Pour un établissement financier, le règlement (UE) 2024/1183 touche d'abord un endroit précis : l'entrée en relation à distance. Le portefeuille européen d'identité numérique permet d'accepter une identité déjà attestée au lieu de la reconstituer à chaque souscription. Le gain porte sur la qualité de la connaissance client et sur le volume de justificatifs stockés — pas sur les opérations de paiement, qui relèvent d'un autre régime et d'une autre mécanique. Les règles générales du texte sont détaillées dans notre lecture transverse d'eIDAS 2 ; cette page traite des parcours bancaires.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. L'articulation entre acceptation d'une identité attestée et obligations de connaissance client doit être validée avec vos conseils et votre conformité.
L'entrée en relation à distance, premier chantier concerné
Une ouverture de compte à distance repose aujourd'hui sur un empilement : capture d'une pièce d'identité, contrôle de vivacité, justificatif de domicile, relevé d'identité bancaire d'un autre établissement, parfois un appel en visioconférence. Chaque étape ajoute de l'abandon côté client et du stockage de données sensibles côté banque.
Une identité attestée réutilisable compresse cette chaîne. L'établissement reçoit des attributs vérifiés plutôt que des images de documents à réinterpréter. Deux conséquences opérationnelles : le taux de dossiers bloqués en revue manuelle baisse, et la base de justificatifs conservés — l'un des actifs les plus convoités d'une banque en ligne — se réduit.
Ce qui ne disparaît pas, en revanche : l'appréciation du risque propre au client, les contrôles de cohérence, la vigilance sur l'origine des fonds. Le portefeuille apporte une identité fiable, pas un jugement de conformité.
Mandataires, personnes morales et délégations
Le sujet le plus sous-estimé est là. En banque de détail, un compte peut être manipulé par un mandataire, un représentant légal, un tuteur. En banque d'entreprise, la question devient : qui engage la personne morale, pour quel montant, avec quelle délégation, et depuis quand ?
Une identité personnelle attestée répond à « qui est cet individu ». Elle ne répond pas à « cet individu est-il habilité à engager cette entité aujourd'hui ». L'attestation d'attributs peut porter une qualité — appartenance à une organisation, fonction — mais la gestion des délégations reste interne : révocation d'un pouvoir après un départ, périmètre d'un mandat, opérations à quatre yeux sur les seuils sensibles. Un projet qui traite le portefeuille comme une réponse aux habilitations d'entreprise se prépare une déconvenue.
Fraude à l'ouverture de compte et comptes mules
Les réseaux de mules exploitent la faiblesse de l'enrôlement : documents falsifiés, identités synthétiques, comptes ouverts au nom de personnes réelles à leur insu, ou ouverts par des personnes réelles qui revendent ensuite l'accès. Une identité attestée rend le premier scénario nettement plus coûteux, ce qui est un progrès réel.
Elle ne traite pas le second. Un titulaire authentique qui cède volontairement ses accès, ou qui les cède sous influence, produit un compte parfaitement conforme à l'entrée. La détection se déplace alors vers le comportement post-ouverture : rythme des flux, incohérence entre profil déclaré et usage, réutilisation d'un même appareil sur plusieurs dossiers. Ce n'est pas un problème d'identité, c'est un problème de surveillance.
L'authentification du payeur reste un chantier distinct
Après l'ouverture vient l'exploitation du compte, et là le régime applicable est celui de la DSP2 : deux facteurs de catégories distinctes, indépendants, avec un lien dynamique au montant et au bénéficiaire. Nous ne le reprenons pas ici, il est traité dans la page dédiée à la SCA et l'authentification forte.
Le point à retenir pour l'articulation : eIDAS 2 porte sur l'identité, prouvée une fois et réutilisable. Le paiement porte sur l'intention, c'est-à-dire sur le fait que cette opération-ci, à cet instant, est bien voulue par un humain qui comprend ce qu'il valide. Un portefeuille irréprochable n'empêche pas un client authentifié d'ajouter, sous la dictée d'un faux conseiller, un bénéficiaire qu'il n'aurait jamais enregistré autrement. La fraude dite « autorisée » vit précisément dans cet interstice, celui que cherche à couvrir le facteur cognitif.
Ce que chaque parcours gagne, et ce qu'il faut conserver
| Parcours bancaire | Ce que l'identité attestée simplifie | Risque qui subsiste | Élément de preuve à conserver |
|---|---|---|---|
| Ouverture de compte à distance | Moins de justificatifs collectés, moins de revue manuelle | Client réel agissant pour un tiers | Trace de l'acceptation d'attributs, horodatée |
| Souscription d'un produit d'épargne ou de crédit | Réutilisation de l'identité sans nouvelle collecte | Adéquation du produit au profil | Consentement explicite au produit souscrit |
| Ajout d'un bénéficiaire de virement | Rien : l'identité est déjà établie | Manipulation du titulaire légitime | Preuve que l'action est voulue et contextualisée |
| Mandat sur un compte d'entreprise | Identification fiable du mandataire | Périmètre et révocation du pouvoir | Chaîne de délégation datée et opposable |
| Reprise d'accès après perte d'appareil | Réenrôlement sans passer par le centre d'appel | Contournement par le canal humain | Journal du canal réellement emprunté |
Par où commencer
- Cartographiez les points de collecte de justificatifs d'identité et estimez le volume de données que vous cesseriez de stocker.
- Séparez l'identité de l'autorisation d'opération dans vos parcours. La confusion des deux produit des contrôles au mauvais endroit.
- Reprenez le sujet des mandataires et des personnes morales : c'est là que l'écart entre promesse et réalité sera le plus visible.
- Vérifiez ce que vous seriez capable de produire en cas de contestation d'une opération, et sous quel format, plusieurs mois après les faits.
- Durcissez les canaux de reprise en main (centre de relation client, agence) : ils resteront le chemin de moindre résistance.
FAQ
Une identité attestée dispense-t-elle des obligations de connaissance client ?
Non. Elle fiabilise et allège la vérification d'identité, qui n'est qu'une composante de la connaissance client. L'appréciation du risque, la vigilance sur l'origine des fonds et le suivi de la relation restent entiers, et leur articulation doit être validée avec votre conformité.
Cela remplace-t-il l'authentification forte du payeur ?
Non, ce sont deux régimes distincts. Le portefeuille intervient à l'établissement de la relation ; l'authentification forte intervient à chaque opération concernée, avec un lien dynamique au montant et au bénéficiaire.
Quel effet sur la fraude au faux conseiller ?
Marginal. Ce type de fraude ne repose pas sur une usurpation d'identité technique mais sur la manipulation d'un client authentique, qui valide lui-même l'opération. La parade se joue au moment de la validation, pas au moment de l'identification.
Que faire des justificatifs déjà stockés ?
Ils restent soumis à vos règles de conservation et de purge existantes. Le passage à une identité attestée est en revanche une bonne occasion de revoir les durées appliquées et de réduire une base de documents qui constitue aujourd'hui une cible en soi.
Aller plus loin : pilier : authentification cognitive · DSP2 et la banque · KYC face aux deepfakes · valider un virement avec le facteur cognitif