Fraude bancaire à l'ère de l'IA : ce que le livre blanc de Deloitte et Docaposte ne dit pas aux victimes. Par Virginie Audinot, Avocat.
Prouver le clic ne suffit pas à prouver le consentement : Lecture critique du « Pare-feu de Confiance » de Deloitte et Docaposte à l'épreuve des fraudes au faux conseiller. Deloitte et Docaposte viennent de publier un livre blanc formalisant un « Pare-feu de Confiance » à destination des banques et des assureurs.
L’article décrit une nouvelle forme de fraude bancaire où les escrocs utilisent l’intelligence artificielle pour usurper l’identité d’un conseiller bancaire. Ils imitent sa voix, son numéro de téléphone et son langage pour convaincre la victime d’effectuer une opération suspecte, comme ajouter un bénéficiaire ou valider un virement. En 2024, la fraude aux paiements dans l’Espace économique européen a atteint 4,2 milliards d’euros, selon un rapport conjoint de l’EBA et de la BCE de décembre 2025. Les victimes, trompées par des détails réalistes, obéissent sans se douter qu’elles sont manipulées. Techniquement, la transaction semble légitime, mais juridiquement, la question se pose : qui a vraiment consenti à l’opération ?
L’article souligne une distinction cruciale : l’authentification forte (vérification de l’identité via un code ou une biométrie) ne garantit pas que le client a librement consenti à l’opération. Le Code monétaire et financier français (articles L133-6 et L133-19) exige que la banque prouve que le client a agi sans contrainte ou négligence grave. Un arrêt de la Cour de cassation du 1er juillet 2026 rappelle que même une validation technique ne suffit pas si elle a été obtenue sous emprise. Par exemple, un client peut saisir un code sous la pression d’un fraudeur imitant son conseiller, mais cela ne constitue pas un consentement valable.
En septembre 2026, Deloitte et Docaposte publient un livre blanc intitulé Le Pare-feu de Confiance, proposant une architecture pour sécuriser les transactions bancaires sensibles. Ce système repose sur sept fonctions : détection, sélection, orchestration, horodatage, notification et archivage des actes. L’objectif est de créer une chaîne de preuve pour établir l’intégrité et l’authenticité des transactions. Cependant, ce dispositif se concentre sur la documentation après l’opération, sans inclure de mesures préventives comme un délai de réflexion ou une vérification humaine renforcée. Il ne résout pas le problème de la manipulation psychologique du client.
Le livre blanc met en avant l’utilité des services d’archivage qualifiés (comme l’horodatage qualifié), qui offrent une présomption d’intégrité pour les documents numériques. Cependant, cette preuve ne garantit pas que le consentement du client était libre. Par exemple, un horodatage prouve qu’un clic a eu lieu à 14h32, mais pas que le client agissait de son plein gré. L’article cite l’article L133-23 du Code monétaire et financier, qui précise qu’un enregistrement technique ne suffit pas à prouver l’autorisation ou la négligence grave du client. La technologie peut documenter une fraude, mais elle ne révèle pas la vérité derrière l’acte.
L’article critique l’approche des banques, qui cherchent à transférer leur responsabilité sur les victimes en se reposant sur des preuves techniques. Pourtant, un accord politique du 27 novembre 2025 (DSP3 et règlement PSR) impose aux prestataires de services de paiement des obligations de prévention et de réparation. Par exemple, les banques doivent rembourser les victimes en cas de fraude par usurpation d’identité d’un employé, mettre en place un support client humain et partager des informations sur les fraudes. Ces mesures visent à protéger les clients, mais les banques semblent privilégier la documentation plutôt que la prévention active.
Le scénario du livre blanc repose sur un faux conseiller qui imite un interlocuteur légitime. Pourtant, le système proposé ne permet pas au client de vérifier son propre interlocuteur de manière fiable. Les banques exigent une authentification forte permanente des clients, mais n’offrent aucun moyen pour les clients d’authentifier leurs interlocuteurs. Cette asymétrie persiste, exploitant une faille que l’IA utilise pour manipuler les victimes. Par exemple, un client ne peut pas distinguer un vrai conseiller d’un fraudeur imitant sa voix et son numéro de téléphone.
Le livre blanc introduit la notion de moments sensibles, comme l’ajout d’un bénéficiaire, classés selon leur niveau de risque (substantiel ou élevé). Si une banque qualifie une opération de « moment sensible de niveau élevé », elle reconnaît implicitement le risque de manipulation. Pourtant, le système ne prévoit pas de mesures préventives proportionnelles à ce risque, comme un rappel sortant ou une vérification humaine. Par exemple, si un client ajoute un bénéficiaire inhabituel, la banque devrait intervenir avant l’exécution du virement, plutôt que de se contenter de documenter l’opération après coup.
Pour les avocats défendant les victimes, le livre blanc offre une grille d’analyse des dossiers de fraude. Sept questions structurent la chaîne de preuve : qui a agi, au nom de qui, pour faire quoi, quand, quoi exactement, à qui et combien de temps. Ces questions permettent de vérifier si la banque peut prouver que l’opération a été autorisée librement. Par exemple, une banque qui revendique une « chaîne de preuve complète » doit pouvoir fournir les journaux d’authentification, le libellé affiché à l’écran et les horodatages. Si elle ne le fait pas, elle se contredit.
L’article souligne que le *Pare-feu de Confiance* se concentre sur la documentation des fraudes après leur exécution, plutôt que sur leur prévention. Par exemple, un système peut détecter une opération risquée, mais ne pas agir pour l’empêcher. La preuve ne devrait jamais remplacer la prévention. Les banques doivent passer d’une logique de « documentation a posteriori » à une logique de « protection active ». Cela implique des mesures comme des délais de réflexion, une détection comportementale des séquences anormales ou une formation des conseillers pour reconnaître les clients sous emprise.
