec quelles garanties ?
Le cap des 200 000 déclarations
En 2024, Tracfin franchissait pour la première fois le cap des 200 000 déclarations de soupçon reçues. En quatre ans, le volume a doublé.
Les banques restent les premières contributrices, à l'origine de plus de la moitié des signalements. Mais derrière cette inflation, Tracfin identifie l'amélioration de la qualité des déclarations comme enjeu majeur. Lors du Forum Tracfin 2025, le gouverneur de la Banque de France a été direct : « le nombre ne fait pas tout ». Plus d'alertes, oui — mais surtout de meilleures alertes.
Ce message interroge les dispositifs LCB-FT des établissements. Si le flux déclaratif explose en aval, c'est que les systèmes de détection en amont génèrent un volume d'alertes que les équipes peinent à absorber — et dont une part considérable se révèle sans fondement. Comment concilier la puissance prédictive de l'IA avec les exigences de traçabilité et d'explicabilité du cadre réglementaire ?
Un dispositif sous tension
Les systèmes de détection classiques, fondés sur des règles déterministes, montrent leurs limites face à l'explosion des flux.
Les systèmes LCB-FT reposent sur des règles déterministes : seuils de montants, typologies de transactions, scénarios prédéfinis — surveillance des transferts vers l'étranger, détection des virements vers des plateformes crypto, suivi des comptes dormants réactivés. L'architecture offre traçabilité, stabilité et auditabilité.
Mais cette stabilité a un revers : la rigidité. Le taux de transformation des alertes en examens renforcés se situait entre 1 % et 8 % (ACPR 2022), et celui des examens en déclarations de soupçon autour de 30 %. L'essentiel des alertes constitue des faux positifs. Les analystes sont saturés, les cas suspects noyés dans le bruit.
La saturation génère un risque en soi. Le cas Delubac (2025) : plus de 27 000 alertes non traitées, un quart ouvertes depuis plus de quatre mois, des fermetures de comptes sans examen renforcé ni déclaration. Un dispositif jugé structurellement inapte par l'ACPR. Le volume tue la vigilance.
Innover sous contrainte
L'IA participe à des décisions aux conséquences directes sur les clients : examen renforcé, classification de risque, déclaration de soupçon, gel d'avoirs.
L'intégration de l'IA intervient dans un environnement juridique structuré par des exigences fortes de vigilance, contrôle interne et traçabilité. L'innovation ne se substitue pas au cadre existant : elle s'y superpose. En France, les sanctions ACPR/AMF montrent que l'efficacité s'apprécie à la mise en œuvre concrète : BRED (2,5 M€ en 2024), Treezor (1 M€).
L'introduction du ML modifie la nature du risque de conformité : calibrage des seuils, explicabilité des décisions, qualité des données. À ce cadre s'ajoute l'AI Act (Règlement 2024/1689) qui fait des systèmes d'IA un objet de régulation — documentation technique, traçabilité, gestion des biais, supervision humaine.
AI Act
Dispositifs LCB-FT classés « à haut risque » — documentation, traçabilité, gestion des biais, supervision humaine.
Approche par les risques
Identification, évaluation et documentation des risques. Mesures de vigilance proportionnées.
Supervision française
Calibration des seuils, gouvernance des dispositifs automatisés, sanctions en cas de défaillance.
Autorité anti-blanchiment
Supervision directe des établissements à haut risque. Harmonisation européenne de la gouvernance algorithmique.
Modernisation AML/CFT
Encourage l'IA tout en exigeant dispositifs documentés, auditables et fondés sur les risques.
L'AI Act ne se substitue pas aux obligations LCB-FT : il les double d'un régime de conformité technologique. L'établissement doit démontrer l'efficacité de détection ET la gouvernance de l'outil algorithmique.
Promesses et limites
Les grandes banques intègrent le ML pour augmenter les règles expertes — pas pour les remplacer.
L'adoption reste lente : en 2022, deux tiers des établissements (ACPR) n'y recouraient pas. Intégrer le ML dans un environnement aussi contraint ne va pas de soi. L'objectif : augmenter les règles en interaction avec les équipes risques et conformité.
Classification supervisée
Score de probabilité attribué à chaque alerte. Priorisation des cas probants et épuration des faux positifs. Architecture en série : le ML intervient après le moteur de règles.
Détection d'anomalies & clustering
Identification de comportements atypiques hors scénarios prédéfinis. Captation de signaux faibles, critique pour le financement du terrorisme (montants faibles et diffus).
Réseaux de neurones (TPA)
Modèle « True Positive Acceleration » (ACPR 2020) : croisement données transactionnelles, proximité phonétique des noms, cohérence des adresses, motifs de virement en texte libre.
IA générative
Traduction des scores SHAP en langage naturel, assistance à la rédaction des examens renforcés et déclarations de soupçon. Outil de support opérationnel — pas moteur de décision.
Plus les modèles gagnent en performance, plus ils deviennent difficiles à expliquer. L'ACPR distingue quatre niveaux : observation, justification, approximation (SHAP/LIME), réplication. Le niveau requis varie selon l'interlocuteur.
Biais de détection
Sur-apprentissage : le modèle reproduit les patterns historiques et développe des angles morts sur les schémas émergents. Monitoring actif indispensable.
Automation bias
L'analyste développe un sentiment de responsabilité plus fort quand il contredit l'algorithme que quand il le suit — biais dans les décisions de validation.
Explicabilité limitée
SHAP et LIME ne sont pas infaillibles et peuvent donner un faux sentiment de maîtrise. L'explication n'est pas la compréhension.
Gouverner l'IA en LCB-FT
Trois questions structurantes pour la gouvernance des algorithmes.
Comment vérifier ?
Approche duale : volet analytique (code, documentation, jeux de données) et volet empirique (tests, modèle « challenger », monitoring continu). Exigence partagée au-delà de l'Europe (FinCEN 2024).
Qui est responsable ?
Profils « doubles compétences » (technique + métier). Séparation conception / validation / exploitation. L'AMLA (2025) coordonnera les standards entre superviseurs nationaux.
Quand la technologie ne suffit pas ?
Risque de relâchement : maintenir la continuité de service, superviser les sorties, conserver l'expertise pour reprendre la main. Évaluer les risques d'externalisation.
Ce qu'il faut retenir
Transformation du risque
L'IA ne réduit pas mécaniquement le risque réglementaire — elle en transforme la nature : justifier un calibrage, expliquer une décision, démontrer l'absence de biais.
Responsabilité humaine
L'IA structure l'analyse tout en maintenant la responsabilité humaine. La traçabilité couvre les décisions algorithmiques et les interventions humaines.
Innovation maîtrisée
Tracfin, ACPR et AI Act dessinent un même horizon : une innovation qui se légitime par sa maîtrise technique, organisationnelle et réglementaire.
Sources
[1] Tracfin, Rapport d’activité 2024, 2025.
[2] ACPR, « Gouvernance des algorithmes d’intelligence artificielle dans le secteur financier », Document de réflexion, juin 2020.
[3] ACPR, « Dispositifs automatisés de surveillance des opérations en matière de LCB-FT », Revue thématique, avril 2023.
[4] Règlement (UE) 2024/1689 (AI Act) ; Sénat, Commission d’enquête sur la délinquance financière, Rapport, juin 2025.
Auteurs
