Normes du GAFI et Travel Rule

Le Groupe d’action financière (GAFI) ne fait pas la loi, mais ses normes façonnent les règles de lutte contre le blanchiment d’argent auxquelles les entreprises du secteur des cryptomonnaies sont soumises dans presque tous les pays. La Recommandation 15 demande aux pays d’agréer et de superviser les prestataires de services sur actifs virtuels, et la Travel Rule exige de ces prestataires qu’ils transmettent les données des clients avec chaque transfert. Une fois le modèle connu, chaque régime national se lit comme une déclinaison locale de celui-ci.

Recommandation 15 et définition d’un PSAV

Le GAFI a modifié la Recommandation 15 (Nouvelles technologies) en octobre 2018 et adopté sa Note interprétative (INR.15) en juin 2019. Ensemble, ces textes exigent des pays qu’ils :

• évaluent les risques de blanchiment d’argent et de financement du terrorisme liés aux actifs virtuels ;
• agréent ou enregistrent les prestataires de services sur actifs virtuels (PSAV), au moins dans la juridiction où ils sont créés et, facultativement, dans celles où ils servent des clients ;
• les supervisent, avec le pouvoir d’infliger des amendes et de retirer leurs agréments ;
• leur appliquent les mesures préventives des Recommandations 10 à 21 (vigilance à l’égard de la clientèle, tenue de registres, déclaration des opérations suspectes, filtrage des sanctions).

Un pays peut plutôt interdire les activités des PSAV, mais il doit tout de même repérer et faire cesser les activités des opérateurs non agréés.

Un actif virtuel est une représentation numérique de valeur pouvant être échangée ou transférée numériquement, et utilisée à des fins de paiement ou d’investissement. Les représentations numériques des monnaies fiduciaires, des titres et des autres actifs financiers déjà couverts par les normes sont exclues. Un PSAV est toute personne physique ou morale qui, dans le cadre de ses activités commerciales, exerce une ou plusieurs des cinq activités suivantes pour le compte d’une autre personne ou en son nom :

Le critère est fonctionnel : c’est l’activité réelle de l’entreprise qui compte, pas le nom qu’elle se donne. Les Orientations actualisées du GAFI d’octobre 2021 indiquent que les créateurs, propriétaires et opérateurs d’un dispositif de finance « décentralisée » peuvent être des PSAV s’ils en conservent le contrôle ou une influence suffisante, par exemple au moyen de clés d’administration ou de la perception de frais. Les développeurs qui se contentent de publier des logiciels et les personnes qui utilisent des portefeuilles non hébergés pour leur propre compte ne sont pas des PSAV.

Ensemble de données de la Travel Rule

Le paragraphe 7(b) de l’INR.15 applique aux transferts d’actifs virtuels les exigences relatives aux virements de la Recommandation 16. C’est la Travel Rule : le PSAV du donneur d’ordre doit obtenir, conserver et transmettre au PSAV du bénéficiaire les informations requises concernant le donneur d’ordre et le bénéficiaire, « immédiatement et de manière sécurisée » ; le PSAV du bénéficiaire doit les obtenir et les conserver. Les deux PSAV doivent vérifier les parties par rapport aux listes de sanctions et utiliser les données dans le cadre de la surveillance des transactions.

Les pays peuvent adopter un seuil de minimis de 1 000 USD/EUR. Au-dessus de ce seuil, l’ensemble complet des données s’applique. En dessous, un ensemble réduit suffit, et les données relatives au donneur d’ordre n’ont pas à être vérifiées, sauf en cas de soupçon de blanchiment d’argent ou de financement du terrorisme.

Les mises en œuvre nationales diffèrent et certains pays appliquent un seuil inférieur, voire aucun seuil. Une entreprise active dans de nombreux pays transmet donc souvent l’ensemble complet des données pour chaque transfert plutôt que de gérer plusieurs séries de règles.

Portefeuilles non hébergés et problème du « lever de soleil »

La Travel Rule ne fonctionne que lorsque les deux extrémités sont des entités assujetties. Deux lacunes en découlent.

Les portefeuilles non hébergés (portefeuilles autogérés contrôlés par l’utilisateur, sans PSAV intermédiaire) ne peuvent ni envoyer ni recevoir de message au titre de la Travel Rule. Le GAFI n’interdit pas les transferts à destination ou en provenance de ces portefeuilles. Il attend des PSAV qu’ils recueillent les informations sur la contrepartie auprès de leur propre client et appliquent des contrôles fondés sur les risques, par exemple en demandant une preuve que le client contrôle l’adresse (un message signé ou une petite transaction de test) et en renforçant la surveillance.

Le problème du « lever de soleil » correspond à la mise en œuvre inégale des règles entre les pays. Un PSAV établi dans un pays où la règle est en vigueur peut devoir transmettre des données à une contrepartie située dans un pays où elle n’est pas encore inscrite dans la loi, et cette contrepartie peut être incapable ou ne pas vouloir les recevoir. Le GAFI attend du PSAV émetteur qu’il décide, selon les risques, d’exécuter, de restreindre ou de rejeter le transfert, et qu’il exerce une diligence raisonnable à l’égard du PSAV contrepartie avant de transmettre les données du client, à l’instar de ce que fait une banque avec un correspondant.

Révision de la Recommandation 16 de juin 2025

Le 18 juin 2025, le GAFI a publié une version révisée de la Recommandation 16, désormais intitulée Transparence des paiements, ainsi qu’une Note interprétative remaniée. Cette révision vise le secteur des paiements. Elle :

• rend l’institution qui reçoit les instructions du client responsable de l’inclusion des informations et de leur maintien à l’identique tout au long de la chaîne ;
• exige, pour les paiements transfrontaliers de pair à pair supérieurs à 1 000 USD/EUR, le nom et l’adresse du donneur d’ordre (au moins son pays et sa ville) et, pour les personnes physiques, sa date de naissance, ainsi que le nom, le compte et la localisation du bénéficiaire, dans des données aussi structurées que possible ;
• exige des institutions du bénéficiaire qu’elles utilisent des mesures telles que des contrôles de concordance entre le nom et le compte afin de réduire les paiements vers un bénéficiaire non prévu ;
• maintient l’exemption des achats par carte de biens et de services, tout en en précisant le champ d’application.

En octobre 2025, le GAFI a ajouté une annexe à sa méthodologie d’évaluation, expliquant comment la nouvelle R.16 sera évaluée. En juin 2026, il a consulté le public sur un projet d’orientations de mise en œuvre (la période de commentaires a pris fin en août 2026). Les pays sont censés mettre en œuvre ces changements d’ici à la fin de 2030.

Pour les actifs virtuels, les obligations relatives à la Travel Rule figurent au paragraphe 7(b) de l’INR.15, que la révision de la R.16 en 2025 n’a pas modifié. Les équipes de conformité doivent considérer les changements concernant les paiements comme une indication de l’évolution probable des règles, et non comme des exigences actuellement applicables aux cryptomonnaies, et vérifier si le GAFI a depuis harmonisé l’ensemble de données relatif aux actifs virtuels.

État de la mise en œuvre

Le GAFI suit les progrès au moyen de mises à jour ciblées annuelles. Chacune mesure le nombre de juridictions ayant mis en vigueur des lois relatives à la Travel Rule et leur évaluation au regard de la R.15. Les plus récentes pointent les mêmes lacunes : les PSAV offshore, les transferts de pair à pair par l’intermédiaire de portefeuilles non hébergés, la DeFi et l’utilisation croissante de stablecoins dans les activités illicites. Les chiffres changent chaque année ; une équipe de conformité doit donc citer la mise à jour la plus récente plutôt que de s’appuyer sur un chiffre ancien.

La sixième mise à jour (juin 2025) a mis en évidence le vol d’environ 1,46 milliard USD à la plateforme d’échange Bybit par des acteurs nord-coréens, le plus important vol ponctuel d’actifs virtuels jamais enregistré. Le GAFI a également publié des Bonnes pratiques en matière de supervision de la Travel Rule (juin 2025), un rapport sur les PSAV offshore (mars 2026) et un rapport ciblé sur les stablecoins et les portefeuilles non hébergés (3 mars 2026). Ce dernier recommandait aux émetteurs de pouvoir geler, détruire ou retirer des jetons sur le marché secondaire, au moyen de listes de refus et de contrôles similaires intégrés aux contrats intelligents.

Protocoles de la Travel Rule en pratique

Le GAFI ne prescrit aucune technologie ; le marché a donc développé des solutions concurrentes. La plupart reposent sur IVMS101 (InterVASP Messaging Standard 101), un modèle de données commun pour les noms, adresses et identifiants, publié par un groupe de travail sectoriel en 2020. Il sert de base à des protocoles et réseaux de messagerie tels que TRP (Travel Rule Protocol), TRISA, OpenVASP, Sygna Bridge, Notabene, VerifyVASP, CODE et GTR. Ils diffèrent par leur méthode de découverte du PSAV contrepartie, de vérification de son identité et de chiffrement de la charge utile.

Comme les contreparties utilisent différents outils, l’interopérabilité constitue le principal problème pratique. Un programme de conformité à la Travel Rule opérationnel comprend généralement :

• l’attribution des adresses, pour déterminer si une adresse de destination appartient à un PSAV ou à un portefeuille non hébergé ;
• un répertoire des PSAV contreparties et une diligence raisonnable à l’égard de chacun (agrément, juridiction, protection des données) ;
• l’échange de données avant le transfert sur la chaîne, lorsque cela est possible, afin que le transfert puisse être suspendu jusqu’à ce que les données correspondent ;
• des règles claires en cas de données manquantes ou incohérentes : retourner, rejeter, ou exécuter et signaler ;
• le filtrage des sanctions visant les deux parties et la tenue de registres pendant au moins cinq ans.

Points clés pour l’examen : les cinq activités des PSAV et le critère fonctionnel (y compris les cas où des opérateurs de DeFi peuvent être des PSAV) ; les exigences de la R.15 et de l’INR.15 envers les pays ; les champs requis au titre de la Travel Rule au-dessus et en dessous du seuil de 1 000 USD/EUR et les raisons pour lesquelles les entreprises transmettent souvent l’ensemble complet des données pour chaque transfert ; l’approche du GAFI fondée sur les risques concernant les portefeuilles non hébergés et le problème du « lever de soleil » ; les changements apportés aux paiements par la révision de la R.16 de juin 2025, son échéance de fin 2030 et le fait que la Travel Rule applicable aux cryptomonnaies figure dans la Note interprétative de la R.15 ; les lacunes récurrentes relevées dans les mises à jour ciblées du GAFI (PSAV offshore, transferts vers des portefeuilles non hébergés, DeFi, stablecoins) ; IVMS101 et le problème de l’interopérabilité.