L'infrastructure institutionnelle simplifie l'accès technique à DeFi et complique les conséquences juridiques de son utilisation.
Le récent rapport du GAFI admet que les accords VASP et DeFi apportent de nombreux avantages opérationnels, notamment le règlement automatisé, la portée transfrontalière, la disponibilité 24h/24 et 7j/7 et des rendements généralement plus élevés. Mais rien de tout cela ne fait sortir les institutions de leurs responsabilités existantes en matière de LBC/FT.
Les courtiers, banques et autres institutions financières réglementées doivent identifier qui contrôle un protocole DeFi avant de l'utiliser ou de l'intégrer dans leurs systèmes, quelle que soit la façon dont l'accord est structuré ou commercialisé.
Trois niveaux, un devoir
Le rapport classe les arrangements DeFi en trois catégories : ceux avec des contrôleurs identifiables, ceux qui sont centralisés en pratique mais dont les contrôleurs sont difficiles à cerner, et ceux qui sont véritablement décentralisés.
La catégorie ne modifie pas l'obligation mais détermine le nombre de formalités administratives que les entreprises devront accomplir avant d'entrer en relation commerciale avec l'entité DeFi.
Si un contrôleur peut être identifié, les institutions financières et les VASP doivent faire preuve de diligence raisonnable à l'égard de l'accord lui-même : confirmer s'il est agréé ou enregistré, le cas échéant, évaluer s'il est correctement supervisé et examiner son cadre de LBC/FT.
Si un responsable du traitement ne peut être identifié, et pour les dispositifs véritablement décentralisés, les institutions doivent appliquer les mesures de LBC/FT directement aux clients sous-jacents utilisant le dispositif.
L’analyse de la blockchain peut soutenir ce travail, mais le GAFI la considère comme un outil supplémentaire. Si les obligations ne peuvent être remplies dans l’une ou l’autre des voies, le GAFI recommande de s’abstenir du tout d’interagir avec le protocole ou la solution DeFi.
Pourquoi la question est d'actualité maintenant
Les points d'accès institutionnels à DeFi se multiplient. Fireblocks est une plateforme de conservation utilisée par les banques et les courtiers pour accéder à l'infrastructure d'actifs numériques. En avril 2026, elle a lancé Earn, offrant aux clients institutionnels un accès aux prêts en chaîne via Aave et Morpho.
Fireblocks décrit les flux de travail d'approbation, de signature et de suivi de position de son côté ; cependant, rien ne mentionne que Fireblocks, Aave ou Morpho effectuent le KYC sur chaque utilisateur sous-jacent de ces protocoles.
C’est précisément cet écart que le cadre du GAFI demande à l’institution de combler, et non à la plateforme fournissant la passerelle.
Le problème de l'identification n'est pas nouveau
Les institutions ont déjà tenté de résoudre ce problème en intégrant dès le départ l’identification. Aave Arc, lancé avec Fireblocks comme liste blanche en 2022, a limité son pool aux institutions qui avaient déjà passé le KYC.
Le projet pilote 2022 du Project Guardian, impliquant Kinexys, DBS et SBI Digital Asset Holdings de JPMorgan, a utilisé un arc Aave modifié aux côtés des informations d'identification vérifiables du W3C pour limiter l'accès aux participants autorisés tout en s'installant sur une infrastructure publique de blockchain.
Les deux étaient des moyens d’aborder la question du contrôleur. Les produits de passerelle tels que Fireblocks Earn élargissent l'accès à des pools plus larges et moins organisés. Cela signifie que l’institution qui les utilise devra effectuer le travail d’identification au cas par cas.
Les régulateurs n’ont pas rattrapé leur retard non plus
Les propres données d'enquête du GAFI montrent à quel point le filet de sécurité réglementaire est encore mince. Sur les 142 juridictions qui ont répondu, seules 26 avaient évalué les risques liés à la DeFi, et 132 n'avaient identifié aucun accord DeFi éligible opérant sur leur territoire.
Seules quatre juridictions avaient mis en place des prescriptions en matière d'autorisation ou d'enregistrement pour de tels arrangements, et deux seulement en avaient effectivement autorisé ou enregistré un dans la pratique.
Cela laisse l’obligation d’identification du contrôleur incombant à chaque institution. En ce qui concerne leur DeFi, leurs courtiers, leurs plateformes fintech et leurs banques, ils peuvent s'en remettre au régime de licence auquel ils peuvent s'en remettre.
Ils devront supporter le fardeau de la conformité LAB/CFT ou s’abstenir complètement de recourir à des solutions décentralisées.
L'infrastructure institutionnelle simplifie l'accès technique à DeFi et complique les conséquences juridiques de son utilisation.
Le récent rapport du GAFI admet que les accords VASP et DeFi apportent de nombreux avantages opérationnels, notamment le règlement automatisé, la portée transfrontalière, la disponibilité 24h/24 et 7j/7 et des rendements généralement plus élevés. Mais rien de tout cela ne fait sortir les institutions de leurs responsabilités existantes en matière de LBC/FT.
Les courtiers, banques et autres institutions financières réglementées doivent identifier qui contrôle un protocole DeFi avant de l'utiliser ou de l'intégrer dans leurs systèmes, quelle que soit la façon dont l'accord est structuré ou commercialisé.
Trois niveaux, un devoir
Le rapport classe les arrangements DeFi en trois catégories : ceux avec des contrôleurs identifiables, ceux qui sont centralisés en pratique mais dont les contrôleurs sont difficiles à cerner, et ceux qui sont véritablement décentralisés.
La catégorie ne modifie pas l'obligation mais détermine le nombre de formalités administratives que les entreprises devront accomplir avant d'entrer en relation commerciale avec l'entité DeFi.
Si un contrôleur peut être identifié, les institutions financières et les VASP doivent faire preuve de diligence raisonnable à l'égard de l'accord lui-même : confirmer s'il est agréé ou enregistré, le cas échéant, évaluer s'il est correctement supervisé et examiner son cadre de LBC/FT.
Si un responsable du traitement ne peut être identifié, et pour les dispositifs véritablement décentralisés, les institutions doivent appliquer les mesures de LBC/FT directement aux clients sous-jacents utilisant le dispositif.
L’analyse de la blockchain peut soutenir ce travail, mais le GAFI la considère comme un outil supplémentaire. Si les obligations ne peuvent être remplies dans l’une ou l’autre des voies, le GAFI recommande de s’abstenir du tout d’interagir avec le protocole ou la solution DeFi.
Pourquoi la question est d'actualité maintenant
Les points d'accès institutionnels à DeFi se multiplient. Fireblocks est une plateforme de conservation utilisée par les banques et les courtiers pour accéder à l'infrastructure d'actifs numériques. En avril 2026, elle a lancé Earn, offrant aux clients institutionnels un accès aux prêts en chaîne via Aave et Morpho.
Fireblocks décrit les flux de travail d'approbation, de signature et de suivi de position de son côté ; cependant, rien ne mentionne que Fireblocks, Aave ou Morpho effectuent le KYC sur chaque utilisateur sous-jacent de ces protocoles.
C’est précisément cet écart que le cadre du GAFI demande à l’institution de combler, et non à la plateforme fournissant la passerelle.
Le problème de l'identification n'est pas nouveau
Les institutions ont déjà tenté de résoudre ce problème en intégrant dès le départ l’identification. Aave Arc, lancé avec Fireblocks comme liste blanche en 2022, a limité son pool aux institutions qui avaient déjà passé le KYC.
Le projet pilote 2022 du Project Guardian, impliquant Kinexys, DBS et SBI Digital Asset Holdings de JPMorgan, a utilisé un arc Aave modifié aux côtés des informations d'identification vérifiables du W3C pour limiter l'accès aux participants autorisés tout en s'installant sur une infrastructure publique de blockchain.
Les deux étaient des moyens d’aborder la question du contrôleur. Les produits de passerelle tels que Fireblocks Earn élargissent l'accès à des pools plus larges et moins organisés. Cela signifie que l’institution qui les utilise devra effectuer le travail d’identification au cas par cas.
Les régulateurs n’ont pas rattrapé leur retard non plus
Les propres données d'enquête du GAFI montrent à quel point le filet de sécurité réglementaire est encore mince. Sur les 142 juridictions qui ont répondu, seules 26 avaient évalué les risques liés à la DeFi, et 132 n'avaient identifié aucun accord DeFi éligible opérant sur leur territoire.
Seules quatre juridictions avaient mis en place des prescriptions en matière d'autorisation ou d'enregistrement pour de tels arrangements, et deux seulement en avaient effectivement autorisé ou enregistré un dans la pratique.
Cela laisse l’obligation d’identification du contrôleur incombant à chaque institution. En ce qui concerne leur DeFi, leurs courtiers, leurs plateformes fintech et leurs banques, ils peuvent s'en remettre au régime de licence auquel ils peuvent s'en remettre.
Ils devront supporter le fardeau de la conformité LAB/CFT ou s’abstenir complètement de recourir à des solutions décentralisées.
Voir l’article original en anglais
