KYC automatisé par IA : vérification d'identité, scoring LCB-FT et screening AML | Nehos
Vérification d'identité par OCR et liveness, scoring de risque LCB-FT, screening des listes de sanctions et des PPE, workflow de conformité avec piste d'audit exportable pour l'ACPR, stockage chiffré en France. Briques interchangeables selon vos contraintes.
Nos clients types
Le KYC manuel reste le principal goulot d'étranglement de l'onboarding dans les banques, assureurs et fintechs en 2025. Le délai total, de la demande d'ouverture de compte a la validation du dossier KYC, atteint 3 a 7 jours ouvrés dans les structures qui n'ont pas automatise ce processus. Pour une neobanque ou un prestataire de services de paiement en croissance, c'est un frein direct a l'acquisition. Les causes sont documentées : mauvaise qualité de la photo (reflets, flou), format de fichier non accepte par les systèmes legacy (PDF de 15 Mo refuse, HEIC non reconnu), incomprehension des instructions affichées. La réglementation LCB-FT (Loi n°90-614 modifiée, transpositions directives européennes AMLD4 — Directive 2015/849/UE, AMLD5 — Directive 2018/843/UE, AMLD6 — Directive 2018/1673/UE) impose trois obligations structurantes : (1) verification de l'identité du client avant l'entrée en relation, (2) vigilance renforcée pour les Personnes Politiquement Exposées (PPE) et les personnes de leur entourage, (3) screening systématique des listes de sanctions internationales — OFAC (Office of Foreign Assets Control), listes de gel des avoirs de l'UE, et listes des Nations Unies. Le non-respect de ces obligations expose les établissements a des sanctions ACPR pouvant atteindre plusieurs millions d'euros, comme l'ont montre les décisions de la Commission des sanctions de l'ACPR en 2023 et 2024. Concrètement, pour 100 alertes déclenchées par le screening AML, 90 a 95 ne correspondent a aucun risque reel — ce sont des homonymes, des variantes de translitteration (Mohamed / Mohammed / Muhammed), des erreurs de saisie dans les bases de données sources. Chaque fausse alerte mobilise un analyste compliance entre 15 et 45 minutes pour investigation et cloture documentée. L'evolution réglementaire accelere les contraintes. Les établissements qui n'ont pas automatise leur KYC aujourd'hui devront gérer une double pression : volume croissant de dossiers et exigences réglementaires plus strictes. Les données collectées dans le cadre d'un KYC — scan de la piece d'identité, selfie biométrique, coordonnées bancaires, parfois questionnaire patrimonial — relèvent du RGPD avec des contraintes spécifiques. Les données biométriques (selfie liveness check) sont des données sensibles au sens de l'article 9 du RGPD. La durée de conservation LCB-FT est fixée a 5 ans après la fin de la relation d'affaires. L'hébergement sur des serveurs localises en France avec un DPA (Data Processing Agreement) contractualise est obligatoire pour les établissements sous controle ACPR — ce qui exclut de fait les solutions KYC dont les données sont traitées hors UE sans adéquation RGPD documentée.
L'approche Nehos sur le KYC automatise IA repose sur une architecture modulaire : un module de verification identité, un moteur de scoring LCB-FT, une couche AML screening, un workflow compliance, et un stockage souverain — chaque composant interchangeable selon les contraintes spécifiques de l'établissement. Verification identité OCR + liveness check. L'integration privilégiée est Ubble (solution souveraine européenne, conforme ANSSI, siege France) ou Onfido selon les préférences contractuelles du client. Le parcours client : capture de la CNI ou du passeport par la camera du mobile, reconnaissance automatique du type de document, extraction OCR des données structurées (NOM, Prénom, DateNaissance, Nationalité, NumeroDocument, DateExpiration, MRZ). Liveness check video 3 secondes anti-spoofing : le système detecte les tentatives de fraude par photo imprimée, masque, replay video ou deepfake. Le résultat de la verification identité est disponible en moins de 60 secondes. La solution ComplyCube, certifiée ISO 27001 et hébergée EU, est une alternative souveraine pour les établissements avec des exigences ACPR strictes sur la localisation des données. Scoring risque LCB-FT multi-critères. Un modèle ML evalue le profil de risque LCB-FT de chaque client sur 8 a 12 critères : nationalité (pays a risque FATF, listes Moneyval), activité professionnelle déclarée, volume de transactions anticipe, pays de residence, pays d'origine des fonds, structure juridique (personne physique / morale), exposition politique (PPE et entourage), antecedents de transactions suspectes dans l'historique. Ce scoring est mis à jour automatiquement lors de chaque re-KYC. AML screening PPE et listes de sanctions. L'integration s'appuie sur Refinitiv World-Check (LSEG) ou Complyadvantage selon le budget et le volume. Chaque alerte résiduelle est qualifiée automatiquement par niveau de confiance ; seules les alertes a confiance élevée remontent vers un analyste. Workflow compliance Payload CMS. Chaque dossier KYC est structure en Payload : données extraites OCR, score LCB-FT, niveau de vigilance, résultat AML screening (avec lien vers les alertes brutes), pieces justificatives chiffrées, historique des actions (creation, validation, rejet, re-KYC). Les dossiers dont le score depasse le seuil de vigilance renforcée entrent dans une queue analyste avec priorisation par niveau de risque. La decision Go/No-Go est tracée avec l'identifiant de l'analyste, l'horodatage et le motif. L'audit trail complet est exportable en PDF pour les controles ACPR — format structure conformes aux attentes de l'inspection. Verification continue et re-KYC automatique. Le système programme un re-KYC automatique selon le niveau de risque : tous les 3 ans pour les clients en vigilance standard, tous les 12 mois pour les clients en vigilance renforcée. Des alertes en temps réel sont déclenchées si un client entre dans une liste de sanctions post-onboarding (screening continu sur flux de mise à jour quotidien Refinitiv/Complyadvantage). Ce dispositif couvre l'obligation de surveillance continue prevue par l'article L.561-6 du Code monétaire et financier. Stockage souverain ACPR-ready. Les données KYC sont stockées sur OVHcloud Object Storage, chiffrement AES-256 au repos, TLS 1.3 en transit, clés de chiffrement gérées par HSM (Hardware Security Module) dedie. DPA OVHcloud signe, certification ISO 27001, hébergement France. La retention est automatiquement gérée : conservation 5 ans après la fin de la relation d'affaires (obligation LCB-FT), effacement automatique le lendemain de l'échéance. Le droit a l'effacement RGPD est traite par un workflow dedie — la demande est instruite, documentée, et l'effacement confirme avec certificat horodatage, sauf exception légale LCB-FT applicable. Conformité ACPR documentée : le dossier KYC par client contient systématiquement le consentement collecte, les pieces d'identité, le score LCB-FT avec justification des critères, le résultat AML screening, la décision de l'analyste (si applicable) et l'intégralité de l'audit trail. Ce format est conçu pour répondre directement aux demandes de l'ACPR lors des controles sur place.
Parcours
Durée du parcours KYC pour un profil standard, relevée avant le projet puis après
Fausses alertes
Part des alertes AML qui se révèlent sans risque, mesurée sur un échantillon
Piste d'audit
Dossier complet et exportable pour chaque décision, prêt pour un contrôle ACPR
#Le problème : pourquoi kYC automatise IA est un enjeu critique
Le KYC manuel reste le principal goulot d'étranglement de l'onboarding dans les banques, assureurs et fintechs en 2025. Le délai total, de la demande d'ouverture de compte a la validation du dossier KYC, atteint 3 a 7 jours ouvrés dans les structures qui n'ont pas automatise ce processus. Pour une neobanque ou un prestataire de services de paiement en croissance, c'est un frein direct a l'acquisition.
Les causes sont documentées : mauvaise qualité de la photo (reflets, flou), format de fichier non accepte par les systèmes legacy (PDF de 15 Mo refuse, HEIC non reconnu), incomprehension des instructions affichées.
La réglementation LCB-FT (Loi n°90-614 modifiée, transpositions directives européennes AMLD4 — Directive 2015/849/UE, AMLD5 — Directive 2018/843/UE, AMLD6 — Directive 2018/1673/UE) impose trois obligations structurantes : (1) verification de l'identité du client avant l'entrée en relation, (2) vigilance renforcée pour les Personnes Politiquement Exposées (PPE) et les personnes de leur entourage, (3) screening systématique des listes de sanctions internationales — OFAC (Office of Foreign Assets Control), listes de gel des avoirs de l'UE, et listes des Nations Unies.
Le non-respect de ces obligations expose les établissements a des sanctions ACPR pouvant atteindre plusieurs millions d'euros, comme l'ont montre les décisions de la Commission des sanctions de l'ACPR en 2023 et 2024.
Concrètement, pour 100 alertes déclenchées par le screening AML, 90 a 95 ne correspondent a aucun risque reel — ce sont des homonymes, des variantes de translitteration (Mohamed / Mohammed / Muhammed), des erreurs de saisie dans les bases de données sources. Chaque fausse alerte mobilise un analyste compliance entre 15 et 45 minutes pour investigation et cloture documentée.
L'evolution réglementaire accelere les contraintes. Les établissements qui n'ont pas automatise leur KYC aujourd'hui devront gérer une double pression : volume croissant de dossiers et exigences réglementaires plus strictes.
#Notre approche en 5 phases
#Phase 1 : OCR et verification identité
Integration Ubble (souverain EU) ou Onfido — capture CNI/passeport par camera mobile, extraction automatique NOM/Prénom/DateNaissance/Nationalité/DateExpiration par OCR, liveness check video 3 secondes anti-spoofing.
Voir notre expertise : OCR pieces identité KYC.
#Phase 2 : Scoring risque LCB-FT
Modèle ML multi-critères : nationalité, activité professionnelle, volume transactions anticipe, pays de residence, origine des fonds. Score 0-100 + niveau de vigilance (Standard / Renforcée / Allégée) conforme directives AMLD4/5/6.
Voir notre expertise : RGPD données KYC souverain.
#Phase 3 : AML screening PPE et listes de sanctions
Intégration de l'API Refinitiv World-Check ou ComplyAdvantage : correspondance floue (nom, alias, date de naissance) sur les listes mondiales OFAC, UE et ONU. Traitement du langage pour réduire les faux positifs.
Voir notre expertise : DORA conformité onboarding.
#Phase 4 : Workflow compliance et audit trail
Dossier KYC structure dans Payload CMS — queue analyste compliance si score au-dessus du seuil, decision Go/No-Go traçee, audit trail complet exportable pour controle ACPR.
Voir notre expertise : stockage KYC OVHcloud HSM.
#Phase 5 : Stockage souverain et conformité RGPD
OVHcloud Object Storage chiffre AES-256, clés gérées par HSM, DPA signe, certification ISO 27001. Retention 5 ans LCB-FT, effacement automatique J+1 après échéance réglementaire.
Voir notre expertise : sécurité données biométriques.
#Exemple de situation
Ce qui suit est un exemple de situation pour illustrer la démarche, pas le récit d'un projet livré.
#Contexte
Une néobanque B2B accueille des TPE, PME et indépendants. Son KYC est traité à la main par une équipe de conformité qui croule sous les dossiers, et son outil de screening produit beaucoup de fausses alertes.
#Défi
Passer à un parcours KYC automatisé pour les profils standard, réduire les fausses alertes AML, héberger les données en France avec chiffrement par HSM et produire une piste d'audit exportable conforme aux attentes de l'ACPR.
#Approche
Un service de vérification d'identité avec liveness, une API de screening AML, un workflow de conformité avec piste d'audit, un stockage chiffré avec conservation de cinq ans et un scoring LCB-FT fondé sur les critères du GAFI.
#Ce que nous mesurons
Les indicateurs de réussite sont fixés avec vous avant le lancement et relevés sur l'existant. On les suit pendant le pilote, puis on décide ensemble d'aller plus loin ou non, sur des mesures et non sur des promesses.
#Pourquoi Nehos pour kYC automatise IA
Nehos Groupe n'est pas un intégrateur généraliste qui adapte une solution standard à votre contexte. On conçoit des architectures sur mesure, calibrées sur vos contraintes métier, réglementaires et techniques. Chaque projet démarre par un audit de faisabilité qui pose les limites avant les promesses — si le ROI ne tient pas, on le dit avant de signer quoi que ce soit.
Notre méthode ROI-First impose un cadrage chiffré dès la phase d'audit : coût actuel documenté, gains projetés avec hypothèses conservatrices, critères de go/no-go factuels. En production, on mesure les résultats réels et on les compare aux projections — transparence totale, y compris quand les chiffres sont en dessous des attentes.
Nos expertises connexes : DORA conformité onboarding, stockage KYC OVHcloud HSM, sécurité données biométriques.
Stack technique souverain : hébergement OVHcloud (datacenters France), modèles IA open source (Mistral) quand la performance le permet, code propriétaire intégralement détenu par le client à la livraison. Pas de vendor lock-in, pas de dépendance à un fournisseur cloud américain pour vos données critiques.
#Pour aller plus loin
Cas d'usage connexes :
Questions & réponses
Questions frequentes sur le KYC automatise IA et l'AML screening
La distinction est posée par l'article L.561-5 du Code monétaire et financier et les lignes directrices ACPR LCB-FT (version 2023). Le KYC simplifie (vigilance allégée) s'applique aux clients dont le profil de risque est objectivement faible : clients d'établissements de credit soumis a la directive 2013/36/UE dans un état membre, produits financiers a faible risque (épargne réglementée, assurance vie termes courts). La verification d'identité reste obligatoire, mais les mesures de vigilance complémentaires sont réduites. Le KYC renforce (vigilance renforcée) s'applique obligatoirement aux PPE (Personnes Politiquement Exposées) et à leur entourage direct, aux clients impliquant des pays a risque FATF, et aux transactions inhabituelles sans justification économique apparente. Concrètement : un analyste doit mener un entretien complémentaire, obtenir un justificatif de l'origine des fonds, et réaliser une revue périodique annuelle du dossier. Le modèle ML Nehos produit automatiquement le niveau de vigilance applicable à chaque dossier, avec traçabilite des critères de scoring pour justification ACPR.
Les obligations PPE sont définies par l'article L.561-10 du Code monétaire et financier (transposition AMLD4). Trois périmètre : (1) les PPE stricto sensu — dirigeants d'état, membres de gouvernement, parlementaires nationaux et européens, magistrats des cours suprêmes, dirigeants d'organisations internationales, membres des organes de direction de partis politiques ; (2) les membres directs de leur famille (conjoint, partenaire, enfants, parents) ; (3) les personnes étroitement associées — associes d'affaires notoires, co-actionnaires de structures communes. Pour tout client identifie comme PPE, l'établissement doit appliquer la vigilance renforcée (KYC approfondi, approbation de la direction, revue annuelle du dossier), quel que soit le produit souscrit. La plateforme Nehos automatise la détection PPE via l'AML screening API et bascule automatiquement le dossier en file vigilance renforcée.
L'article L.561-12 du Code monétaire et financier fixe la durée de conservation des données KYC a 5 ans après la fin de la relation d'affaires (cloture du compte, fin du contrat, résiliation). Cette durée s'applique aux documents collectes lors de l'entrée en relation (piece d'identité, justificatif domicile) et aux enregistrements des opérations. Elle prime sur le droit a l'effacement RGPD pendant la période de rétention réglementaire. Après l'échéance des 5 ans, l'effacement doit intervenir. Sur les projets Nehos, l'effacement est automatise : un job OVHcloud Object Storage supprime les objets a J+1 après l'échéance, produit un log d'effacement horodatage archive séparément. Les demandes d'exercice du droit a l'effacement RGPD reçues pendant la période LCB-FT sont instruites, documentées avec refus motive juridiquement, et exécutées automatiquement a l'issue de l'échéance réglementaire.
L'integration CRM est systématiquement incluse dans les projets Nehos via des webhooks Payload CMS ou des connecteurs API REST natifs. Pour Salesforce : le dossier KYC valide declenche automatiquement la création d'un Account et d'un Contact dans Salesforce avec les champs KYC renseignes (niveau de vigilance, score LCB-FT, statut PPE, date prochain re-KYC), via l'API Salesforce Connect ou un webhook sortant Payload. Pour HubSpot : meme logique via l'API Contacts HubSpot, avec création d'un deal en pipeline commercial des validation KYC. Pour Dynamics 365 : integration via Power Automate ou connecteur Azure API Management. Les données sensibles (scan piece d'identité, selfie) ne transitent jamais vers le CRM — seules les metadonnees structurées sont synchronisées, le stockage des pieces reste sur OVHcloud sous HSM. Voir notre service OCR pieces identité KYC pour le detail de l'architecture de traitement documentaire.
La tension entre le droit a l'effacement RGPD (article 17) et l'obligation de rétention LCB-FT (5 ans article L.561-12 CMF) est réelle et documentée par la CNIL. La resolution pratique : (1) Pendant la période LCB-FT, la demande d'effacement est recevable mais peut être refusée si l'établissement invoque une obligation légale supérieure — le refus doit être motive, documente et notifie a la personne dans un délai d'un mois (article 12 RGPD). (2) A l'issue de la période de rétention LCB-FT, l'effacement doit être execute sans délai supplémentaire. (3) Les données collectées au-delà de ce qui est strictement nécessaire (par exemple, des données de navigation ou de comportement collectées en surplus lors du parcours KYC) ne bénéficient pas de la protection LCB-FT et doivent être effacées sur demande. Sur les projets Nehos, ce workflow est automatise dans Payload : chaque demande d'effacement cree un ticket avec statut (en attente LCB-FT / efface), execution automatique a l'échéance, notification de l'exercice du droit a la personne. Voir RGPD données KYC souverain.
Le coût par vérification dépend du volume et du fournisseur (Ubble, Onfido, ComplyCube), généralement facturé à l'unité avec des paliers dégressifs. Nous vous aidons à comparer les offres au moment du cadrage et à chiffrer le coût total, intégration comprise, sur devis en 48 h après un premier échange.