En 2022, la Commission des sanctions de l’ACPR a rendu sept décisions1. Quatre d’entre elles intéressaient des professionnels de la banque au sens large2 : un établissement public industriel et commercial (EPIC) qui fournit sur le territoire de la Nouvelle-Calédonie des services postaux, des services de télécommunications et des services financiers3, un établissement émetteur de monnaie électronique4, une entreprise d’investissement5 et enfin, par la décision étudiée, un établissement de crédit6.
Cette dernière, qui voit l’établissement puni d’un blâme et d’une sanction pécuniaire de 1 500 000 euros, attire l’attention. Différents manquements y sont caractérisés en matière de connaissance de la clientèle, de dispositif de suivi et d’analyse des opérations et, enfin, d’obligations d’examen renforcé et de déclaration de certaines sommes ou opérations à Tracfin. La décision est alors riche en précisions utiles. Nous en retiendrons ici simplement deux.
Recours à un outil d’IA
L’établissement de crédit relevait que, pour la première fois lors d’un contrôle sur place de l’ACPR, la mission de contrôle avait utilisé l’outil d’intelligence artificielle « LUCIA ». Cet outil lui avait ainsi permis de traiter des quantités importantes de données.
Or l’utilisation de cet outil n’avait été révélée qu’à la suite d’une demande de l’établissement mis en cause, un courriel antérieur à cette demande ayant seulement mentionné une « démarche exploratoire » et l’outil en question n’étant alors présenté que comme un prototype. Dès lors, l’établissement en question considérait qu’il n’avait pas été informé en temps utile de l’exploitation de la quasi-totalité des données par LUCIA à des fins de contrôle et, le cas échéant, disciplinaires (§ 3).
Cette circonstance entache-t-elle alors la procédure d’une irrégularité grave ? Faut-il, dans un tel cas, prononcer l’annulation de la décision du collège de supervision d’engager la procédure disciplinaire ? La banque le soutenait.
La Commission des sanctions répond à ces interrogations par la négative. Elle rappelle que selon sa jurisprudence7, mais aussi celle du Conseil d’État8, le principe des droits de la défense s’applique seulement à la procédure de sanction ouverte par la notification de griefs par le collège de l’Autorité et par la saisine de la Commission des sanctions, et non à la phase préalable des enquêtes. Dans la phase qui précède cette procédure, les contrôles doivent seulement « se dérouler dans des conditions garantissant qu’il ne soit pas porté une atteinte irrémédiable aux droits de la défense des personnes auxquelles des griefs sont ensuite notifiés »9 (§ 4).
En l’espèce, et même si elle ne peut que déplorer que les écritures et les explications orales de la poursuite n’aient pas mis l’établissement de crédit en mesure de comprendre avec précision l’objet et les conditions d’utilisation de l’outil d’intelligence artificielle LUCIA, la Commission des sanctions constate que la banque n’a en rien été empêchée de contester les manquements qui lui ont été reprochés ni de présenter ses observations en défense (§ 4).
Par ailleurs, elle souligne qu’à supposer même que LUCIA ait joué un rôle dans le choix des dossiers individuels mentionnés au titre de différents griefs, une telle circonstance « est sans incidence, par elle-même, sur la régularité de la procédure » (§ 4).
Enfin, il est rappelé que si les contrôleurs sont soumis à une obligation de loyauté, ils ne sont pas tenus de faire connaître aux organismes contrôlés les caractéristiques des logiciels qu’ils peuvent être, le cas échéant, conduits à utiliser10 (§ 4).
La banque n’est donc pas fondée à soutenir que la présente procédure disciplinaire serait entachée d’irrégularité en raison de l’utilisation du logiciel LUCIA. Il est encore noté que la Commission des sanctions n’est « en tout état de cause pas compétente pour annuler [...] la décision du Collège d’engager la procédure disciplinaire » (§ 5).
Un suivi et une analyse
des opérations lacunaires
L’article L. 561-32 du Code monétaire et financier impose aux personnes assujetties de mettre en place « une organisation et des procédures internes pour lutter contre le blanchiment des capitaux et le financement du terrorisme, tenant compte de l’évaluation des risques prévue à l’article L. 561-4-1 ». Cette obligation est précisée par l’article R. 561-38 du même code, mais aussi par l’ancien article 46 de l’arrêté du 3 novembre 2014. Jusqu’à son abrogation, ce dernier prévoyait, en effet, que « les entreprises assujetties se dotent de dispositifs de suivi et d’analyse de leurs relations d’affaires, fondés sur la connaissance de leur clientèle, permettant notamment de détecter les opérations qui constituent des anomalies au regard du profil des relations d’affaires [...] ».
La Commission des sanctions vient alors rappeler qu’un dispositif de détection des opérations atypiques doit tenir compte du montant moyen des opérations des clients et des écarts à ce montant11 ainsi que des revenus et du patrimoine du client12 (§ 22).
Or, ces règles n’avaient pas été respectées en l’espèce. Il apparaît, en effet, qu’au moment du contrôle sur place, le dispositif de suivi et d’analyse des opérations de la clientèle de la banque reposait sur un ensemble de scénarios incomplet, ce qui ne la mettait pas en mesure de détecter certains types d’opérations atypiques.
Par exemple, le paramétrage de certains scénarios était inadapté aux risques de blanchiment des capitaux et de financement du terrorisme de l’établissement. Ainsi, le scénario « S03. détection de versements espèces dont la somme est significative et avec une incidence comportementale » détectait les dépôts hebdomadaires d’espèces par des particuliers supérieurs à 14 000 euros et supérieurs à cinq fois la moyenne des trois mois précédents, quel que fût leur niveau de ressources. Ce seuil, en totale inadéquation avec la typologie de la clientèle de la banque, conduisait alors à écarter 90 % des clients titulaires « non professionnels » (§ 20). Il est vrai que ce critère de 14 000 euros pour un dépôt hebdomadaire d’espèces était bien au-dessus du montant moyen de ces dépôts, compris entre 400 et 700 euros (§ 23).
Cette défaillance partielle d’une composante du dispositif LCB-FT constitue alors, pour la Commission des sanctions, un manquement important13 à des obligations définies depuis longtemps par les textes, dont la portée a été explicitée par de nombreuses décisions de la Commission, qui a notamment déjà eu l’occasion de souligner l’importance, pour les organismes assujettis, de disposer d’un scénario établissant une relation entre les revenus d’un client et ses opérations14 (§ 41).
Un tel manquement est d’autant plus jugé critiquable que l’établissement de crédit dispose, du fait de sa taille et de son appartenance au Groupe Crédit Agricole (GCA), de moyens humains, techniques et financiers importants (§ 41). Un « gros » est donc moins excusable qu’un « petit ».
