KYT (Know Your Transaction) : la surveillance continue qui complète le KYC

Vérifier l'identité d'un client une fois ne suffit plus. C'est le constat qui a fait émerger le KYT, Know Your Transaction, une approche de conformité qui déplace le regard du qui vers le quoi : non plus seulement savoir à qui l'on a affaire, mais surveiller en continu ce que ce client fait réellement avec son argent. Pour les entreprises réglementées de la place financière luxembourgeoise, banques, fonds, prestataires de services de paiement, courtiers ou plateformes d'actifs numériques, cette distinction n'est plus théorique : elle structure une partie croissante des obligations de vigilance imposées par la CSSF.

KYT, un complément du KYC, pas un substitut

Le KYC (Know Your Customer) intervient au moment de l'entrée en relation : vérification d'identité, des bénéficiaires effectifs, de l'origine des fonds. C'est un contrôle ponctuel, réalisé à l'ouverture du compte puis actualisé périodiquement. Le KYT, lui, s'exerce en continu sur les transactions elles-mêmes : montants, fréquence, destinataires, zones géographiques, cohérence avec le profil de risque établi lors du KYC. Un client parfaitement identifié peut, des mois après son onboarding, commencer à effectuer des opérations qui ne correspondent plus à son profil déclaré : c'est précisément ce que le KYT est censé détecter, là où un KYC statique ne verrait rien.

Les deux démarches sont donc complémentaires et, pour la plupart des entités assujetties, toutes deux obligatoires. La CSSF le rappelle régulièrement dans ses publications sur la lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC/FT) : l'identification du client doit s'accompagner d'une surveillance continue des relations d'affaires et des transactions, avec documentation de l'origine des fonds et du patrimoine.

Pourquoi le sujet monte en puissance

Le terme KYT s'est d'abord imposé dans l'univers des actifs virtuels, où la traçabilité des flux sur blockchain permet une analyse transactionnelle particulièrement fine. Au Luxembourg, cette dimension a pris une importance concrète avec la bascule du régime national des prestataires de services d'actifs virtuels (PSAV) vers l'agrément européen MiCA : la période transitoire s'est achevée le 1er juillet 2026, et les prestataires enregistrés doivent désormais opérer sous le statut de prestataire de services sur crypto-actifs (PSCA), supervisé par la CSSF. Mais le KYT ne se limite pas aux crypto-actifs : il s'applique tout autant aux paiements traditionnels, aux transferts internationaux, aux structures de fonds ou aux activités de private banking, partout où un flux financier peut révéler un comportement anormal.

Le calendrier européen ajoute une pression supplémentaire. L'Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme (AMLA), dont le siège est établi à Francfort, est entrée en fonction en 2025 et montera en puissance avec une supervision directe des entités à haut risque à partir de 2028. La sixième directive anti-blanchiment (AML6) et le règlement européen associé imposent une application progressive de nouvelles obligations de vigilance entre 2026 et 2027. Pour les entreprises luxembourgeoises déjà encadrées par la CSSF, cette évolution ne bouleverse pas les principes existants, mais elle en durcit l'exécution : traçabilité renforcée, harmonisation des pratiques à l'échelle de l'Union, contrôles plus intrusifs sur la qualité du criblage des noms et l'effectivité de la surveillance transactionnelle.

Le rôle de l'intelligence artificielle

Historiquement, la surveillance transactionnelle reposait sur des règles fixes : seuils de montants, listes de pays à risque, scénarios prédéfinis. Le problème bien connu de cette approche est le volume de faux positifs qu'elle génère, des alertes qui mobilisent des équipes de conformité entières pour, in fine, ne rien détecter d'anormal. L'apprentissage automatique change la donne en modélisant le comportement transactionnel normal d'un client et en signalant les écarts réels plutôt que les simples dépassements de seuil. Les retours d'expérience publiés dans le secteur font état de réductions significatives du taux de faux positifs, ce qui libère du temps d'analyse pour les cas réellement suspects.

Cette capacité a une contrepartie : l'IA ne dispense pas d'un jugement humain sur les alertes, et les autorités de supervision, la CSSF en tête, attendent des institutions qu'elles puissent expliquer et documenter la logique de leurs systèmes de détection, pas seulement produire un score. Un modèle de KYT assisté par IA reste un outil au service d'une obligation réglementaire, pas un substitut à la responsabilité de l'entreprise assujettie.

Ce que les décideurs luxembourgeois doivent retenir

Pour une entreprise réglementée établie au Luxembourg, trois points méritent une attention immédiate :

• Vérifier l'articulation KYC/KYT dans son dispositif interne. La CSSF évalue non seulement l'existence de procédures, mais leur effectivité : un KYC solide à l'entrée en relation ne compense pas une surveillance transactionnelle défaillante par la suite.
• Anticiper la montée en charge réglementaire européenne. Entre la fin de la transition MiCA pour les prestataires d'actifs numériques et la mise en œuvre progressive du paquet AML6/AMLA jusqu'en 2027, les exigences de documentation et de traçabilité vont continuer de se renforcer.
• Ne pas déléguer aveuglément à l'outil. Un système de KYT, qu'il soit basé sur des règles ou sur l'IA, doit rester paramétré, audité et documenté de façon à pouvoir justifier chaque alerte classée ou escaladée devant un contrôle de la CSSF ou, demain, de l'AMLA.

Le KYT n'est pas une mode technologique passagère : c'est la traduction opérationnelle d'une exigence réglementaire de plus en plus explicite, celle de connaître non seulement son client, mais aussi ce qu'il fait, en continu. Pour la place financière luxembourgeoise, où la réputation de rigueur en matière de conformité constitue un actif stratégique, investir dans cette capacité de surveillance relève moins de l'option que de la nécessité compétitive.